Mitä DNS-tarkistus katsoo ja mitä löydös tarkoittaa?

Kaikissa paketeissa

Tarkistamme DNS-tietueet, jotka ratkaisevat, miten postisi todennetaan ja toimitetaan: DMARC, SPF, DKIM, MX, MTA-STS, TLS-RPT ja BIMI. Paketti ratkaisee, kuinka usein tarkistukset tehdään, ja Tarkista nyt -painikkeella ne tehdään milloin tahansa. Jokainen löydös kerrotaan tavallisin sanoin, ja sivun lopun taulukossa on jokainen löydös korjausohjeineen.

Mitä tarkistamme

DMARC nimessä _dmarc.example.com: käytäntö ja se, tulevatko raportit raportointiosoitteeseesi.
SPF nimessä example.com: tietue, jokainen sen alla oleva include ja DNS-hakujen määrä, jonka tietue vaatii.
DKIM nimessä <valitsin>._domainkey.example.com jokaiselle tuntemallemme valitsimelle.
MX nimessä example.com: palvelimet, jotka vastaanottavat postisi.
MTA-STS nimessä _mta-sts.example.com sekä käytäntötiedosto osoitteessa https://mta-sts.example.com/.well-known/mta-sts.txt.
TLS-RPT nimessä _smtp._tls.example.com: minne TLS-raportit menevät.
BIMI nimessä default._bimi.example.com sekä logo ja varmenne, joihin tietue viittaa.

Kuinka usein

Kun lisäät uuden verkkotunnuksen, tarkistamme sen tietueet kerran saman tien, joten sen DNS-välilehti näyttää DNS:si tilanteen jo ennen vahvistusta. Jos poistat verkkotunnuksen ja lisäät sen uudelleen ennen kuin alla oleva pakettisi tarkistusväli on kulunut, tarkistusta ei tehdä uudelleen. Paina silloin sen DNS-välilehdellä Tarkista nyt -painiketta. Kun verkkotunnus on vahvistettu, tarkistamme sen tietueet paketin mukaan:

Starter: 24 tunnin välein
Pro: 6 tunnin välein
Teams: tunnin välein
Enterprise: 15 minuutin välein

Kun raportti saapuu, sekin käynnistää tarkistuksen, kuitenkin enintään tunnin välein. Aliverkkotunnus, jolla on oma DMARC-tietue, tarkistetaan samaan tahtiin kuin sen verkkotunnus.

Verkkotunnuksen DNS-välilehdellä oleva Tarkista nyt -painike tekee kaikki tarkistukset heti ja kysyy suoraan verkkotunnuksen omilta nimipalvelimilta. Hetki sitten muuttamasi tietue näkyy siis saman tien. Kuka tahansa jäsen voi painaa sitä. Saman verkkotunnuksen painike toimii uudelleen, kun painalluksesta on kulunut 1 minuutti.

Miten löydös luetaan

Jokaisen tietueen kortti DNS-välilehdellä saa merkinnän pahimman löydöksensä mukaan: ongelma, varoitus, huomio tai kunnossa.

Ongelma avaa DNS-virhehälytyksen, paitsi jos se kertoo vain, ettemme tavoittaneet DNS:ääsi. Muutaman löydöksen kohdalla DNS-välilehti kirjoittaa myös korjatun tietueen valmiiksi kopioitavaksi.

SPF-haut

Postilaatikkopalvelu tekee SPF-tietuetta tarkistaessaan enintään 10 hakua (RFC 7208), ja sen ylittyessä tarkistus epäonnistuu. Laskemme jokaisen haun jokaisen includen läpi. redirect lasketaan vain, jos tietueessa ei ole all-mekanismia, koska muuten postilaatikkopalvelut ohittavat sen. Rajan ylittyessä saat ongelman. Varoituksen saat jo, kun tietue vaatii 8 hakua. Varoitus tulee myös, jos tietue tekee yli 2 hakua, jotka eivät löydä mitään. Jos emme pysty lukemaan jotakin includen tietuetta, kortti kertoo sen, ja hakujen määrä on vähimmäismäärä: ongelma rajan ylittyessä näkyy silti, mutta varoitusta rajan lähestymisestä ei tule.

DKIM-valitsimet

DNS:ssä ei ole luetteloa verkkotunnuksen DKIM-avaimista. Jokainen avain on valitsimeksi kutsutun nimen alla, joten etsimme valitsimia kolmesta paikasta:

Valitsimet, joilla postisi on allekirjoitettu, raporttien mukaan.
Valitsimet, jotka lähteidesi joukossa olevat palvelut kertovat ohjeissaan.
Lyhyt luettelo yleisiä valitsimia, kuten google, selector1 ja k1.

DNS-välilehti kertoo, mistä kukin valitsin on peräisin. Valitsin siirtyy käytöstä poistuneiden luetteloon, jos sen viimeisestä esiintymisestä raportissa on kulunut 90 päivää eikä sillä ole avainta DNS:ssä. Tarkistamme sitä silti edelleen. Valitsinta ei voi lisätä käsin.

Jos avainta ei löydy lainkaan, se on huomio eikä ongelma: lähettävä palvelu voi allekirjoittaa postisi omalla verkkotunnuksellaan, eikä sinun verkkotunnuksestasi silloin löydy mitään.

Muutoshistoria

Aina kun tarkistus löytää tietueen, jonka arvo on muuttunut, muutoshistoriaan tulee uusi merkintä. Tarkistus, joka löytää saman arvon, ei lisää mitään. Historia kattaa verkkotunnuksesi alla olevat nimet, ei niiden palvelujen tietueita, jotka SPF-tietueesi sisällyttää. DNS-muutokset pysyvät historiassa 13 kuukautta kaikissa paketeissa.

Muutos tietueeseen, jonka olemme nähneet aiemmin, avaa hälytyksen tietueen muuttumisesta. DMARC-käytännön muutos avaa sen sijaan hälytyksen käytännön muuttumisesta.

Kaikki löydökset

Mitä tarkistus löysi	Miten korjaat sen
DMARC
Nimessä _dmarc.example.com ei ole DMARC-tietuetta. Postilaatikkopalvelut eivät lähetä raportteja tästä verkkotunnuksesta, ennen kuin sellainen on olemassa.	Julkaise DMARC-tietue Tietueet-välilehdeltä. p=none on turvallinen alku.
Nimessä _dmarc.example.com on 2 DMARC-tietuetta. Postilaatikkopalvelut tulkitsevat sen niin, ettei tietuetta ole lainkaan.	Poista kaikki paitsi yksi.
Tagi pct ei kelpaa. Postilaatikkopalvelut ohittavat sen tai koko tietueen.	–
Tietueessa on tagi, jota emme tunne: zz. Postilaatikkopalvelut ohittavat sen.	–
Käytäntö on p=none. Postilaatikkopalvelut toimittavat postin, joka ei läpäise DMARC-tarkistusta, perille tavalliseen tapaan ja vain raportoivat siitä. Se kerää tietoa eikä estä mitään.	Kun raportit näyttävät, että kaikki omat lähteesi läpäisevät DMARC-tarkistuksen, siirry käytäntöön p=quarantine ja sen jälkeen p=reject.
Käytäntö on p=quarantine. Postilaatikkopalvelut siirtävät postin, joka ei läpäise DMARC-tarkistusta, roskapostikansioon.	–
Käytäntö on p=reject. Postilaatikkopalvelut hylkäävät postin, joka ei läpäise DMARC-tarkistusta.	–
Käytäntö koskee 30 % postista, joka ei läpäise DMARC-tarkistusta. Postilaatikkopalvelut toimittavat loput perille samoin kuin käytännöllä none. RFC 9989 poistaa pct-tagin käytöstä, ja osa postilaatikkopalveluista soveltaa käytäntöä joko kaikkeen tällaiseen postiin tai ei mihinkään.	–
Tietue ohjaa raportit muualle eikä osoitteeseen abc@reports.example.net. Verkkotunnuksen example.com raportteja ei tule tänne, ennen kuin tietue ohjaa ne tuohon osoitteeseen.	Lisää tietueeseen rua=mailto:abc@reports.example.net.
Tietueessa ei ole osoitetta raporteille, joten kukaan ei saa niitä.	–
Tietue pyytää ruf-tagilla forensic-raportteja. Harva postilaatikkopalvelu lähettää niitä, ja niissä voi olla viestien sisältöä.	–
Osoite mailto:r@other.test kuuluu verkkotunnukselle other.test, joka ei ole julkaissut tietuetta, jolla se voi ottaa vastaan verkkotunnuksen example.com raportteja. Postilaatikkopalvelut ohittavat tämän osoitteen.	Pyydä verkkotunnuksen other.test ylläpitäjää julkaisemaan example.com._report._dmarc.other.test TXT "v=DMARC1", tai poista osoite.
Aliverkkotunnuksilla on sp=none, joten posti mistä tahansa verkkotunnuksen example.com aliverkkotunnuksesta toimitetaan perille silloinkin, kun se ei läpäise DMARC-tarkistusta.	Poista sp=none tai anna sille sama arvo kuin p:llä.
adkim=s vaatii tiukkaa yhdenmukaisuutta: allekirjoittavan tai lähettävän verkkotunnuksen on oltava täsmälleen example.com, eikä sen aliverkkotunnus kelpaa.	–
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
SPF
Verkkotunnuksella example.com ei ole SPF-tietuetta. Postilaatikkopalvelut eivät voi tietää, mitkä palvelimet saavat lähettää postia sen nimissä.	Julkaise nimelle example.com TXT-tietue, joka luettelee lähettävät palvelusi ja päättyy termiin -all.
Verkkotunnuksella example.com on 2 SPF-tietuetta. Postilaatikkopalvelut pitävät sitä virheenä eivätkä sovella niistä yhtäkään.	Yhdistä ne yhdeksi tietueeksi.
ip4:999.0.2.0/24 ei ole kelvollinen SPF-termi. Postilaatikkopalvelut pysähtyvät siihen.	–
Tietue päättyy termiin +all, joka sanoo, että kuka tahansa saa lähettää postia verkkotunnuksen example.com nimissä.	Vaihda +all muotoon -all. +all kertoo postilaatikkopalveluille, että kuka tahansa saa lähettää postia nimissäsi.
Tietue päättyy termiin ~all. Luettelemattomalta palvelimelta tuleva posti saa SPF-tuloksen softfail, ja DMARC laskee sen epäonnistumiseksi.	–
Tietue päättyy termiin ?all, joka ei sano mitään luettelemattomista palvelimista. Postilaatikkopalvelut tulkitsevat sen niin, ettei SPF:ää ole lainkaan.	Vaihda ?all muotoon ~all tai -all.
Tietueessa ei ole all-termiä. Luettelemattomalta palvelimelta tuleva posti saa neutraalin tuloksen, mikä vastaa SPF:n puuttumista.	Päätä tietue termiin -all.
Tietue käyttää ptr-termiä, joka on hidas ja epäluotettava ja jonka RFC 7208 on merkinnyt vanhentuneeksi. Jotkin postilaatikkopalvelut ohittavat sen.	Korvaa ptr palvelimen ip4- tai ip6-osoitteella.
Tietue tarvitsee 12 DNS-hakua. Raja on 10, ja postilaatikkopalvelut pysähtyvät siihen ja merkitsevät tarkistuksen epäonnistuneeksi.	Poista include-määritykset, joita et enää käytä. Korvaa kiinteää palvelinjoukkoa koskevat include-määritykset niiden ip4- tai ip6-alueilla.
Tietue tarvitsee 9 sallitusta 10 DNS-hausta. Yksikin lähettävä palvelu lisää voi viedä sen yli rajan.	Poista include-määritykset, joita et enää käytä. Korvaa kiinteää palvelinjoukkoa koskevat include-määritykset niiden ip4- tai ip6-alueilla.
Tietueessa on 3 hakua, jotka osoittavat nimiin, joilla ei ole osoitetta. Raja on 2.	Poista include-määritykset, jotka osoittavat nimiin, joilla ei ole SPF:ää.
Yksi tietueen termeistä on yli 255 merkkiä pitkä, eikä yksi TXT-merkkijono voi sisältää sitä.	–
Tietue on 600 tavua. Kun tietue on yli 512 tavua, jotkin nimipalvelimet siirtyvät käyttämään TCP:tä tai katkaisevat vastauksen.	–
loop.test sisällyttää tietueen, joka puolestaan sisällyttää sen takaisin. Postilaatikkopalvelut merkitsevät tarkistuksen epäonnistuneeksi.	Poista include-määritys, joka osoittaa takaisin.
Tietue sisältää nimen gone.test, jolla ei ole omaa SPF-tietuetta.	Poista include:gone.test tai tarkista nimi lähettävältä palvelulta.
Emme voineet lukea SPF-tietuetta osoitteessa down.test. Vika voi olla meidän päässämme, verkossa tai kyseisen palvelun DNS:ssä, ei välttämättä tietueessasi. Näytetty hakujen määrä on vähimmäismäärä, kunnes saamme tietueen luettua.	–
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
Mikään viimeisen 30 päivän raportti ei näytä postia palvelusta Mailchimp, mutta SPF-tietueesi sisältää sen yhä. Kun poistat include:servers.mcsv.net, säästät 1 haun.	Jos et enää käytä palvelua Mailchimp, poista include:servers.mcsv.net.
Tämä termi käyttää makroa. Makrot riippuvat tarkistettavasta viestistä, joten emme voi selvittää niitä etukäteen.	–
DKIM
Emme löytäneet DKIM-avainta mistään tuntemastamme verkkotunnuksen example.com valitsimesta. Lähettävä palvelusi saattaa allekirjoittaa sen sijaan omalla verkkotunnuksellaan, mikä näkyy raporteista.	–
Valitsimella k1 on 2048-bittinen avain.	–
Valitsimen k1 avain on tyhjä, mikä tarkoittaa, että se on peruutettu.	Poista valitsin k1 tai julkaise avain uudelleen lähettävässä palvelussasi.
Valitsimella k1 verkkotunnukselle example.com allekirjoitettua postia saapui 14. syyskuuta 2026, mutta nimessä k1._domainkey.example.com ei nyt ole DKIM-avainta. Sillä allekirjoitettu posti ei läpäise DKIM-tarkistusta.	Julkaise avain uudelleen palvelussa, joka allekirjoittaa valitsimella k1.
Valitsimella k1 on merkintä t=y eli testitila. Postilaatikkopalvelut jättävät sen allekirjoitukset huomiotta.	Poista tietueesta t=y, kun valitsin on käytössä.
Valitsimella k1 on 1024-bittinen avain. Nykyinen suositus on 2048 bittiä, ja jotkin postilaatikkopalvelut hylkäävät lyhyemmät avaimet.	Vaihda lähettävässä palvelussasi 2048-bittiseen avaimeen.
Valitsimella k1 on tietue, jota emme pystyneet tulkitsemaan DKIM-avaimeksi.	–
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
MX
Verkkotunnuksella example.com ei ole MX-tietuetta. Sille lähetetty posti menee verkkotunnuksen omaan IP-osoitteeseen, jos sellainen on, tai palautuu lähettäjälle.	–
Verkkotunnus example.com julkaisee null MX -tietueen. Se kertoo, ettei verkkotunnus lähetä eikä vastaanota postia.	–
Verkkotunnuksella example.com on 2 postipalvelinta.	–
Postipalvelimella gone.example.com ei ole IP-osoitetta. Sille ohjattua postia ei voi toimittaa perille.	Korjaa tai poista palvelimen gone.example.com MX-merkintä.
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
TLS-RPT
Verkkotunnuksella example.com ei ole TLS-RPT-tietuetta. Postilaatikkopalvelut eivät voi kertoa sinulle, kun ne eivät saa siihen TLS-yhteyttä.	Julkaise TLS-RPT-tietue Tietueet-välilehdeltä.
TLS-RPT-tietue ohjaa raportit muualle eikä osoitteeseen abc@reports.example.net, joten ne eivät näy täällä.	Lisää mailto:abc@reports.example.net rua-tagiin.
TLS-RPT-tietue on paikallaan.	–
TLS-RPT-tietueessa on virhe kohdassa rua. Postilaatikkopalvelut ohittavat sen.	–
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
BIMI
Verkkotunnuksella example.com ei ole BIMI-tietuetta. Se on tavallista. BIMI näyttää logon postisi vieressä joissakin postilaatikoissa ja vaatii maksullisen varmenteen.	–
BIMI-tietue on paikallaan.	–
Tietueessa ei mainita varmennetta. Gmail ja Apple Mail näyttävät logon vain varmenteen kanssa.	–
BIMI-tietueessa on virhe kohdassa l. Postilaatikkopalvelut ohittavat sen.	–
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–
Emme saaneet haettua BIMI-logoa l=-osoitteesta. Postilaatikkopalvelut eivät näytä sitä.	–
BIMI-logo ei ole SVG-tiedosto, jonka voisimme lukea.	–
BIMI-logo ei ole SVG Tiny PS -muodossa. Sen svg-elementissä pitää olla version="1.2" ja baseProfile="tiny-ps".	–
BIMI-logossa ei ole title-elementtiä. SVG Tiny PS vaatii sen.	–
BIMI-logossa on skripti. Postilaatikkopalvelut hylkäävät logot, joissa on skriptejä.	–
BIMI-logo viittaa johonkin tiedoston ulkopuolelle. SVG Tiny PS ei salli ulkoisia viittauksia.	–
BIMI-logo on animoitu. SVG Tiny PS ei salli animaatiota.	–
BIMI-logon svg-elementissä on x- tai y-attribuutti. SVG Tiny PS ei salli niitä siinä.	–
BIMI-logo ei ole neliö. Postilaatikkopalvelut näyttävät sen neliössä tai ympyrässä.	–
BIMI-logo on SVG Tiny PS -muodossa sikäli kuin voimme tarkistaa.	–
Emme saaneet haettua BIMI-varmennetta a=-osoitteesta.	–
Tiedosto a=-osoitteessa ei ole varmenne, jonka voisimme lukea.	–
BIMI-varmenne on vanhentunut. Postilaatikkopalvelut lakkaavat näyttämästä logoa.	–
BIMI-varmenne ei ole vielä voimassa.	–
BIMI-varmenteessa ei mainita verkkotunnusta example.com.	–
BIMI-varmenne mainitsee verkkotunnuksen example.com ja on voimassa. Emme tarkista, kuka sen on myöntänyt.	–
MTA-STS
Verkkotunnuksella example.com ei ole MTA-STS-tietuetta. Se on vapaaehtoinen. Tietue käskee lähettäviä palvelimia vaatimaan TLS-yhteyden, kun ne toimittavat postia sinulle.	–
MTA-STS-tietueessa on virhe kohdassa id. Lähettävät palvelimet ohittavat sen.	–
Emme saaneet haettua käytäntötiedostoa osoitteesta https://mta-sts.example.com/.well-known/mta-sts.txt (blocked_address). Lähettävät palvelimet eivät voi soveltaa käytäntöä, jota ne eivät pysty lukemaan.	–
Käytäntötiedostossa on virhe kohdassa mode. Lähettävät palvelimet ohittavat sen.	–
Käytäntö on testing-tilassa. Lähettävät palvelimet raportoivat ongelmista ja toimittavat postin silti perille.	–
Käytännön tila on none, joka ei pakota mitään. Yleensä se tarkoittaa, että jokin siirto on jäänyt kesken.	Aseta mode-arvoksi ensin testing ja sitten enforce, kun raporteissa ei enää näy ongelmia.
Käytäntö on enforce-tilassa. Lähettävät palvelimet vaativat TLS-yhteyden postipalvelimiisi.	–
Käytännöstä puuttuu postipalvelimia: mail2.example.com. Lähettävät palvelimet eivät toimita postia palvelimelle, jota käytäntö ei mainitse.	Lisää puuttuvat palvelimet käytäntötiedostoon ja vaihda sitten tietueen id.
Käytännön max_age on 3600 sekuntia. Lähettävät palvelimet unohtavat käytännön niin pian. Tavallisesti arvo on viikko tai enemmän.	Aseta max_age-arvoksi 604800 tai enemmän.
Emme saaneet yhteyttä verkkotunnuksen example.com DNS:ään. Vika on meidän päässämme tai verkossa, ei tietueessasi. Yritämme uudelleen seuraavassa ajastetussa tarkistuksessa.	–

Julkaistu 27. lokakuuta 2026 · Tarkistettu 27. lokakuuta 2026