Modul 4 · 4.1
SPF, DKIM och DMARC: så förhindrar du falska mejl i ditt namn
Modul 4: E-post, webbplats och domän · Lästid: 9 minuter
Mål: Efter den här lektionen kan du förklara hur SPF, DKIM och DMARC tillsammans motverkar missbruk av din domän, var deras gräns går, och kontrollera och bedöma läget för din egen domän.
Nyckelbegrepp: spoofing, SPF, DKIM, DMARC, alignment (uppriktning), policy none / quarantine / reject, DMARC-rapporter, null MX, lookalike-domän
Varför det här är ett säkerhetsämne
I modul 1 såg du hur fakturabedrägeri fungerar: en kund får ett mejl "från" factuur@example.com med ett nytt bankkontonummer. Om din domän inte är skyddad behöver en bedragare inte hacka något alls för det. E-post uppfanns på 1980-talet utan kontroll av avsändaren. Vilken mejlserver som helst i världen kan skicka ett meddelande med din adress i fältet "Från:". Det kallas spoofing.
Offret är då inte du, utan din kund eller leverantör. Ändå är det ditt namn som skadas, och ofta din telefon som ringer. Därför hör skyddet av din e-postdomän hemma i en säkerhetskurs, inte bara under "se till att mejlet kommer fram".
Tre DNS-poster ser tillsammans till att mottagare kan känna igen och avvisa falsk e-post i ditt namn: SPF, DKIM och DMARC. I den här lektionen lär du dig vad de gör tillsammans, vad de inte gör och hur du bedömer din egen domän. De tekniska detaljerna (uppbyggnaden av varje post, fallgroparna vid inställning) finns i DNS-kursen, lektion 4.3, 4.4 och 4.5, och senare i kursen E-post i ordning (under utveckling).
Tre kontroller, en fråga
| Post | Vad den säger | Var den finns | Vad mottagaren kontrollerar |
|---|---|---|---|
| SPF | "Dessa servrar får skicka mejl i mitt namn." | TXT-post på example.com, börjar med v=spf1 | Kommer mejlet från en server som finns med i listan? Det som kontrolleras är den tekniska kuvertadressen (Return-Path), inte adressen i "Från:". |
| DKIM | "Äkta mejl från mig bär den här signaturen." | TXT- eller CNAME-post på <selector>._domainkey.example.com | Stämmer den digitala signaturen, och har mejlet inte ändrats under vägen? |
| DMARC | "Hör den godkända kontrollen ihop med min domän? Om inte, gör då så här." | TXT-post på _dmarc.example.com, börjar med v=DMARC1 | Lyckas SPF eller DKIM för domänen i adressen "Från:"? Det kallas alignment (uppriktning). |
Den viktigaste insikten: SPF och DKIM räcker inte på egen hand. En bedragare kan skicka mejl som klarar SPF perfekt för sin egen domän och som är perfekt signerat av sin egen domän, medan fältet "Från:" visar info@example.com. Bara DMARC kopplar det till adressen som din kund ser. Och bara DMARC talar om för mottagaren vad den ska göra om det inte stämmer.
En mottagare noterar resultatet i mejlets headrar. I lektion 3.3 lärde du dig läsa dem. Ett falskt mejl i ditt namn kan se ut så här hos en mottagare:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF och DKIM lyckas, men för en annan domän. DMARC misslyckas, och eftersom policyn för example.com är satt till reject avvisar mottagaren mejlet.
DMARC:s tre policylägen
| Policy | Vad mottagare gör med mejl som inte stämmer | Vad det ger dig |
|---|---|---|
p=none | Inget, mejlet levereras som vanligt. | Rapporter (om du fyller i rua=) och insyn i vem som mejlar i ditt namn. Inget skydd ännu. |
p=quarantine | Till skräppostmappen. | Falsk e-post syns mindre, men finns kvar. |
p=reject | Avvisas. | Det bästa skyddet mot missbruk av din domän. |
Många företag stannar i åratal på p=none. Det är förståeligt, eftersom det är säkert för din egen e-post, men det är ingen slutpunkt. Med p=none har du ett larmsystem som går igång men inte låser dörren.
Den rätta ordningen
En alltför sträng policy på en domän där inte alla avsändare är kända får dina egna fakturor eller nyhetsbrev att försvinna. En alltför slapp policy låter bedragare hållas. Ordningen som fungerar för nästan alla:
- Gör en lista över allt som mejlar i din domäns namn. Din e-postleverantör, men även din webbplats (kontaktformulär, webbutik), ditt bokföringsprogram, din nyhetsbrevstjänst, ditt bokningssystem. Detta är det vanligaste att glömma.
- Ställ in SPF korrekt: exakt en post, alla avsändare med, som slutar på
~all(säker standard) eller-all(om du är säker på att listan stämmer). Aldrig+all. - Aktivera DKIM för varje tjänst som stöder det, med exakt de poster tjänsten anger.
- Börja DMARC med
p=noneoch en rapportadress (rua=mailto:dmarc@example.com). Titta i rapporterna under några veckor för att se vilka tjänster lyckas och vilka som inte gör det. - Gå till
p=quarantineoch därefter tillp=rejectnär du inte längre ser din egen e-post misslyckas.
En domän som aldrig mejlar (ett varumärke du bara har registrerat, en gammal domän) kan du säkra direkt med stränga regler. Bedragare letar just efter sådana domäner, eftersom ingen håller koll på dem:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Null MX (0 .) säger "här kommer ingen e-post in", -all säger "ingen får mejla i den här domänens namn", och p=reject ber mottagare avvisa allt.
Vad det inte stoppar
SPF, DKIM och DMARC skyddar ditt exakta domännamn. De är inget phishingfilter. Tre saker stoppar de inte:
- Lookalike-domäner. En bedragare registrerar
examp1e.exampleellerexample-facturen.exampleoch ställer själv in SPF, DKIM och DMARC där på rätt sätt. Det mejlet lyckas överallt. Bara att läsa domänen noggrant (lektion 3.2) hjälper, och eventuellt att registrera de mest uppenbara varianterna av ditt eget namn. - Bara visningsnamnet. Ett mejl från
bakkerij.example.factuur@gratismail.examplemed visningsnamnet "Bakkerij Example" har inget med din domän att göra. DMARC tittar på adressen, inte på namnet. - En hackad mejlkorg. Om en angripare loggar in på
info@example.comskickar hen mejl via din riktiga server. Det mejlet klarar SPF, DKIM och DMARC, eftersom det tekniskt sett är äkta. Mot detta skyddar starka lösenord och tvåfaktorsautentisering (2FA) (modul 2).
SPF, DKIM och DMARC bevisar att ett mejl kommer från domänen. De bevisar inte att domänen går att lita på, och inte heller att avsändaren är den den utger sig för att vara.
Vad det ger dig och dina kunder
- Skydd av dina kunder. Med
p=rejectavvisas falska fakturor i ditt exakta namn hos de stora e-postleverantörerna innan din kund ser dem. - Bättre leverans. Sedan februari 2024 kräver Gmail och Yahoo av den som skickar mer än cirka 5 000 mejl om dagen SPF, DKIM och DMARC (minst
p=none); Microsoft ställer samma krav sedan maj 2025 för Outlook.com och Hotmail. Även för mindre avsändare hamnar e-post med bra autentisering mer sällan i skräpposten. - Insyn i missbruk. DMARC-rapporterna visar om någon försöker använda din domän. Använd en separat adress för det; du får ganska snart några rapporter om dagen.
DMARC reviderades i maj 2026 som RFC 9989, som ersätter RFC 7489. Befintliga poster med v=DMARC1 fortsätter att fungera som vanligt.
I praktiken: så ser det ut
Du kan kontrollera läget för vilken domän som helst utan att installera något. Oberoende kan du göra det med mailtestet på internet.nl. Även WebOkés öppna e-postkontroll och domänhälsokontroll visar SPF, DMARC och MX med en grön, orange eller röd prick. Har du din domän hos WebOké visas samma kontroll som ett kort på domänsidan i Mitt WebOké, med en knapp för att lägga till en saknad DMARC-post med p=none. Hos andra leverantörer fungerar det på liknande sätt: sök efter "e-postautentisering" eller efter DNS-inställningarna för din domän.
Var uppmärksam på vad "grönt" betyder i varje verktyg. Vissa verktyg visar redan grönt vid p=none, eftersom posten är giltig. Ur ett säkerhetsperspektiv är p=none orange: posten är i ordning, skyddet är det inte ännu.
Sammanfattning
- Utan skydd kan vem som helst skicka mejl med din adress i fältet "Från:" (spoofing).
- SPF anger vilka servrar som får mejla, DKIM sätter en signatur, DMARC kontrollerar om någon av dem lyckas för domänen din kund ser och anger vad som ska hända om det inte gör det.
- Ordning: kartlägg avsändare, SPF, DKIM, DMARC
p=nonemed rapporter, sedanquarantineochreject. Domäner som inte mejlar låser du direkt. - De skyddar inte mot lookalike-domäner, vilseledande visningsnamn eller en hackad mejlkorg.
p=noneär en början, inte ett skydd.
Quiz
Uppgift
Uppgift A4.1: Bedöma e-postskyddet för din domän. Fyll i ditt eget domännamn (har du ingen, använd då sidn.nl). Programmet hämtar MX, SPF och DMARC och ger grönt, orange eller rött med förklaring för varje del. Fyll sedan i vilken DMARC-policy som finns och vad ditt nästa steg skulle vara.
Uppgift D4.1: Vem mailar i ditt domäns namn? Gör en lista över alla tjänster som skickar e-post med en adress från din domän: e-postleverantör, webbplats, webbutik, bokföring, nyhetsbrev, bokningssystem. Markera för varje tjänst om den finns med i din SPF och om den använder DKIM med din egen domän. Skriv ner vilken DMARC-policy du vill ha om tre månader, och vad som behöver göras för att nå dit.
Uppgift D4.1: Vem mailar i ditt domäns namn?
Så gör du: (1) Skriv upp alla tjänster som skickar e-post med en adress från ditt domän: e-postleverantör, webbplats och kontaktformulär, webbutik, bokföring och fakturor, nyhetsbrev, boknings- eller reservationssystem, CRM, skrivare eller skanner som mailar. (2) Leta reda på i inställningarna eller manualen för varje tjänst hur den hanterar SPF och DKIM för ditt domän. (3) Skicka ett testmail från varje tjänst till dig själv och titta i källkoden för meddelandet på raden Authentication-Results (lektion 3.3). (4) Anteckna för varje tjänst: spf=, dkim= med header.d=, dmarc=.
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOkés artiklar gäller för WebOkés egen miljö; hos andra leverantörer fungerar det på liknande sätt.
- DNS-kursen, lektion 4.3 (SPF), 4.4 (DKIM) och 4.5 (DMARC): https://www.weboke.se/dns-cursus
- Vad är DMARC? Förklaring i vanligt språk
- Hur fungerar SPF-posten i DNS:en?
- Skapa DMARC-post i DirectAdmin
- DirectAdmin-guide 5.7: SPF ställa in och komplettera
- DirectAdmin-guide 5.8: Aktivera och kontrollera DKIM
- DirectAdmin-guide 5.9: DMARC ställa in
- Öppen e-postkontroll: https://www.weboke.se/e-postkontroll
- Internet.nl, mailtest (oberoende): https://internet.nl