Koble et domene til Google Workspace

Du kan bruke et .no-domene i Google Workspace uansett hvor domenet er registrert, så lenge du kan endre DNS. Oppsettet består av fire separate handlinger:

1. bekrefte domenet med en unik TXT-post
2. opprette brukere, aliaser og administratorer i Workspace
3. autentisere utgående e-post med SPF, DKIM og DMARC
4. endre MX når Google skal overta ny innkommende e-post

Det er først MX-endringen som flytter mottaket. Domeneverifisering alene skal ikke stoppe eksisterende e-post.

Før du endrer DNS

Avklar først om domenet er ubrukt eller allerede har e-post.

Ubrukt domene

Du kan følge Google Admin-veiviseren direkte, men bør fortsatt opprette og teste alle adressene før de publiseres.

Domene med eksisterende e-post

Behandle oppsettet som en migrering. Før MX-bytte trenger du:

• liste over postbokser, aliaser, grupper og videresendinger
• liste over nettsider, fakturasystemer og andre avsendere
• kopi eller migreringsplan for gammel historikk
• eksport av dagens DNS-sone og registrert TTL
• tilgang til gammel tjeneste etter byttet
• tidspunkt, tester, ansvar og tilbakeføringsplan

Bruk migreringsplanen for e-post for datakopi, klienter, differansesynkronisering og avstemming.

Steg 1: hent den unike verifiseringsposten

Legg domenet til i Google Admin. Under domeneoppsettet får du en unik verdi som vanligvis starter slik:

google-site-verification=

Verdien skal kopieres komplett fra din egen administrasjonskonsoll. Ikke bruk en kode fra et eksempel eller et annet Google-produkt.

Google beskriver den gjeldende menyveien og feltene i veiledningen for TXT-verifisering . Menynavn kan endres, så verdien i Admin er fasiten.

Steg 2: publiser TXT-posten

Opprett posten hos DNS-leverandøren:

Kontroller at verdien er synlig fra en ekstern resolver før du trykker på bekreftelse i Google Admin. Verifiseringsposten kan sameksistere med andre TXT-poster og påvirker ikke nettsidens A-, AAAA- eller CNAME-poster.

Google opplyser at oppdagelse i noen tilfeller kan ta opptil 72 timer. I praksis bestemmes tiden av publisering hos autoritative navnetjenere, tidligere cache og TTL. Ikke legg inn samme post flere ganger fordi første forsøk ikke blir funnet umiddelbart.

Steg 3: opprett alle mottakere før MX-bytte

Opprett eller importer:

• brukerkontoer
• administratorer med minst nødvendig tilgang
• e-postaliaser
• Google-grupper og medlemskap
• sekundære domener eller domenealiaser
• eventuelle rutingsregler og delte arbeidsprosesser

Aktiver MFA og test innlogging. Kontroller også lisens, lagring og at Gmail-tjenesten er aktiv for målbrukerne.

Et alias er ikke en egen postboks, og en Google-gruppe er ikke automatisk en delt postboks. Test hver adressetype slik den faktisk skal brukes.

Steg 4: kartlegg alle utgående avsendere

Google Workspace er ofte bare én av flere tjenester som sender fra domenet. Registrer blant annet:

• nettside og kontaktskjema
• faktura og regnskap
• CRM, booking og kundeservice
• nyhetsbrev og transaksjonell e-post
• printere, skannere og overvåking
• gammel e-postleverandør i overgangsperioden

Noter synlig Fra-domene, konvoluttavsender, DKIM-domene og teknisk eier. Denne listen avgjør SPF- og DMARC-oppsettet.

Steg 5: oppdater den ene SPF-posten

SPF publiseres som TXT på domenet. Hvis Google Workspace er den eneste tjenesten som sender, viser Google dette eksemplet:

v=spf1 include:_spf.google.com ~all

Dette er ikke en universell verdi. Hvis nettsiden, nyhetsbrevet eller gammel leverandør også sender, må de legitime kildene inngå i den samme SPF-posten. To separate poster som begge starter med v=spf1 gir en SPF-feil.

Googles SPF-veiledning anbefaler å identifisere alle avsendere først og opplyser om grensen på ti DNS-oppslag. Se hvordan dere teller hele include-kjeden og reduserer SPF-oppslag . Fjern gammel leverandør først etter at ingen systemer bruker den.

SPF-autentisering av konvoluttavsenderen gir ikke alene DMARC-samsvar. Domenet må også være på linje med adressen brukeren ser, eller meldingen må få gyldig, justert DKIM.

Steg 6: generer og aktiver DKIM

I Google Admin går du til Gmail-innstillingene for autentisering, velger domenet og genererer en DKIM-post. Google oppgir:

• DNS-type
• selector og DNS-navn
• offentlig nøkkelverdi
• handlingen som starter signering etter publisering

Bruk 2048-biters nøkkel når DNS-leverandøren støtter TXT-verdien. Googles DKIM-veiledning opplyser at det kan ta 24–72 timer etter aktivering av Gmail før nøkkelen kan genereres i Admin.

Eksempler bruker ofte selector google og navnet google._domainkey, men ikke hardkod dette uten å sammenligne med din egen administrasjonskonsoll.

Etter at DNS-posten er synlig:

1. start autentisering i Google Admin
2. send en melding til en ekstern konto
3. åpne hele meldingshodet
4. bekreft dkim=pass
5. bekreft at DKIM-domenet er justert med Fra-domenet

En publisert nøkkel uten aktivert signering gir ingen DKIM-beskyttelse.

Steg 7: innfør DMARC gradvis

DMARC publiseres på _dmarc.dittdomene.no og vurderer justering mot synlig Fra-domene. Sett ikke en streng policy før alle legitime avsendere er funnet og testet.

Google anbefaler å ha SPF og DKIM i drift minst 48 timer før DMARC, starte med overvåking og deretter trappe opp håndhevingen. Se Googles anbefalte DMARC-utrulling .

Et startpunkt kan være:

v=DMARC1; p=none; rua=mailto:dmarc@dittdomene.no

Adressen i rua må finnes eller kunne motta rapporter. p=none samler data, men ber ikke mottakerne sette mistenkelig post i karantene eller avvise den. Gå videre til quarantine og reject først når rapportene viser at legitim trafikk er dekket.

Steg 8: forbered MX-endringen

En lav ny TTL hjelper ikke resolvere som fortsatt har den gamle verdien cachet. Minst én gammel TTL-periode før byttet:

1. les gjeldende MX og TTL eksternt
2. senk TTL kontrollert hvis leverandøren tillater det
3. vent minst hele den tidligere TTL-en
4. bekreft at den nye TTL-en faktisk publiseres

Bestem lanseringskrav og rollback før endringen. Gammel tjeneste skal fortsatt være aktiv.

Steg 9: bruk MX-verdien fra Google Admin

For nye Workspace-oppsett viser Googles nåværende MX-veiledning én standardpost:

Følg alltid verdien i Google Admin. Kontoer satt opp før 2023 kan ha de eldre aspmx.l.google.com-postene; Google sier at fungerende eldre oppsett ikke trenger å endres bare av den grunn.

Ved et planlagt leverandørbytte:

1. bekreft at målkontoene og autentiseringen er klare
2. fjern gammel MX og legg inn Googles MX i samme endringsvindu
3. aktiver Gmail for domenet i Google Admin
4. kontroller autoritative navnetjenere
5. kontroller eksterne resolvere
6. send innkommende tester til alle adressetyper

Ikke publiser gammel og ny leverandør som likeverdige MX-poster for å «dele» migreringen. MX-prioritet er reserve- og rutingslogikk, ikke synkronisering av postbokser.

Steg 10: test hele e-postkjeden

Test fra og til flere eksterne tjenester:

• hovedpostbokser
• aliaser
• grupper
• svar og videresending
• store og små vedlegg
• norsk tegnsett
• kalenderinvitasjoner
• hver nettside eller applikasjon som sender

I hele meldingshodet skal dere undersøke SPF, DKIM og DMARC, faktisk avsendertjeneste og leveringsvei. «Meldingen kom frem» er ikke nok hvis den feilet autentisering eller havnet i spam.

Bruk Google Admin Toolbox som én kontroll, sammen med autoritative DNS-oppslag og leveringslogger i Admin.

Steg 11: kjør differansekopi og avstem

Noen avsendere kan fortsatt bruke gammel cache, og meldinger kan ligge i kø. Hold gammel tjeneste aktiv til:

• hele tidligere TTL er passert
• observert trafikk ikke lenger går til gammel side
• migreringsverktøyet har kjørt ny differansekopi
• mapper og meldinger er avstemt
• klienter og integrasjoner er bekreftet
• kritiske avvik er lukket

Det finnes ingen fast 24-, 48- eller 72-timersgrense som beviser at migreringen er ferdig. Bruk DNS-data, leveringslogger, køatferd og faktisk trafikk.

Gjenopprett normal TTL etter stabil drift. Fjern gammel SPF-autorisasjon og andre gamle poster først når avsenderne virkelig er avviklet.

Feilsøking etter type

Ikke endre flere poster samtidig uten en hypotese. Ta ett eksternt DNS-oppslag og ett meldingshode, og spor derfra.

Hva påvirkes ikke av Workspace-oppsettet?

MX, SPF, DKIM og DMARC er e-postrelaterte poster. Nettsidens A-, AAAA- og CNAME-poster skal normalt beholdes. Du kan ha domenet og nettsiden hos Vymo, mens Google Workspace håndterer e-post.

Et domenekjøp hos Vymo inkluderer ikke et Google Workspace-abonnement eller migrering. Søk etter et ledig domene hvis du starter nytt. Har domenet allerede e-post, dokumenter omfanget og bruk den kontrollerte migreringsplanen før du endrer DNS.