Sådan sætter du Safe Links op i Microsoft Defender for Office 365, uden at ødelægge legitime links

Et enkelt klik på et “normalt” link kan være nok til at starte et phishing-angreb. Derfor giver Microsoft Defender Safe Links god mening i mange SMV’er. Problemet opstår, når Safe Links omskriver eller stopper links, som medarbejdere faktisk har brug for.

Målet er ikke at skrue ned for it-sikkerhed. Målet er at sætte Safe Links op, så det rammer de rigtige ting, og lader resten passere. Det kræver lidt forarbejde, skarpe undtagelser og løbende justering.

Safe Links beskytter brugere ved at kontrollere URL’er på klik-tid. Det er pointen: Et link kan være “rent” kl. 09:00 og være kompromitteret kl. 14:00. Safe Links tjekker derfor, når brugeren klikker, ikke kun når mailen leveres.

I praksis sker der ofte tre ting:

• Linket oms skrives til en Safe Links-URL (en redirect), så Defender kan kontrollere klikket.
• Der sker en reputation-check mod kendte skadelige domæner og mønstre.
• Hvis noget ser forkert ud, får brugeren en blokside (eller en advarsel, afhængigt af jeres valg).

Det er også her, legitime links kan fejle. Typiske årsager:

• Lange tracking-links med mange parametre (utm osv.) ser “mistænkelige” ud.
• Redirectors (marketing og e-signatur) laver flere hop, og et hop kan være klassificeret dårligt.
• SSO og password reset-links kan være tidsbegrænsede, og omskrivning kan forstyrre flowet.
• SharePoint og Teams-links kan håndteres anderledes end almindelige web-links.

I starten af 2026 ser mange også, at beskyttelse omkring Teams-beskeder strammes, blandt andet med udvidet efterleverings-rydning (ZAP). Det gør overvågning endnu vigtigere, fordi trusler kan blive fjernet efter de er leveret.

For en officiel forklaring af funktionen og dækningsområdet, brug Microsofts Safe Links-overblik.

Start med at tænke Safe Links som en “toldkontrol”. Den virker bedst, når man har en klar rute for, hvem der går igennem, og hvad der må slippe uden at stoppe hele trafikken.

Vælg 5 til 15 brugere, gerne fra salg, økonomi og ledelse. De klikker typisk på mange eksterne links (CRM, e-signatur, portaler). Det giver hurtig feedback.

I Microsoft 365 Defender-portalen opretter I en Safe Links-policy og målretter den mod pilotgruppen. Brug den officielle opskrifts-side som tjekliste undervejs: opsætning af Safe Links-policies.

Indstillinger der ofte giver en god balance i SMV:

• Click-time protection : Skal være tændt. Det er kernen.
• Apply to internal mail : Overvej det. Mange angreb starter med kompromitterede interne konti. Start evt. med “fra ekstern” i piloten og udvid senere.
• Track user clicks : Tænd, så I kan se effekten i rapporter.
• Allow users to click through : Vær forsigtig. I SMV’er giver det ofte færre support-sager at blokere hårdt, men det kræver, at false positives håndteres hurtigt.

Det frister at whiteliste for meget. Det bliver hurtigt et hul i firewallen, bare på e-mailniveau.

Tommelregler:

• Undtag domæner og præcise paths , ikke hele internettet.
• Undtag kun det nødvendige , og sæt en fast dato for revidering.
• Undgå “ alt fra leverandør X ”, hvis X også bruger tredjeparts-tracking.

Når I skal allow/block’e URL’er på tenant-niveau, så brug den rigtige funktion, ikke tilfældige undtagelser. Microsoft beskriver det her: Tenant Allow/Block List for URL’er.

Hvis miljøet er nyt, eller man vil undgå hjemmelavede policies, så brug Microsofts anbefalinger som udgangspunkt, og justér derfra: Microsofts anbefalede sikkerhedsindstillinger.

Safe Links er et lag. Det står sammen med antivirus på endpoints, firewall på netværket og en ordentlig backup af data. Det er samme princip som flere låse på døren. Ingen af dem er nok alene.

Her er de klassiske “det virkede i går” links, plus en praksisnær måde at håndtere dem på.

Problem: Lange URL’er med mange parametre kan trigge scanning eller give ekstra redirects.

Løsning der holder:

• Sørg for at marketing bruger direkte destinationer , ikke kædede omdirigeringer.
• Undtag kun jeres eget domæne, fx firma.dk , ikke alle tracking-domæner.
• Hvis I bruger eksterne tracking-domæner, så undtag dem, men hold dem på en kort, kontrolleret liste.

Problem: Linket i mailen peger ikke på slutmålet, og et mellem-hop kan være vurderet som risikabelt.

Løsning der holder:

• Prioritér at bruge fulde links i B2B-mails, især til kunder og offentlige.
• Hvis redirector er nødvendig (fx kampagnesporing), så undtag kun redirectorens domæne, og følg klik i rapporter.

Problem: Tokens udløber, og Safe Links omskrivning kan ændre timing eller håndtering.

Løsning der holder:

• Undtag kun de nødvendige login-domæner og paths, fx login.firma.dk/reset .
• Hold MFA tændt. Ellers bliver undtagelsen et nemt mål.
• Test fra flere klienter (Outlook desktop, web, mobil), før det rulles bredt ud.

Problem: Delingslinks kan se anderledes ud, og ændringer i Microsofts håndtering betyder, at ikke alt omskrives længere.

Løsning der holder:

• Start med standard Safe Links, og undtag kun hvis I har en konkret fejl.
• Kombinér med stram deling (ekstern deling, gæsteadgang, udløb på links).

Problem: Signeringsflows er ofte tidsstyrede sessions.

Løsning der holder:

• Undtag signeringsleverandørens domæne, men hold det smalt.
• Læg en intern proces, så brugere rapporterer blokeringer samme dag (så undtagelser ikke bliver “permanente af nød”).

Safe Links kræver drift, ikke kun opsætning. Ellers ender man med enten for mange blokeringer eller for mange undtagelser.

Arbejd fast med:

• Defender-rapporter for URL’er og klik : Se hvilke links der bliver blokeret, og hvem der rammes.
• Incident og alert-gennemgang : Kig efter mønstre, fx samme leverandør-domæne eller samme kampagnetype.
• Change-log for undtagelser : Hvem tilføjede hvad, og hvorfor, med en udløbsdato.

Når en legitim URL bliver blokeret, så brug denne rækkefølge:

1. Bekræft linket via leverandør og egen test.
2. Vurdér om linket kan ændres til et direkte link.
3. Lav den mindst mulige undtagelse, og sæt den til revision.

NetDK hjælper ofte SMV’er med it-support og it-løsninger omkring microsoft 365, både i århus og lystrup. Det praktiske arbejde er næsten altid det samme: pilot, måling, små justeringer, og faste rutiner.

• Pilotgruppe på plads, og tests sendt fra både intern og ekstern afsender
• Safe Links aktiveret med click-time protection og klik-sporing
• Undtagelser dokumenteret, smalle, og med revisionsdato
• Tenant Allow/Block List brugt til URL’er, ikke “alt muligt” i policies
• Proces for hurtig håndtering af false positives (samme dag)
• Defender-rapporter gennemgås ugentligt de første 4 uger
• Sammenhæng til øvrig it-sikkerhed på plads (antivirus, firewall, backup)

Safe Links skal stoppe de farlige klik, ikke forstyrre hverdagen. Når man holder undtagelser stramme og bruger rapporter aktivt, får man begge dele. It-sikkerhed bliver bedst, når den også fungerer i praksis.