E-post er fortsatt en av de viktigste arbeidsflatene i små virksomheter. Den brukes til tilbud, fakturaer, kundehenvendelser, passordreset, møter, dokumenter og intern avklaring. Derfor blir e-post også misbrukt.
Et vanlig problem er at en svindler prøver å sende e-post som ser ut til å komme fra et kjent domene. Det kan være et forsøk på phishing, fakturasvindel eller innloggingstyveri. SPF, DKIM og DMARC er tre tekniske tiltak som gjør dette vanskeligere.
De løser ikke all e-postsikkerhet alene. De stopper ikke alle falske meldinger, og de erstatter ikke tofaktor, opplæring eller godt spamfilter. Men de gir mottakende e-postsystemer bedre grunnlag for å vurdere om en melding faktisk er sendt på vegne av domenet ditt.
Først: avsenderfeltet i e-post kan lyve
E-post ble ikke opprinnelig laget med sterk identitetskontroll. En melding kan vise en avsenderadresse som ser riktig ut, selv om meldingen teknisk kommer fra et annet sted.
Det betyr ikke at alle e-poster er upålitelige. Det betyr at domenet trenger noen ekstra kontroller. De viktigste er:
- SPF: hvilke systemer har lov til å sende e-post for domenet?
- DKIM: er meldingen signert av et system som har nøkkel for domenet?
- DMARC: hva skal mottakere gjøre når SPF eller DKIM ikke stemmer med avsenderdomenet?
Tenk på dette som tre lag. SPF peker på godkjente sendekilder. DKIM signerer meldingen. DMARC knytter kontrollene til domenet mottakeren faktisk ser i Fra-feltet.
SPF: en liste over godkjente sendekilder
SPF står for Sender Policy Framework. I praksis er det en DNS-post som forteller hvilke servere eller tjenester som kan sende e-post for domenet.
For en virksomhet som bruker Microsoft 365, vil SPF ofte inneholde Microsoft sin e-postplattform. Hvis virksomheten også sender fra et nyhetsbrevverktøy, et regnskapssystem, en nettbutikk eller et kontaktskjema, må det vurderes om disse også er legitime sendekilder.
SPF handler derfor ikke bare om å lime inn en standardtekst. Det handler om å vite hvor e-post faktisk sendes fra.
Vanlige feil med SPF er:
- domenet har ingen SPF-post
- domenet har flere SPF-poster i stedet for én samlet
- gamle tjenester står fortsatt som godkjente
- nye tjenester mangler og får leveringsproblemer
- hoveddomenet brukes til mange tredjepartstjenester uten ryddig oversikt
SPF er nyttig, men ikke komplett. Blant annet sjekker SPF den tekniske konvoluttavsenderen, ikke nødvendigvis domenet brukeren ser i Fra-feltet. Derfor trengs også DKIM og DMARC.
DKIM: en signatur på meldingen
DKIM står for DomainKeys Identified Mail. Med DKIM signeres utgående e-post kryptografisk. Mottakeren kan kontrollere signaturen mot en offentlig nøkkel som ligger i DNS.
Poenget er å vise at meldingen er sendt gjennom en løsning som har lov til å signere for domenet, og at viktige deler av meldingen ikke er endret underveis.
I Microsoft 365 krever DKIM for eget domene vanligvis at det legges inn CNAME-poster i DNS, og at DKIM aktiveres i riktig administrasjonsportal. Andre e-postleverandører har egne fremgangsmåter.
DKIM er spesielt nyttig fordi det tåler enkelte situasjoner bedre enn SPF, for eksempel når e-post videresendes. Men DKIM alene er heller ikke nok. En angriper kan signere e-post med et annet domene og likevel vise et annet navn i meldingen. DMARC hjelper med å kontrollere sammenhengen.
DMARC: policyen som binder det sammen
DMARC står for Domain-based Message Authentication, Reporting and Conformance. Det er også en DNS-post.
DMARC gjør to viktige ting:
- den kontrollerer at domenet i SPF eller DKIM henger sammen med domenet mottakeren ser som avsender
- den sier hva mottakende systemer bør gjøre når kontrollene feiler
DMARC kan settes opp gradvis. Mange starter med p=none, som gir rapportering uten at meldinger blokkeres. NÃ¥r man har oversikt over legitime sendekilder, kan policyen strammes inn til quarantine eller reject.
For små virksomheter er dette viktig: ikke gå rett til streng blokkering hvis dere ikke vet hvilke systemer som faktisk sender e-post. Da kan kontaktskjema, fakturasystem, booking, nettbutikk eller gamle varsler plutselig slutte å levere.
Hvorfor dette betyr noe for små virksomheter
Små virksomheter tenker ofte at dette er et problem for store selskaper. Det stemmer ikke. Et lite domene kan være attraktivt nettopp fordi mottakere stoler på det lokalt.
Hvis domenet misbrukes i falsk e-post, kan konsekvensen bli:
- kunder får svindelmeldinger som ser ut til å komme fra virksomheten
- ansatte blir lurt av meldinger som ser interne ut
- e-post havner oftere i søppelpost
- leverandører og kunder mister tillit
- oppryddingen tar tid selv om virksomheten ikke ble teknisk kompromittert
God e-postautentisering handler derfor både om sikkerhet og om leveringskvalitet. Det hjelper andre e-postsystemer å skille legitim e-post fra misbruk.
Start med kartlegging, ikke DNS-endring
Den tryggeste starten er å lage en enkel liste over alle steder virksomheten sender e-post fra.
Sjekk særlig:
- Microsoft 365, Google Workspace eller annen primær e-postløsning
- webhotell eller gammel mailserver
- kontaktskjema på nettsiden
- WordPress, WooCommerce eller andre publiseringssystemer
- regnskap, faktura og betalingsløsninger
- nyhetsbrev og markedsføringsverktøy
- CRM, supportsystem og booking
- skrivere, skannere, overvåking og varsling
For hvert punkt bør dere spørre:
- sender systemet e-post med vårt domene som avsender?
- sender det direkte, via Microsoft 365, via webhotellet eller via en tredjepart?
- finnes det dokumentasjon fra leverandøren om SPF, DKIM eller DMARC?
- kan tjenesten heller sende fra et eget underdomene?
Denne kartleggingen er ofte mer verdifull enn selve DNS-endringen. Den viser også hvor det finnes gamle løsninger ingen lenger eier tydelig.
Ikke bruk hoveddomenet ukritisk til alt
Hvis mange tredjepartstjenester sender som firma.no, blir SPF og DMARC fort vanskeligere å kontrollere. For nyhetsbrev, kampanjer eller systemutsending kan det være bedre å bruke et underdomene, for eksempel nyheter.firma.no eller post.firma.no.
Det beskytter hoveddomenet bedre. Hvis en ekstern utsending feiler, påvirker det ikke nødvendigvis den vanlige e-posten fra ansatte like mye.
Dette må planlegges. Et underdomene som sender e-post trenger også riktig SPF, DKIM og DMARC. Poenget er ikke å skjule noe, men å skille ulike typer e-post tydeligere.
Vær forsiktig med gamle og doble DNS-poster
E-postproblemer oppstår ofte fordi DNS har blitt endret mange ganger over flere år. En virksomhet kan ha byttet webhotell, flyttet e-post til Microsoft 365, beholdt et kontaktskjema, lagt til et nyhetsbrevverktøy og senere glemt hva som fortsatt er i bruk.
Typiske faresignaler er:
- flere TXT-poster som starter med
v=spf1
- SPF-poster med gamle leverandører ingen kjenner igjen
- DMARC satt til
p=none uten at noen leser rapportene
- manglende DKIM for eget domene
- tjenester som sender e-post uten å være dokumentert
- ingen vet hvor DNS faktisk administreres
Rydding bør gjøres kontrollert. Ta vare på nåværende verdier før endring, og test sending fra viktige systemer etterpå.
En praktisk rekkefølge
For en liten virksomhet er en god rekkefølge ofte:
- Finn hvor DNS administreres.
- Lag liste over alle systemer som sender e-post.
- Kontroller eksisterende MX, SPF, DKIM og DMARC.
- Rett åpenbare feil, men ikke fjern ukjente sendekilder før de er vurdert.
- Aktiver eller kontroller DKIM hos primær e-postleverandør.
- Sett opp DMARC med rapportering.
- Følg med på rapporter og leveringsproblemer.
- Stram inn DMARC-policyen gradvis når legitime sendere er kartlagt.
- Dokumenter hvem som har ansvar for fremtidige endringer.
Dette er ikke et engangsprosjekt som aldri må sees på igjen. Hver gang virksomheten tar i bruk et nytt system som sender e-post, bør e-postautentisering vurderes.
Hva bør ikke gjøres i blinde?
Unngå disse snarveiene:
- ikke kopier SPF fra en tilfeldig guide uten å vite egne sendekilder
- ikke legg inn flere SPF-poster
- ikke sett DMARC rett til
reject uten kartlegging
- ikke fjern gamle DNS-poster før du vet om de fortsatt brukes
- ikke anta at webhotell, DNS og e-post ligger hos samme leverandør
- ikke glem kontaktskjema, fakturasystem, nettbutikk og skannere
Det er også lurt å skille mellom e-postautentisering og innholdssikkerhet. SPF, DKIM og DMARC gjør domenemisbruk vanskeligere, men de garanterer ikke at en melding er trygg. En legitim konto kan fortsatt bli misbrukt hvis passordet er stjålet.
Kort oppsummert
SPF, DKIM og DMARC er grunnmuren for tryggere e-postdomener.
SPF sier hvilke systemer som kan sende. DKIM signerer meldinger. DMARC binder kontrollene til avsenderdomenet og gir en policy for hva mottakere bør gjøre når noe ikke stemmer.
For små virksomheter er beste start å kartlegge alle sendekilder, rydde gamle DNS-poster forsiktig, aktivere DKIM hos e-postleverandøren og bruke DMARC gradvis. Da blir domenet vanskeligere å misbruke, samtidig som legitim e-post får bedre sjanse til å komme frem.
Videre lesing
