Hvad er DMARC, SPF og DKIM?
DMARC er en e-mail-standard, der beskytter dit domæne mod at blive misbrugt som falsk afsender. Sammen med SPF og DKIM udgør DMARC det tekniske forsvar mod mail spoofing, hvor svindlere sender mails, der ser ud til at komme fra din virksomhed. Uden de tre standarder kan enhver i princippet sende en mail med dit domæne i afsenderfeltet, og det udnyttes flittigt i phishing-angreb mod både dine kunder og dine egne medarbejdere.
Sådan hænger SPF, DKIM og DMARC sammen
De tre standarder er lag, der bygger oven på hinanden:
- SPF (afsenderlisten): En DNS-record, der oplister de servere, som har lov til at sende mail fra dit domæne. Modtagerens mailserver tjekker, om den afsendende server står på listen.
- DKIM (signaturen): En digital signatur, som din mailserver sætter på hver udgående mail. Modtageren kan med en offentlig nøgle i DNS verificere, at mailen faktisk kommer fra dig og ikke er ændret undervejs.
- DMARC (politikken): Reglen, der binder det hele sammen. Den fortæller modtagende servere, hvad de skal gøre med mails, der fejler SPF- og DKIM-kontrollen: ingenting (none), i karantæne (quarantine) eller afvis (reject). Samtidig sender modtagerne rapporter tilbage, så du kan se, hvem der sender mail i dit navn.
SPF og DKIM alene er ikke nok, for uden en DMARC-politik er der ingen konsekvens, når kontrollen fejler. Omvendt kræver en skarp DMARC-politik, at SPF og DKIM er sat rigtigt op for alle dine legitime afsendere, også nyhedsbrevssystemer og faktureringsværktøjer, ellers ryger dine egne mails i spamfilteret.
Tjek din DMARC-record
Din DMARC-record ligger som en TXT-record i DNS på adressen _dmarc.ditdomæne.dk. Du kan slå den op i din DNS-administration eller fra en terminal med nslookup eller dig. Findes der ingen DMARC-record, har du ingen beskyttelse. Står der p=none, overvåger du kun uden at blokere noget, hvilket er et fint startpunkt, men ikke slutmålet. Målet er p=quarantine og til sidst p=reject, indført gradvist, mens du bruger DMARC-rapporterne til at sikre, at alle legitime afsendere er med.
DMARC og Microsoft 365
Bruger du Microsoft 365 til mail, er fundamentet på plads: Exchange Online understøtter SPF, DKIM og DMARC fuldt ud, og DKIM-signering for dit eget domæne aktiveres i sikkerhedsindstillingerne. Microsofts vejledninger på learn.microsoft.com beskriver opsætningen trin for trin. Faldgruben er typisk tredjepartssystemer, der sender mail på dine vegne, og gamle DNS-records, der aldrig er ryddet op. Derfor betaler det sig at gennemgå hele afsenderbilledet, før politikken strammes.
Sådan hjælper MI Support IT
Korrekt opsætning af SPF, DKIM og DMARC, gennemgang af alle dine afsendersystemer og en stramning af politikken til reject i et kontrolleret forløb er en del af MI Support IT's sikre Microsoft 365-opsætning og IT-sikkerhedsløsninger. Kontakt os, hvis du vil vide, om dit domæne kan misbruges i dag.