SPF, DKIM och DMARC är tre inställningar som avgör om omvärlden kan lita på att ett mejl från er domän verkligen kommer från er. Utan dem är det förvånansvärt enkelt för en bedragare att skicka ett mejl där avsändaren ser ut att vara er vd, er ekonomiavdelning eller er kundtjänst.
Inställningarna ligger i domänens DNS, alltså den adressbok på internet som talar om var er webbplats och er e-post finns. De syns inte för medarbetarna i vardagen, och därför blir de ofta bortglömda. I den här artikeln förklarar vi vad de tre gör, varför de spelar roll för ett mindre företag, vilka fallgropar som är vanligast och hur ni inför dem utan att era egna mejl slutar komma fram.
Vad SPF, DKIM och DMARC gör – förklarat utan teknik
Tänk på e-post som vanliga brev. Vem som helst kan skriva ett valfritt avsändarnamn på ett kuvert. De tre inställningarna är sätt för mottagaren att kontrollera att brevet faktiskt kommer från den som står som avsändare.
SPF – vilka servrar får skicka för er
SPF är en lista som ni publicerar i DNS. Den talar om vilka mejlservrar och tjänster som har rätt att skicka mejl med er domän som avsändare. Om ett mejl kommer från en server som inte står på listan kan mottagarens system se att något inte stämmer.
DKIM – en digital signatur på varje mejl
DKIM lägger en digital signatur på varje utgående mejl. Mottagaren hämtar en publik nyckel från er DNS och kan på så sätt kontrollera att mejlet verkligen skickats av en tjänst ni godkänt och att innehållet inte ändrats på vägen. Signaturen följer med mejlet även när det vidarebefordras, vilket gör DKIM robustare än SPF i vissa lägen.
DMARC – er policy och era rapporter
DMARC binder ihop SPF och DKIM. Med DMARC talar ni om för mottagarna vad de ska göra med mejl som påstår sig komma från er men inte klarar kontrollerna: släppa igenom dem, lägga dem i skräpposten eller stoppa dem helt. DMARC gör det också möjligt att få rapporter från mottagande mejlsystem, så att ni ser vilka som skickar mejl i ert namn – både legitima tjänster och försök till förfalskning.
Varför det spelar roll för ett mindre företag
Det är lätt att tro att bara stora företag är intressanta att utge sig för att vara. I praktiken är mindre företag ofta lika attraktiva, eftersom deras kunder och leverantörer litar på mejl från dem och rutinerna för att kontrollera betalningar kan vara enklare.
- Falska fakturor och vd-bedrägeri: ett mejl som ser ut att komma från er ber en kund betala till ett nytt konto, eller ber ekonomiansvarig göra en brådskande överföring.
- Era egna mejl kan hamna i skräppost: när domänen saknar autentisering är det svårare för mottagarna att lita på även era äkta mejl, till exempel offerter och fakturor.
- Högre krav från stora mejlleverantörer: de stora leverantörerna av e-post ställer allt högre krav på att avsändare autentiserar sina mejl, och mejl som inte uppfyller kraven riskerar att sorteras bort.
- Skydd av varumärket: kunder som får ett bluffmejl i ert namn förknippar det med er, även om ni inte haft något med det att göra.
Autentisering av domänen är en del av ett bredare skydd. Medarbetare behöver fortfarande kunna känna igen nätfiskebrev, och mejlkonton behöver tvåstegsverifiering. Vår checklista för IT-säkerhet i småföretag visar hur delarna hänger ihop.
Vanliga fallgropar
De flesta problem med SPF, DKIM och DMARC beror inte på att tekniken är svår, utan på att ingen har full överblick över vilka tjänster som skickar mejl för företagets räkning.
Flera SPF-poster
En domän får bara ha en SPF-post. När en ny tjänst ska skicka mejl lägger någon ibland till en andra post i stället för att utöka den befintliga. Resultatet blir att kontrollen misslyckas för alla mejl. Det finns också en gräns för hur många uppslag en SPF-post får göra, så en lista som växer okontrollerat kan sluta fungera.
Glömda tjänster som skickar i ert namn
Utöver vanlig e-post skickar många företag mejl från andra system, och de glöms lätt bort:
- Nyhetsbrevsverktyg och marknadsföringsplattformar.
- Ekonomisystem som skickar fakturor och påminnelser.
- Bokningssystem, webbshopar och kontaktformulär på webbplatsen.
- Skrivare och multifunktionsmaskiner med skanna-till-mejl.
- Supportsystem och CRM som skickar svar till kunder.
Om en sådan tjänst inte finns med i SPF och inte signerar med DKIM kommer dess mejl att underkännas när ni skärper DMARC. Det är en vanlig orsak till att mejl hamnar i skräpposten.
DKIM är inte aktiverat i Microsoft 365
I Microsoft 365 behöver DKIM för den egna domänen ofta aktiveras separat och kompletteras med poster i DNS. Det är lätt att tro att det redan är gjort eftersom e-posten fungerar. Kontrollera inställningen i stället för att anta.
Att gå direkt till p=reject
Det kan kännas lockande att direkt be mottagarna stoppa alla mejl som inte klarar kontrollen. Men om någon legitim tjänst saknas i konfigurationen stoppas även era egna mejl, ofta utan att någon märker det förrän en kund undrar var fakturan tog vägen.
Så inför ni SPF, DKIM och DMARC steg för steg
Ett lugnt och stegvis införande ger skydd utan att störa verksamheten. Ordningen nedan fungerar för de flesta mindre företag.
- Inventera alla tjänster som skickar mejl med er domän som avsändare, både e-postsystemet och övriga system.
- Skapa eller städa upp en enda SPF-post som omfattar alla legitima tjänster.
- Aktivera DKIM i Microsoft 365 och i övriga tjänster som stödjer det, och publicera nycklarna i DNS.
- Publicera en DMARC-post med policyn p=none och en adress för rapporter. Det ändrar inget för mottagarna men ger er insyn.
- Analysera rapporterna under en period och rätta till tjänster som inte klarar kontrollerna.
- Skärp policyn till p=quarantine, så att misstänkta mejl hamnar i skräpposten.
- När rapporterna visar att alla legitima mejl klarar kontrollerna, gå vidare till p=reject.
Rapporterna från DMARC är maskinläsbara och svåra att tolka för hand. Det är därför vanligt att använda ett verktyg som sammanställer dem, eller att låta IT-partnern bevaka dem. Om ni använder Microsoft 365 eller Google Workspace finns det dessutom inbyggda skyddsfunktioner som bör ställas in samtidigt.
Domäner som inte skickar mejl alls
Många företag äger fler domäner än den de använder, till exempel gamla varumärken, stavningsvarianter eller parkerade domäner. Även dessa kan missbrukas som avsändare. För en domän som aldrig ska skicka mejl kan ni publicera en SPF-post som inte tillåter någon avsändare och en DMARC-post med p=reject. Det är ett enkelt sätt att stänga en dörr som annars står öppen.
Checklista för e-postdomänen
Kontrollera detta för varje domän ni äger
- Vi har en lista över alla tjänster som skickar mejl i vårt namn.
- Domänen har exakt en SPF-post som täcker alla legitima avsändare.
- DKIM är aktiverat i Microsoft 365 och i övriga tjänster som stödjer det.
- Det finns en DMARC-post med en adress dit rapporter skickas.
- Någon har ansvar för att läsa och följa upp rapporterna.
- Det finns en plan för att gå från p=none till quarantine och reject.
- Domäner som inte används för e-post är skyddade mot förfalskning.
- Nya system som ska skicka mejl läggs till i konfigurationen innan de tas i bruk.
Vad ni kan be er IT-partner om
Ni behöver inte själva lära er DNS-syntax. Däremot är det bra att veta vad ni ska fråga efter, så att arbetet blir gjort ordentligt och följs upp över tid.
- En genomgång av nuvarande SPF, DKIM och DMARC för alla era domäner.
- En inventering av vilka tjänster som skickar mejl för er räkning.
- En tidsplan för att skärpa DMARC-policyn, anpassad till hur många tjänster ni har.
- Löpande bevakning av DMARC-rapporterna och besked när något avviker.
- En rutin för vad som gäller när ni börjar använda ett nytt system som skickar mejl.
Arbetet passar naturligt in i ett större IT-säkerhets- och backupupplägg. Vill ni veta mer om hur informationsdelning kring incidenter fungerar i Sverige finns vägledning hos MSB och CERT-SE – kontrollera aktuell information där. Vi hjälper företag i hela Stockholmsområdet, från Stockholm city till närförorterna.
IT Support Stockholm drivs av Tele-Byrån i Kalmar AB och hjälper er gärna att se över e-postdomänen – boka en kostnadsfri genomgång.
Vanliga frågor
Behöver vi DMARC om vi är ett litet företag?
Ja. Bedragare skiljer inte på stora och små avsändare, och mindre företags kunder och leverantörer litar ofta mycket på mejl från dem. DMARC gör det svårare att förfalska er domän och hjälper era äkta mejl att komma fram.
Kan DMARC göra att våra egna mejl stoppas?
Ja, om policyn skärps innan alla legitima tjänster är inlagda i SPF och signerar med DKIM. Därför börjar man med p=none och läser rapporterna innan man går vidare till quarantine och reject.
Hur lång tid tar det att gå till p=reject?
Det beror på hur många tjänster som skickar mejl för er och hur snabbt de går att rätta till. Ett företag med bara Microsoft 365 kommer ofta fram fortare än ett som använder flera nyhetsbrevs-, ekonomi- och bokningssystem.
Räcker det med Microsoft 365:s standardskydd?
Microsoft 365 har bra inbyggda skydd för inkommande mejl, men SPF, DKIM och DMARC för er egen domän behöver ni själva konfigurera i DNS. Utan dem skyddas inte mottagarna av mejl som påstår sig komma från er.
Fördjupning: Checklista IT-säkerhet · Microsoft 365 för småföretag. Vi hjälper företag i bland annat Stockholm City och Solna.