SPF, DKIM och DMARC förklarat – så skyddar ni företagets e-post mot förfalskning

E-post är fortfarande den vanligaste vägen in för bedrägerier mot företag. Ett mejl som ser ut att komma från er ekonomichef, med en ny bankgiroinbetalning till en leverantör – det är allt som krävs. Det goda beskedet är att tre DNS-poster gör det betydligt svårare att förfalska just er domän.

SPF – vilka servrar får skicka?

Sender Policy Framework (RFC 7208) är en TXT-post på er domän som listar vilka servrar som får skicka e-post för den.

exempel.se.  TXT  "v=spf1 include:spf.protection.outlook.com -all"

• include: lägger till en annan domäns lista, till exempel Microsoft 365 (spf.protection.outlook.com) eller Google Workspace (_spf.google.com).
• Slutet avgör vad som händer med alla andra: -all (avvisa), ~all (markera som misstänkt) eller ?all (neutral). +all betyder att vem som helst får skicka – använd aldrig det.

Tre vanliga misstag:

1. Flera SPF-poster. Det får bara finnas en. Två poster gör att SPF-kontrollen misslyckas helt.
2. För många uppslag. SPF tillåter högst tio DNS-uppslag. Varje include räknas, och tjänster som inkluderar andra tjänster fyller snabbt kvoten.
3. Glömda avsändare. Nyhetsbrev, fakturasystem och CRM skickar ofta i ert namn. Lägg till dem innan ni skärper policyn.

DKIM – är meddelandet äkta?

DomainKeys Identified Mail signerar varje meddelande kryptografiskt. Mottagaren hämtar den publika nyckeln från DNS och kontrollerar att meddelandet inte ändrats och verkligen kommer från er.

Nyckeln publiceras under en så kallad selector, till exempel selector1._domainkey.exempel.se i Microsoft 365 eller google._domainkey.exempel.se i Google Workspace. Aktiveringen görs i er e-postleverantörs administrationspanel – den skapar nycklarna och visar vilka DNS-poster som ska läggas in.

DMARC – vad ska hända när något inte stämmer?

DMARC (RFC 7489) knyter ihop SPF och DKIM med det avsändarnamn mottagaren faktiskt ser, och talar om för mottagande servrar vad de ska göra med meddelanden som inte klarar kontrollen.

_dmarc.exempel.se.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@exempel.se"

DMARC skyddar bara på riktigt när policyn är quarantine eller reject. p=none är ett mätläge, inte ett skydd.

I vilken ordning?

1. Inventera alla tjänster som skickar e-post i ert namn.
2. Publicera en SPF-post som täcker dem och avslutas med ~all eller -all.
3. Aktivera DKIM hos varje avsändande tjänst.
4. Publicera DMARC med p=none och en rapportadress. Läs rapporterna i ett par veckor.
5. När alla legitima avsändare klarar kontrollen – höj till p=quarantine och sedan p=reject.

Glöm inte domäner som inte skickar e-post

Domäner ni äger men inte använder för e-post kan också förfalskas. Skydda dem med:

parkerad.se.         TXT  "v=spf1 -all"
_dmarc.parkerad.se.  TXT  "v=DMARC1; p=reject"

Så kontrollerar Värn er e-post

Värn kontrollerar SPF (inklusive antal uppslag och slutpolicy), DMARC-policyn och om DKIM-nycklar finns under vanliga selectors. Eftersom DKIM-selectors inte går att lista utifrån redovisas en saknad träff som ej upptäckbar – inte som en brist. Förändringar i SPF och DMARC aviseras automatiskt.