SPF, DKIM og DMARC forklaret
SPF, DKIM og DMARC lyder tekniske, men opgaven er enkel: de fortæller modtagernes mailservere, at en mail fra jeres domæne faktisk er sendt af jer. Uden dem risikerer I både at havne i spamfilteret og at andre kan sende falske mails i jeres navn.
Kort fortalt
- De tre standarder løser to ting på én gang: leveringsevne til indbakken og beskyttelse mod misbrug af jeres domæne.
- SPF angiver hvilke servere der må sende for jer, DKIM signerer mailen kryptografisk, og DMARC binder dem sammen med en politik og rapportering.
- Rul DMARC ud i trin — start med overvågning, gå videre til karantæne og slut med afvisning.
- De fleste fejl skyldes glemte tredjepartsafsendere eller en politik, der aldrig når længere end overvågning.
Hvorfor e-mailautentificering betyder noget
E-mail blev opfundet uden nogen indbygget måde at bevise, hvem afsenderen er. Derfor kan enhver i princippet skrive jeres firmanavn i afsenderfeltet. Modtagernes mailservere er nødt til at gætte, om en mail er ægte — og det gætter de bedre, når I selv fortæller dem, hvad der er tilladt.
Det handler om to ting på samme tid. Den ene er leveringsevne: at jeres tilbud, fakturaer og svar rent faktisk lander i indbakken i stedet for i spam eller helt bliver afvist. Den anden er sikkerhed: at svindlere ikke kan sende falske mails, der ser ud til at komme fra jer, til jeres kunder, leverandører eller egne medarbejdere.
De store mailudbydere skærper løbende deres krav. Manglende autentificering betyder i stigende grad, at jeres mail sorteres fra, før nogen ser den. SPF, DKIM og DMARC er de tre standarder, der tilsammen giver modtageren et klart svar på, om en mail kan stoles på.
SPF — hvilke servere må sende for jer
SPF (Sender Policy Framework) er en liste over de servere, der har lov til at sende mail på vegne af jeres domæne. Listen offentliggøres som en enkelt tekstpost i jeres DNS — den samme adressebog, der fortæller internettet, hvor jeres domæne bor.
Når en mail ankommer, slår modtagerens server op i jeres SPF-post og tjekker, om afsenderserveren står på listen. Gør den det, er ét af tegnene på ægthed på plads. Står den ikke der, er det et advarselstegn. SPF alene beviser dog ikke, at selve indholdet er uændret — det klarer DKIM.
Det vigtigste er, at listen er komplet. Bruger I både Microsoft 365 til den daglige mail, et nyhedsbrevsværktøj og måske et CRM eller fakturasystem, der sender på jeres vegne, skal alle med. Glemmes én, bliver dens mails behandlet som mistænkelige.
DKIM — en digital signatur på hver mail
DKIM (DomainKeys Identified Mail) lægger en usynlig, kryptografisk signatur på hver mail, I sender. Signaturen fungerer som et forseglet stempel: den beviser både, at mailen er sendt fra jeres domæne, og at den ikke er blevet ændret undervejs.
Det bygger på et nøglepar. Den private nøgle ligger hos jeres mailudbyder og bruges til at signere hver udgående mail. Den offentlige nøgle offentliggøres i jeres DNS, så modtageren kan kontrollere, at signaturen passer. Passer den, ved modtageren, at indholdet er intakt og reelt kommer fra jer.
DKIM overlever bedre end SPF, når en mail videresendes, fordi signaturen følger med selve mailen frem for at afhænge af, hvilken server der leverer den. Derfor supplerer de to standarder hinanden — og derfor vil I gerne have begge på plads, ikke kun den ene.
DMARC — politikken der binder det sammen
DMARC (Domain-based Message Authentication, Reporting and Conformance) er reglen, der binder SPF og DKIM sammen. Den fortæller modtagerens server, hvad der skal ske, hvis en mail ikke består kontrollen — og den beder samtidig om rapporter, så I kan se, hvem der sender i jeres navn.
DMARC har tre niveauer, og rækkefølgen er vigtig. Start med p=none, hvor intet blokeres, men I modtager rapporter og får overblik over jeres egne og eksterne afsendere. Gå derefter til p=quarantine, hvor mail, der ikke består, havner i spam. Slut med p=reject, hvor falsk mail afvises helt, før den når frem.
Den trinvise udrulning er hele pointen. Hopper I direkte til afvisning, risikerer I at blokere jeres egne legitime mails, fordi en afsender ikke var sat korrekt op. Ved at begynde med overvågning kan I rette fejlene i ro og mag, før politikken begynder at blokere noget.
Typiske fejl — og hvordan Webits sætter det op
De fleste problemer skyldes ikke selve teknikken, men detaljer i opsætningen. En manglende post, en glemt afsender eller en politik, der aldrig kommer videre fra overvågning, er nok til, at hverken leveringsevne eller beskyttelse fungerer, som den skal.
Hos Webits hører e-mailautentificering med til den mailhosting og DNS, vi står for. Vi kortlægger alle jeres afsendere, opretter de rigtige poster, ruller DMARC ud i trin og læser rapporterne, indtil politikken trygt kan sættes til afvisning — og holder øje med det bagefter.
- Manglende eller forkert opsat SPF-, DKIM- eller DMARC-post i DNS.
- For mange DNS-opslag i SPF-posten, så den holder op med at virke.
- Glemte tredjepartsafsendere som nyhedsbrevsværktøj, CRM eller fakturasystem.
- En DMARC-politik der bliver stående på p=none for evigt uden reel beskyttelse.
- Ingen der læser DMARC-rapporterne, så fejl og misbrug opdages aldrig.
Næste skridt
Brug vores guide til at vælge den rette proces, eller læs om hvordan Webits arbejder med IT-automatisering og systemintegrationer. En konkret vurdering begynder med jeres nuværende arbejdsgang, ikke med et bestemt værktøj.