SPF, DKIM og DMARC er tre poster i jeres domænes DNS. De er usynlige i hverdagen, men de afgør to vigtige ting: om fremmede kan sende mail, der ser ud som om den kommer fra jer, og om jeres egne mails når frem i stedet for at havne i modtagerens spamfilter.

Rigtigt sat op er de en af de mest omkostningseffektive sikkerhedsforanstaltninger, der findes — de koster ingenting ud over lidt arbejde. Forkert sat op, eller slet ikke sat op, er de en åben dør.

Her er en forklaring uden jargon, de fejl vi oftest finder, og en udrulningsplan i fire trin, som ikke risikerer at afbryde forretningskritiske mails.

SPF: hvem må sende i vores navn?

SPF er en liste over de servere, der har lov til at sende mail for jeres domæne. Modtagerens mailserver kan slå listen op og se, om afsenderen står på den.

Den klassiske fejl er, at listen er ufuldstændig. Sender I mail fra Microsoft 365, jeres nyhedsbrevssystem, jeres CRM, jeres bogføringssystem og jeres hjemmesides kontaktformular, skal alle fem stå på listen. Mangler en, ryger de mails i spam — og typisk opdager man det først, når en kunde nævner, at de ikke har fået en faktura.

Den anden klassiske fejl er for mange opslag. SPF har en grænse på tio DNS-opslag, og den overskrides let, når man har samlet systemer sammen i årevis. Overskrides den, holder SPF op med at virke — uden nogen fejlmeddelelse nogen steder.

DKIM: er mailen ændret undervejs?

DKIM sætter en digital signatur på udgående mail. Modtageren kan tjekke signaturen mod en nøgle i jeres DNS og derved se, at mailen faktisk kommer fra jer og ikke er ændret undervejs.

DKIM skal slås til for hvert system, der sender i jeres navn. I Microsoft 365 er det et par klik, men det bliver ofte glemt for de øvrige systemer — og det er dem, der giver problemerne.

DKIM har en fordel over SPF: signaturen overlever, når en mail videresendes. SPF gør ikke, fordi afsenderserveren så er en anden. Det er grunden til, at man har brug for begge.

DMARC: hvad skal der ske, når det ikke passer?

DMARC binder de to sammen og fortæller modtageren, hvad der skal ske med mail, der ikke består kontrollen. Der er tre niveauer:

  • none: Gør ingenting, men send rapporter. Bruges til at kortlægge.
  • quarantine: Læg i spam.
  • reject: Afvis helt.

Rigtig mange danske domæner står på none — hvilket i praksis betyder ingen beskyttelse. Det er som en tyverialarm, der registrerer indbrud men ikke gør noget. Målet er reject, men man skal derhen i etaper.

Udrulningsplan i fire trin

Trin 1: Kortlæg alle afsendere

Skriv en liste over alt, hvad der sender mail i jeres navn. Husk de oversete: fakturasystem, HR-system, bookingløsning, alarm- og overvågningssystemer, kopimaskinen der scanner til mail, nyhedsbrevsværktøjet, jeres webshop, og eventuelle gamle servere.

Vores erfaring er, at listen er 30 til 50 procent længere, end nogen forventer.

Trin 2: Sæt DMARC til none med rapportering

Nu begynder I at modtage rapporter over, hvem der sender i jeres navn. Erfaringsmæssigt afdækker det to til fire systemer, ingen havde tænkt på — og nogle gange også en reel misbruger.

Brug et værktøj til at læse rapporterne. De er i XML og ikke egnede til manuel gennemgang; der findes gratis og billige tjenester, der laver dem til en overskuelig oversigt.

Trin 3: Ret SPF og DKIM til, indtil alt består

Dette er den del, der tager tid — typisk fire til otte uger. Hvert system skal på SPF-listen og have DKIM slået til. Rapporterne viser fremgangen uge for uge.

Er I tæt på grænsen på tien DNS-opslag i SPF, er dette også tidspunktet til at rydde op: fjern systemer, I ikke bruger længere, og overvej et værktøj der flader listen ud.

Trin 4: Stram til quarantine og derefter reject

Når rapporterne viser, at alt legitimt består, sæt til quarantine. Lev med det i et par uger og hold øje. Sæt derefter reject. Nu kan ingen sende mail i jeres navn.

Overvej at starte med en procentdel — DMARC understøtter at anvende politikken på for eksempel 25 procent af mailen først. Det er en blød overgang, hvis I er usikre.

Spring ikke til reject med det samme

Det er den fejl, der giver den dyre mandag: bogføringssystemets fakturamails bliver afvist, og ingen opdager det i tre dage. Kunderne har ikke fået deres fakturaer, og der er ingen fejlmeddelelse nogen steder hos jer.

Rækkefølgen findes af en grund. Fire til otte uger er ikke lang tid i forhold til den risiko.

Hvorfor det også er en forretningsfordel

Ud over sikkerheden har det direkte betydning for leveringssikkerheden. Mails, der består SPF, DKIM og DMARC, har markant større chance for at lande i indbakken frem for i spam.

Sender I tilbud og fakturaer på mail, er det ren forretning. En faktura i spamfilteret bliver betalt for sent, og et tilbud i spamfilteret bliver ikke besvaret.

Flere store mailudbydere har desuden strammet kravene til afsendere de senere år. Domæner uden ordentlig opsætning får i stigende grad afvist deres mail — og det bliver kun strammere.

Hvad med underdomæner?

Et punkt, der ofte glemmes. Har I underdomæner — for eksempel til et nyhedsbrev eller et testmiljø — bør de også dækkes. DMARC har en indstilling for underdomæner, og uden den kan en angriber sende fra et underdomæne, I ikke bruger.

Har I domæner, I slet ikke bruger til mail — for eksempel et gammelt firmanavn eller en variant, I har købt for at beskytte brandet — så sæt en DMARC-politik på reject og en tom SPF-post på dem. Ubrugte domæner er attraktive netop fordi ingen holder øje.

Hold øje bagefter

Opsætningen er ikke en engangsopgave. Hver gang der tages et nyt system i brug, der sender mail, skal listen opdateres — og det sker typisk uden at nogen tænker på DNS.

Løbende overvågning af DMARC-rapporter fanger både nye systemer og forsøg på misbrug. Det er en af de ting, vi holder øje med for kunderne løbende, netop fordi den ellers bliver glemt, indtil noget går galt.

Netdk sætter det op og overvåger

Overvågning af SPF, DKIM og DMARC er en del af vores sikkerhedspakker. Vi laver kortlægningen, retter DNS til, og fører jer trygt fra none til reject uden at afbryde forretningskritiske mails.

Vi arbejder med virksomheder i Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder, og vi tager gerne dialogen med jeres øvrige leverandører, hvis der er systemer, vi skal have DKIM slået til på.

Næste skridt

Vil I vide, om nogen kan sende mail i jeres navn lige nu? Ring på 70 23 57 70 — vi tjekker det på fem minutter og siger, hvor I står.