Modul 4 · 4.1
SPF, DKIM og DMARC: slik hindrer du falsk e-post i ditt navn
Modul 4: E-post, nettside og domene · Lesetid: 9 minutter
Læringsmål: Etter denne leksjonen kan du forklare hvordan SPF, DKIM og DMARC sammen hindrer misbruk av domenet ditt, hvor grensen for beskyttelsen går, og du kan sjekke og vurdere status for ditt eget domene.
Nøkkelbegreper: spoofing, SPF, DKIM, DMARC, alignment (samsvar), policy none / quarantine / reject, DMARC-rapporter, null MX, lookalike-domene
Hvorfor dette er et sikkerhetstema
I modul 1 så du hvordan fakturasvindel fungerer: en kunde får en e-post «fra» factuur@example.com med et nytt kontonummer. Hvis domenet ditt ikke er beskyttet, trenger en svindler ikke å hacke noe som helst for å gjøre dette. E-post ble laget på 1980-tallet uten kontroll av avsender. Enhver e-postserver i verden kan sende en melding med adressen din i «Fra:»-feltet. Dette kalles spoofing.
Offeret er da ikke deg, men kunden eller leverandøren din. Likevel er det ditt navn som blir skadelidende, og ofte er det telefonen din som ringer. Derfor hører beskyttelsen av e-postdomenet ditt hjemme i et sikkerhetskurs, og ikke bare under «sørge for at e-posten kommer frem».
Tre DNS-poster sørger sammen for at mottakere kan gjenkjenne og avvise falsk e-post i ditt navn: SPF, DKIM og DMARC. I denne leksjonen lærer du hva de gjør sammen, hva de ikke gjør, og hvordan du vurderer ditt eget domene. De tekniske detaljene (oppbyggingen av hver post, fallgruvene ved oppsett) finner du i DNS-kurset, leksjon 4.3, 4.4 og 4.5, og etter hvert i kurset E-post i orden (under utvikling).
Tre kontroller, ett spørsmål
| Post | Hva den sier | Hvor den står | Hva mottakeren kontrollerer |
|---|---|---|---|
| SPF | «Disse serverne har lov til å sende e-post på vegne av meg.» | TXT-post på example.com, begynner med v=spf1 | Kommer e-posten fra en server som står på listen? Det er den tekniske konvoluttadressen (Return-Path) som sjekkes, ikke «Fra:»-adressen. |
| DKIM | «Ekte e-post fra meg har denne signaturen.» | TXT- eller CNAME-post på <selector>._domainkey.example.com | Stemmer den digitale signaturen, og er e-posten uendret underveis? |
| DMARC | «Hører den vellykkede kontrollen til mitt domene? Hvis ikke, gjør dette.» | TXT-post på _dmarc.example.com, begynner med v=DMARC1 | Består SPF eller DKIM for domenet i «Fra:»-adressen? Dette kalles alignment (samsvar). |
Det viktigste poenget: SPF og DKIM alene er ikke nok. En svindler kan sende e-post som består SPF fint for sitt eget domene og er pent signert av sitt eget domene, mens «Fra:»-feltet viser info@example.com. Først DMARC kobler dette til adressen kunden din faktisk ser. Og først DMARC forteller mottakeren hva som skal gjøres hvis det ikke stemmer.
En mottaker noterer resultatet i e-postens topptekster. I leksjon 3.3 lærte du å lese disse. En falsk e-post i ditt navn kan se slik ut hos en mottaker:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF og DKIM består, men for et annet domene. DMARC feiler, og fordi policyen for example.com er satt til reject, avviser mottakeren e-posten.
De tre policy-nivåene i DMARC
| Policy | Hva mottakere gjør med e-post som ikke stemmer | Hva det gir deg |
|---|---|---|
p=none | Ingenting, e-posten leveres som vanlig. | Rapporter (hvis du fyller inn rua=) og oversikt over hvem som sender e-post på dine vegne. Ingen beskyttelse ennå. |
p=quarantine | Til søppelpost-mappen. | Falsk e-post blir mindre synlig, men finnes fortsatt. |
p=reject | Avvises. | Den beste beskyttelsen mot misbruk av domenet ditt. |
Mange bedrifter blir stående på p=none i årevis. Det er forståelig, for det er trygt for din egen e-post, men det er ikke et sluttpunkt. Med p=none har du et alarmsystem som utløses, men som ikke låser døren.
Riktig rekkefølge
En for streng policy på et domene der ikke alle avsendere er kjent, gjør at dine egne fakturaer eller nyhetsbrev forsvinner. En for slapp policy lar svindlere holde på som før. Rekkefølgen som fungerer for nesten alle:
- Lag en liste over alt som sender e-post på vegne av domenet ditt. E-postleverandøren din, men også nettstedet ditt (kontaktskjema, nettbutikk), regnskapsprogrammet, nyhetsbrevtjenesten, timebestillingssystemet. Dette er det folk oftest glemmer.
- Få SPF i orden: nøyaktig én post, alle avsendere inkludert, avsluttet med
~all(trygt standardvalg) eller-all(hvis du er sikker på at listen stemmer). Aldri+all. - Skru på DKIM for hver tjeneste som støtter det, med nøyaktig de postene tjenesten oppgir.
- Start DMARC med
p=noneog en rapportadresse (rua=mailto:dmarc@example.com). Se i rapportene over noen uker hvilke tjenester som består og hvilke som ikke gjør det. - Gå videre til
p=quarantineog deretter tilp=rejectnår du ikke lenger ser egen e-post feile.
Et domene som aldri sender e-post (et merkenavn du bare har registrert, et gammelt domene) kan du sikre strengt med én gang. Svindlere oppsøker nettopp slike domener, fordi ingen følger med på dem:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Null MX (0 .) sier «her kommer det ikke e-post», -all sier «ingen har lov til å sende e-post på vegne av dette domenet», og p=reject ber mottakere avvise alt.
Hva det ikke stopper
SPF, DKIM og DMARC beskytter ditt eksakte domenenavn. De er ikke et phishingfilter. Tre ting stopper de ikke:
- Lookalike-domener. En svindler registrerer
examp1e.exampleellerexample-facturen.exampleog setter selv opp SPF, DKIM og DMARC pent der. Den e-posten består overalt. Bare det å lese domenet nøye (leksjon 3.2) hjelper, eventuelt kombinert med å sikre de mest nærliggende variantene av ditt eget navn. - Bare visningsnavnet. E-post fra
bakkerij.example.factuur@gratismail.examplemed visningsnavnet «Bakkerij Example» har ingenting med domenet ditt å gjøre. DMARC ser på adressen, ikke på navnet. - En hacket e-postkonto. Hvis en angriper logger inn på
info@example.com, sender han e-post via din egen, ekte server. Den e-posten består SPF, DKIM og DMARC, fordi den teknisk sett er ekte. Det er sterke passord og tofaktorautentisering (2FA) som beskytter mot dette (modul 2).
SPF, DKIM og DMARC beviser at en e-post kommer fra domenet. De beviser ikke at domenet er til å stole på, og heller ikke at avsenderen er den han utgir seg for å være.
Hva det gir deg og kundene dine
- Beskyttelse av kundene dine. Med
p=rejectblir falske fakturaer i ditt eksakte navn avvist hos de store e-postleverandørene før kunden din ser dem. - Bedre levering. Siden februar 2024 krever Gmail og Yahoo at alle som sender mer enn omtrent 5 000 e-poster per dag, har SPF, DKIM og DMARC (minst
p=none); Microsoft stiller samme krav for Outlook.com og Hotmail siden mai 2025. Også for små avsendere havner e-post med god autentisering sjeldnere i søppelpost. - Oversikt over misbruk. DMARC-rapportene viser om noen prøver å bruke domenet ditt. Bruk en egen adresse til dette; du vil raskt motta flere rapporter om dagen.
DMARC ble revidert i mai 2026 som RFC 9989, som erstatter RFC 7489. Eksisterende poster med v=DMARC1 fungerer fortsatt som før.
I praksis: slik ser det ut
Du kan sjekke statusen til ethvert domene uten å installere noe. Uavhengig kan du bruke e-posttesten til internet.nl. Også den offentlige e-postsjekken og domenehelsesjekken fra WebOké viser SPF, DMARC og MX med en grønn, oransje eller rød prikk. Har du domenet hos WebOké, finner du den samme kontrollen som et kort på domenesiden i Min side, med en knapp for å legge til en manglende DMARC-post med p=none. Hos andre leverandører fungerer det på lignende måte: se etter «e-postautentisering» eller DNS-innstillingene for domenet ditt.
Vær oppmerksom på hva «grønt» betyr i hvert enkelt verktøy. Noen verktøy viser grønt allerede ved p=none, fordi posten er gyldig. Sikkerhetsmessig er p=none oransje: posten er i orden, men beskyttelsen er det ikke ennå.
Oppsummering
- Uten beskyttelse kan hvem som helst sende e-post med adressen din i «Fra:»-feltet (spoofing).
- SPF sier hvilke servere som har lov til å sende e-post, DKIM setter en signatur, DMARC kontrollerer om en av dem består for domenet kunden din ser, og sier hva som skal skje hvis ikke.
- Rekkefølge: kartlegg avsendere, SPF, DKIM, DMARC
p=nonemed rapporter, deretterquarantineogreject. Domener som ikke sender e-post, sikres med én gang. - De beskytter ikke mot lookalike-domener, villedende visningsnavn eller en hacket e-postkonto.
p=noneer en start, ikke en beskyttelse.
Quiz
Oppgave
Oppgave A4.1: Vurdere e-postbeskyttelsen til domenet ditt. Skriv inn ditt eget domenenavn (har du ikke noe, bruk sidn.nl). Programmet sjekker MX, SPF og DMARC og gir hver del grønt, oransje eller rødt med forklaring. Fyll deretter inn hvilken DMARC-policy som gjelder, og hva neste steg bør være.
Oppgave D4.1: Hvem sender e-post på vegne av domenet ditt? Lag en liste over alle tjenester som sender e-post med en adresse fra domenet ditt: e-postleverandør, nettside, nettbutikk, regnskap, nyhetsbrev, timebestillingssystem. Kryss av for hver tjeneste om den står i SPF-en din, og om den bruker DKIM med ditt eget domene. Skriv ned hvilken DMARC-policy du vil ha om tre måneder, og hva som må gjøres for å komme dit.
Oppgave D4.1: Hvem sender e-post på vegne av domenet ditt?
Slik gjør du det: (1) Skriv ned alle tjenester som sender e-post med en adresse fra domenet ditt: e-postleverandør, nettsted og kontaktskjema, nettbutikk, regnskap og fakturaer, nyhetsbrev, avtale- eller bookingsystem, CRM, skriver eller skanner som sender e-post. (2) Finn ut i innstillingene eller bruksanvisningen for hver tjeneste hvordan den setter opp SPF og DKIM for domenet ditt. (3) Send en testmelding fra hver tjeneste til deg selv og se på linjen Authentication-Results i meldingskilden (leksjon 3.3). (4) Noter for hver tjeneste: spf=, dkim= med header.d=, dmarc=.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- DNS-kurs, leksjon 4.3 (SPF), 4.4 (DKIM) og 4.5 (DMARC): https://www.weboke.no/dns-cursus
- Hva er DMARC? Forklart på en enkel måte
- Hvordan fungerer SPF-recorden i DNS?
- Opprett DMARC-post i DirectAdmin
- DirectAdmin-veiledning 5.7: SPF stille inn og utvide
- DirectAdmin-veiledning 5.8: Slå på og kontrollere DKIM
- DirectAdmin-veiledning 5.9: DMARC instellen
- Offentlig e-postsjekk: https://www.weboke.no/e-postsjekk
- Internet.nl, e-posttest (uavhengig): https://internet.nl