Miksi yrityksen sähköpostit menevät roskapostiin? SPF, DKIM ja DMARC selkokielellä

Miten tiedän, onko vika minun päässäni?

Jos viestisi menevät roskapostiin vain yhdellä vastaanottajalla, syy on todennäköisesti hänen suodattimissaan. Jos niin käy usealle, varsinkin Gmail- tai Outlook-osoitteille, syy on lähes varmasti verkkotunnuksesi asetuksissa.

Nopein testi: lähetä viesti omaan Gmail-osoitteeseesi, avaa viesti ja valitse valikosta ”Näytä alkuperäinen”. Sivun yläosassa näkyvät rivit SPF, DKIM ja DMARC. Jokaisen kohdalla pitäisi lukea PASS. Jos jossakin lukee FAIL tai rivi puuttuu, olet löytänyt syyn. Tee sama testi erikseen jokaisesta palvelusta, joka lähettää postia nimissäsi, myös verkkosivun lomakkeesta.

Alkuperäinen viesti

Viestin tunnus

<20261013094112.4f2a@yrityksesi.fi>

Luotu

13.10.2026 klo 9.41

Lähettäjä

Yhteydenottolomake <lomake@yrityksesi.fi>

Vastaanottaja

info@yrityksesi.fi

Aihe

Tarjouspyyntö: kattoremontti

SPF:

PASSIP 198.51.100.24

DKIM:

PASSyrityksesi.fi

DMARC:

PASS

Authentication-Results: mx.google.com;
  dkim=pass header.i=@yrityksesi.fi;
  spf=pass smtp.mailfrom=yrityksesi.fi;
  dmarc=pass (p=NONE) header.from=yrityksesi.fi

Ennen korjausta

spf=fail · dkim=fail · dmarc=none

Sama tarjouspyyntö kuin ylhäällä roskapostikansiossa. Kun kaikilla kolmella rivillä lukee PASS, viesti tulee perille.

Mikä on SPF-tietue?

SPF (Sender Policy Framework) on verkkotunnuksen DNS-asetuksissa oleva tekstitietue, jossa luetellaan palvelut, jotka saavat lähettää postia verkkotunnuksesi nimissä. Vastaanottajan posti vertaa viestin lähettänyttä palvelinta tähän listaan. Microsoft 365:tä käyttävän yrityksen tietue näyttää usein tältä:

v=spf1 include:spf.protection.outlook.com -all

Google Workspacessa kohdassa on include:_spf.google.com. Loppuosa kertoo, mitä listan ulkopuolisille tehdään: -all käskee hylkäämään ne ja ~all merkitsemään ne epäilyttäviksi. Kolme sääntöä riittää useimmille yrityksille:

• Vain yksi SPF-tietue. Jos tietueita on kaksi, SPF-standardin mukaan tarkistus päättyy virheeseen, eikä yksikään viesti läpäise SPF:ää. Uusi palvelu lisätään olemassa olevaan tietueeseen, ei uutena tietueena.
• Kaikki lähettäjät mukaan. Sähköpostipalvelun lisäksi listalle kuuluvat verkkosivun lomakkeen lähetyspalvelu, uutiskirjepalvelu ja laskutus- tai varausohjelma, jos ne lähettävät postia sinun osoitteellasi.
• Enintään kymmenen hakua. Jokainen include voi sisältää lisää hakuja ja yli kymmenen hakua rikkoo tietueen. Poista siksi palvelut, joita et enää käytä.

Mikä on DKIM?

DKIM (DomainKeys Identified Mail) on sähköinen allekirjoitus. Lähettävä palvelu allekirjoittaa jokaisen viestin salaisella avaimella ja vastaanottaja tarkistaa allekirjoituksen julkisella avaimella, joka on verkkotunnuksesi DNS:ssä. Jos allekirjoitus täsmää, viesti on tullut oikeasta palvelusta eikä sitä ole muutettu matkalla.

DKIM otetaan käyttöön jokaisessa palvelussa erikseen. Microsoft 365:ssä se kytketään päälle Microsoftin tietoturvaportaalista ja DNS:ään lisätään kaksi CNAME-tietuetta, joiden nimet alkavat selector1._domainkey ja selector2._domainkey. Google Workspacessa avain luodaan hallintakonsolissa. Lomakkeen lähetyspalvelut, kuten Resend ja Brevo, antavat omat tietueensa, kun verkkotunnus lisätään palveluun. DKIM on SPF:ää kestävämpi, koska se säilyy, vaikka viesti välitettäisiin eteenpäin.

Mikä on DMARC?

DMARC sitoo SPF:n ja DKIM:n siihen osoitteeseen, jonka vastaanottaja näkee Lähettäjä-kentässä. Viesti läpäisee DMARCin, jos SPF tai DKIM on kunnossa ja sen verkkotunnus on sama kuin lähettäjän osoitteessa. Lisäksi DMARC kertoo, mitä tehdä viesteille, jotka eivät läpäise tarkistusta. Tietue lisätään nimelle _dmarc.yrityksesi.fi:

v=DMARC1; p=none; rua=mailto:dmarc@yrityksesi.fi

• p=none: ei tehdä mitään, vain raportoidaan. Tästä aloitetaan.
• p=quarantine: tarkistuksen läpäisemättömät viestit roskapostiin.
• p=reject: tarkistuksen läpäisemättömät viestit hylätään.

Tiukka käytäntö estää huijareita lähettämästä postia nimissäsi, mutta älä siirry siihen liian aikaisin. Jos verkkosivun lomake tai laskutusohjelma lähettää vielä tunnistamatonta postia, p=reject hylkää myös ne. Seuraa raportteja muutama viikko, korjaa kaikki lähettäjät ja tiukenna vasta sitten.

Miksi verkkosivun lomakkeen viestit menevät roskapostiin?

Lomake on yleisin unohtunut lähettäjä. WordPress ja moni muu julkaisujärjestelmä lähettää viestit oletuksena suoraan webhotellin palvelimelta, eikä sitä palvelinta ole verkkotunnuksen SPF-tietueessa. Usein lomake on lisäksi asetettu lähettämään viestin kävijän omalla osoitteella, jolloin DMARC hylkää sen varmasti. Korjaus on ohjata lomakkeen posti tunnistetun palvelun kautta ja käyttää lähettäjänä omaa osoitetta. Tarkistukset vaihe vaiheelta ovat artikkelissa WordPress-lomake ei lähetä sähköpostia. Sama vika estää usein myös WordPressin salasanan palautusviestit. Siitä kerron artikkelissa WordPress-kirjautuminen ei onnistu.

Mitä muuta roskapostiin joutumiseen vaikuttaa?

Kun tietueet ovat kunnossa, loput riippuu viesteistä itsestään ja siitä, miten vastaanottajat niihin reagoivat:

• Vastaanottajien roskapostimerkinnät. Google pyytää pitämään roskapostiksi merkittyjen viestien osuuden alle 0,1 prosentissa, eikä se saa nousta 0,3 prosenttiin. Uutiskirjeissä selkeä peruutuslinkki on siksi myös oma etusi.
• Uusi verkkotunnus tai äkillinen määrän kasvu. Aloita maltillisesti.
• Sisältö: pelkkä kuva ilman tekstiä, lyhennetyt linkit ja odottamattomat liitteet herättävät epäilyjä.
• Estolistat. Jos jaettu palvelin on päätynyt estolistalle, tilanne on lähetyspalvelun tai webhotellin korjattava.

Missä järjestyksessä korjaan tietueet?

1. Listaa kaikki lähettäjät. Käy läpi, mitkä palvelut lähettävät postia yrityksesi osoitteella: sähköposti, verkkosivun lomake, uutiskirje, laskutus, ajanvaraus ja verkkokauppa.
2. Korjaa SPF. Yksi tietue, jossa on jokainen käytössä oleva palvelu. Poista palvelut, joita et enää käytä.
3. Ota DKIM käyttöön jokaisessa palvelussa ja lisää niiden antamat tietueet DNS:ään.
4. Lisää DMARC tilassa p=none ja raporttiosoite, jota joku oikeasti lukee.
5. Testaa jokainen lähettäjä Gmailin ”Näytä alkuperäinen” -näkymällä. Muista myös lomake.
6. Tiukenna DMARCia vasta muutaman viikon kuluttua, kun raporteissa ei näy enää omia tunnistamattomia viestejä.

DNS-muutokset näkyvät yleensä tunnin sisällä, mutta joskus niissä menee vuorokausi. Älä siis tee uutta muutosta heti, jos testi ei mene läpi ensimmäisellä kerralla.

Lähteet

1. Google: Email sender guidelines. https://support.google.com/a/answer/81126
2. Google: Trace an email with its full headers. https://support.google.com/mail/answer/29436
3. RFC 7208: Sender Policy Framework (SPF) (yksi tietue, enintään 10 DNS-hakua). https://www.rfc-editor.org/rfc/rfc7208
4. RFC 6376: DomainKeys Identified Mail (DKIM) Signatures. https://www.rfc-editor.org/rfc/rfc6376
5. RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC). https://www.rfc-editor.org/rfc/rfc7489
6. Microsoft Learn: Set up SPF to identify valid email sources for your Microsoft 365 domain. https://learn.microsoft.com/en-us/defender-office-365/email-authentication-spf-configure
7. Microsoft Learn: Set up DKIM to sign mail from your Microsoft 365 domain. https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dkim-configure
8. Microsoft Learn: Set up DMARC to validate the From address domain. https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure