E-mail og domæner: posterne, filteret og kontoen hos registratoren

Mail er den kanal, de fleste falske henvendelser kommer ad, og domænet er det navn, de udgiver sig for at komme fra. Kontrolpunkterne i dette lag ligger delvis i offentlige DNS-poster, som alle kan læse, og delvis i filteret, mailserverne og kontoen hos registratoren, som kun driften kan se. Artiklerne her tager dem i den rækkefølge, en gennemgang typisk følger: først posterne på hvert domæne, så filteret og de systemer, der sender, derefter domæneporteføljen og transportkrypteringen, og sidst en hurtig kontrol, driften selv kan køre.

Afsendere og filter

• SPF, DKIM og DMARC: gennemgang af alle domæner, også dem uden mail Domæne for domæne og vejen mod afvisning.
• Mailfilteret: opsætning mod falske afsendere, links og vedhæftede filer Listerne over tilladte afsendere er ofte fundet.
• Systemer, der sender mail: scannere, fagsystemer og gamle relæer Listen, der skal findes, før DMARC strammes.

Domæner og transport

• Domæneporteføljen: adgang til registratoren, låsning og fornyelse Kontoen, der bestemmer, hvor mail og web peger.
• Transportkryptering af mail: TLS-krav, MTA-STS og rapporterne Rapporterne viser, om politikken virker.

Egenkontrol

• sikkerpånettet.dk som hurtig egenkontrol: hvad testen dækker, og hvad den ikke ser Det, der kan måles udefra, og det, der ligger bag.

Sådan kommer I i gang

Lav en liste over alle de domæner, virksomheden ejer, også dem, der kun findes for at beskytte et navn, og dem, der blev købt til en kampagne for år tilbage. Notér for hvert domæne registrator, udløbsdato, hvem der har login, og om kontoen hos registratoren kræver MFA. Slå derefter SPF, DKIM og DMARC op for hvert domæne og hvert subdomæne, der sender mail. Domæner uden mail skal have poster, der siger netop det, så ingen kan sende i deres navn.

Find så alle de afsendere, der ikke er mennesker: multifunktionsprinteren, økonomisystemet, nyhedsbrevet, overvågningen og det gamle relæ i serverrummet. Hver af dem skal kunne passere en stram DMARC-politik, før politikken strammes. Rækkefølgen er afgørende. Strammes politikken først, holder fakturaerne op med at nå frem.

Statens minimumskrav har konkrete parametre for domæner og mail, blandt andet DMARC med afvisning og tomme poster på domæner uden mail. For en privat virksomhed er de en frivillig målestok, men de er nemme at måle sig op imod, fordi posterne er offentlige.

Hvad det kræver, og hvad det koster at lade være

Posterne kan læses af alle, så den første del kan driften gøre selv på en eftermiddag. Det tunge arbejde er at finde alle afsendere og flytte dem over på godkendt afsendelse, og det tager uger, hvis listen er lang. Uden kontrollen kan fremmede udgive sig for jer i indbakken hos kunderne, og et domæne, der udløber, eller en registratorkonto uden MFA kan give en fremmed magt over både web og post.

Det skal I lade være med

• At glemme domænerne uden mail · de skal også have poster.
• At stramme DMARC, før afsenderne er kendt · legitim post bliver afvist.
• At lade registratorkontoen ligge hos én person · den skal have flere ejere og MFA.
• At tage en grøn egenkontrol for en gennemgang · det meste ligger bag.

Det skal gennemgangen kunne vise

• ☐ Hvert domæne opført med registrator, udløbsdato, hvem der har login, og om det er låst.
• ☐ SPF, DKIM og DMARC pr. domæne og status for politikken.
• ☐ En liste over systemer, der sender mail, og hvordan de godkendes.
• ☐ Indstillingerne i mailfilteret og listerne over tilladte afsendere.

Senest gennemgået: november 2026.

Næste skridt

• SPF, DKIM og DMARC
• Domæneporteføljen

Læs også: Netværk og fjernadgang · Cloud-lejere

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT