SPF, DKIM og DMARC: sådan forhindrer du falske mails i dit navn

Modul 4: E-mail, website og domæne · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du forklare hvordan SPF, DKIM og DMARC sammen forhindrer misbrug af dit domæne, hvor deres grænse ligger, og du kan kontrollere og vurdere status for dit eget domæne.
Nøglebegreber: spoofing, SPF, DKIM, DMARC, alignment, politik none / quarantine / reject, DMARC-rapporter, null MX, lookalike-domæne

Hvorfor dette er et sikkerhedsemne

I modul 1 så du hvordan fakturasvindel fungerer: en kunde får en mail "fra" factuur@example.com med et nyt kontonummer. Hvis dit domæne ikke er beskyttet, behøver en svindler ikke at hacke noget som helst for det. E-mail blev opfundet i 1980'erne uden kontrol af afsenderen. Enhver mailserver i verden kan sende en besked med din adresse i "Fra:"-feltet. Det kaldes spoofing.

Offeret er så ikke dig selv, men din kunde eller leverandør. Alligevel er det dit navn der bliver skadet, og ofte din telefon der ringer. Derfor hører beskyttelsen af dit maildomæne hjemme i et sikkerhedskursus, og ikke kun under "sørg for at mail kommer frem".

Tre DNS-poster sørger sammen for at modtagere kan genkende og afvise falsk mail i dit navn: SPF, DKIM og DMARC. I denne lektion lærer du hvad de gør sammen, hvad de ikke gør, og hvordan du vurderer dit eget domæne. De tekniske detaljer (opbygningen af hver post, faldgruberne ved opsætning) findes i DNS-kurset, lektion 4.3, 4.4 og 4.5, og senere i kurset E-mail i orden (under udvikling).

Tre kontroller, ét spørgsmål

Den vigtigste indsigt: SPF og DKIM alene er ikke nok. En svindler kan sende mail der pænt består SPF for sit eget domæne og er pænt signeret af sit eget domæne, mens der i "Fra:"-feltet står info@example.com. Først DMARC skaber koblingen til den adresse din kunde ser. Og først DMARC fortæller modtageren hvad han skal gøre, hvis det ikke stemmer.

En modtager noterer resultatet i mailens headers. I lektion 3.3 lærte du at læse dem. En falsk mail i dit navn ser hos en modtager for eksempel sådan ud:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF og DKIM lykkes, men for et andet domæne. DMARC fejler, og fordi politikken for example.com står på reject, afviser modtageren mailen.

DMARC's tre politik-niveauer

Mange virksomheder bliver stående på p=none i årevis. Det er forståeligt, for det er sikkert for din egen mail, men det er ikke et slutpunkt. Med p=none har du et alarmsystem der går i gang, men som ikke låser døren.

Den rigtige rækkefølge

En for streng politik på et domæne hvor ikke alle afsendere er kendt, får dine egne fakturaer eller nyhedsbreve til at forsvinde. En for slap politik lader svindlere passere frit. Rækkefølgen der virker for næsten alle:

1. Lav en liste over alt der sender mail på vegne af dit domæne. Din mailudbyder, men også din hjemmeside (kontaktformular, webshop), dit bogføringsprogram, din nyhedsbrevstjeneste, dit bookingsystem. Dette glemmer folk oftest.
2. Få styr på SPF: præcis én post, alle afsendere i den, der slutter med ~all (sikker standard) eller -all (hvis du er sikker på at listen er korrekt). Aldrig +all.
3. Slå DKIM til for hver tjeneste der understøtter det, med præcis de poster tjenesten angiver.
4. Start DMARC med p=none og en rapportadresse (rua=mailto:dmarc@example.com). Kig et par uger i rapporterne for at se hvilke tjenester der lykkes, og hvilke der ikke gør.
5. Gå til p=quarantine og derefter til p=reject, når du ikke længere ser din egen mail fejle.

Et domæne der aldrig sender mail (et brandnavn du blot har registreret, et gammelt domæne) kan du straks sikre strengt. Svindlere opsøger netop sådanne domæner, fordi ingen holder øje med dem:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX'et (0 .) siger "her ankommer ingen mail", -all siger "ingen må sende mail på vegne af dette domæne", og p=reject beder modtagere om at afvise alt.

Hvad det ikke forhindrer

SPF, DKIM og DMARC beskytter dit præcise domænenavn. De er ikke et phishingfilter. Tre ting forhindrer de ikke:

• Lookalike-domæner. En svindler registrerer examp1e.example eller example-facturen.example og sætter selv pænt SPF, DKIM og DMARC op der. Den mail lykkes overalt. Kun det at læse domænet nøje (lektion 3.2) hjælper, samt eventuelt registrering af de mest nærliggende varianter af dit eget navn.
• Kun visningsnavnet. Mail fra bakkerij.example.factuur@gratismail.example med visningsnavnet "Bakkerij Example" har intet med dit domæne at gøre. DMARC kigger på adressen, ikke på navnet.
• En hacket mailboks. Logger en angriber ind på info@example.com, sender han mail via din rigtige server. Den mail består SPF, DKIM og DMARC, for teknisk set er den ægte. Det beskytter stærke adgangskoder og totrinsbekræftelse mod (modul 2).

SPF, DKIM og DMARC beviser at en mail kommer fra domænet. De beviser ikke at domænet er til at stole på, og heller ikke at afsenderen er den han udgiver sig for.

Hvad det giver dig og dine kunder

• Beskyttelse af dine kunder. Med p=reject afvises falske fakturaer i dit præcise navn hos de store mailudbydere, før din kunde ser dem.
• Bedre levering. Siden februar 2024 kræver Gmail og Yahoo af afsendere der sender mere end omkring 5.000 mails om dagen at de har SPF, DKIM og DMARC (mindst p=none); Microsoft stiller det samme krav siden maj 2025 for Outlook.com og Hotmail. Også for små afsendere havner mail med god autentificering sjældnere i spam.
• Overblik over misbrug. DMARC-rapporterne viser det hvis nogen forsøger at bruge dit domæne. Brug en separat adresse til det; du får hurtigt et par rapporter om dagen.

DMARC blev revideret i maj 2026 som RFC 9989, der erstatter RFC 7489. Eksisterende poster med v=DMARC1 fortsætter bare med at virke.

I praksis: sådan ser det ud

Du kan kontrollere status for et hvilket som helst domæne uden at installere noget. Uafhængigt kan du gøre det med mailtesten på internet.nl. Også den offentlige e-mailcheck og domænesundheden hos WebOké viser SPF, DMARC og MX med en grøn, orange eller rød prik. Har du dit domæne hos WebOké, finder du den samme kontrol som et kort på domænesiden i Mit WebOké, med en knap til at tilføje en manglende DMARC-post med p=none. Hos andre udbydere fungerer det tilsvarende: søg efter "e-mailautentificering" eller DNS-indstillingerne for dit domæne.

Vær opmærksom på hvad "grøn" betyder hos hvert værktøj. Nogle værktøjer viser allerede grønt ved p=none, fordi posten er gyldig. Set fra et sikkerhedsperspektiv er p=none orange: posten er i orden, beskyttelsen endnu ikke.

Opsummering

• Uden beskyttelse kan hvem som helst sende mail med din adresse i "Fra:"-feltet (spoofing).
• SPF siger hvilke servere der må sende mail, DKIM sætter en signatur, DMARC kontrollerer om en af dem lykkes for det domæne din kunde ser, og siger hvad der skal ske hvis det ikke er tilfældet.
• Rækkefølge: kortlæg afsendere, SPF, DKIM, DMARC p=none med rapporter, derefter quarantine og reject. Domæner der ikke sender mail lukkes straks.
• De beskytter ikke mod lookalike-domæner, vildledende visningsnavne eller en hacket mailboks.
• p=none er en begyndelse, ikke beskyttelse.

Quiz

Opgave

Opgave A4.1: Vurder e-mailbeskyttelsen af dit domæne. Indtast dit eget domænenavn (har du ikke et, så brug sidn.nl). Programmet henter MX, SPF og DMARC og giver per element grøn, orange eller rød med forklaring. Angiv derefter hvilken DMARC-politik der er sat op, og hvad dit næste skridt ville være.

Opgave D4.1: Hvem sender mails på vegne af dit domæne? Lav en liste over alle tjenester der sender mail med en adresse fra dit domæne: mailudbyder, hjemmeside, webshop, bogføring, nyhedsbrev, bookingsystem. Marker for hver tjeneste om den står i din SPF, og om den bruger DKIM med dit eget domæne. Skriv ned hvilken DMARC-politik du vil have om tre måneder, og hvad der stadig skal ske for at nå dertil.

Læs mere

Trinnene i WebOké-artiklerne gælder for WebOkés miljø; hos andre udbydere fungerer det tilsvarende.

• DNS-kursus, lektion 4.3 (SPF), 4.4 (DKIM) og 4.5 (DMARC): https://www.weboke.dk/dns-cursus
• Hvad er DMARC? Forklaring i almindeligt sprog
• Hvordan fungerer SPF-registreringen i DNS?
• Opret DMARC-post i DirectAdmin
• DirectAdmin vejledning 5.7: SPF opsætning og udvidelse
• DirectAdmin vejledning 5.8: DKIM slå til og kontrollere
• DirectAdmin vejledning 5.9: DMARC indstilling
• Offentlig e-mailcheck: https://www.weboke.dk/e-mail-tjek
• Internet.nl, mailtest (uafhængig): https://internet.nl