Mailfilteret gennemgås ved at læse de indstillinger, der afgør, hvad der når indbakken: om afsenderens DMARC-politik respekteres, hvordan vedhæftede filer og links behandles, om der er beskyttelse mod efterligning, og hvad der står på listerne over tilladte afsendere og domæner. Det sidste er ofte der, fundene ligger.
Gennemgangen holder punkterne neutrale. Den ser på indstillingerne, ikke på hvilket filter I bruger.
Modtagersiden af DMARC
DMARC har to sider. Afsenderen publicerer en politik for sit domæne. Modtageren beslutter, hvad der sker med mail, der ikke består kontrollen. Modtagersiden er et selvstændigt kontrolpunkt.
Her trækker to målestokke i hver sin retning, og gennemgangen skal kende begge.
Staten. De tekniske minimumskrav siger, at myndighedernes indgående mailgateways skal respektere afsenderdomænets DMARC-politik, når der er publiceret en. Vejledningen nævner selv risikoen: En afsender med fejlkonfigureret DMARC, der videresender via en tredjepart, kan få sin mail afvist. Risikoen mindskes, når afsenderen har både SPF og DKIM. Kravet binder myndighederne.
Standarden. RFC 9989 fra maj 2026 siger, at den endelige håndtering altid er modtagerens lokale politik. Modtagere bør ikke afvise mail alene, fordi afsenderen har publiceret “reject”, men bør bruge anden viden for at undgå at afvise legitim mail, fx fra postlister. Modtagere, der afviger fra politikken, bør mindst tilføje feltet Authentication-Results.
Vi tager ikke stilling for jer. Gennemgangen noterer, hvad filteret gør med mail, der fejler DMARC hos en afsender med “reject”, og om det er et bevidst valg.
Vedhæftede filer, links og efterligning
CISA’s Security Suite-baseline, som i ScubaGear version 2.0.0 har erstattet den tidligere Defender-baseline, giver en konkret tjekliste. Den er skrevet til Microsoft 365 og til amerikanske føderale myndigheder; for andre er den til information. Punkterne kan læses neutralt:
- Mails med vedhæftninger, der kan køres med et klik, blokeres, mindst .exe, .cmd og .vbe (MS.SECURITYSUITE.1.1v1).
- Mail kan scannes igen efter levering (1.2).
- Mail med skadelig kode sættes i karantæne eller kasseres (1.3).
- Beskyttelse mod efterligning af brugere og domæner bør være slået til (2.1 til 2.3).
- Spam og phishing leveres ikke i indbakken (6.1).
- Tilladte domæner tilføjes ikke til politikkerne for indgående spam (6.2).
- Links sammenlignes med en blokeringsliste (7.1).
CISA’s baseline for Exchange Online tilføjer, at der skal være en advarsel ved eksterne afsendere (MS.EXO.7.1v1).
Listerne over tilladte afsendere
Punkt 6.2 fortjener særlig opmærksomhed. En liste over tilladte domæner eller afsendere sender mail uden om filteret. Den bliver fyldt op over tid, typisk når en kunde eller leverandør har fået en mail fanget. Står et stort udbyderdomæne eller jeres eget domæne på listen, kan hvem som helst, der kan forfalske afsenderen, komme uden om filteret.
Udtrækket er listen over alle undtagelser: tilladte domæner, tilladte afsendere, transportregler, der springer filteret over, og adresser, der er undtaget fra scanning. For hver undtagelse noteres hvorfor, hvem der bad om den, og hvornår.
Moderne mailstandarder
Bilaget til forordning (EU) 2024/2690 kræver i punkt 6.7.2, litra k, en plan for at indføre internationalt aftalte og interoperable moderne mailstandarder. Det gælder de tjenesteudbydere, forordningen nævner. Afsendersiden af de standarder står i SPF, DKIM og DMARC.
Det kan driften selv
Listen over undtagelser er den lette start. Træk den fra filterets administration, og sorter efter, hvornår hver undtagelse blev lavet. Undtagelser uden begrundelse eller for hele domæner hos store udbydere fjernes eller indsnævres. Se derefter politikken for vedhæftede filer, og sammenlign med CISA’s minimumsliste. Til sidst noteres, hvad filteret gør med DMARC-fejl, så valget står skrevet.
Hvad det kræver, og hvad det koster at lade være
Det kræver læseadgang til filterets politikker og en liste over undtagelser. Det tager kort tid at trække. Det tager længere tid at få forretningen til at acceptere, at en undtagelse forsvinder.
Et filter med brede undtagelser lader netop de mails igennem, der er lavet til at ligne mail fra nogen, I stoler på. Og et filter, der ignorerer afsenderens politik, giver ingen effekt af det arbejde, andre har gjort med deres DMARC.
Det skal I lade være med
- At tilføje hele domæner til listen over tilladte afsendere · det sender alle, der kan efterligne domænet, uden om filteret.
- At lade undtagelser stå uden begrundelse og dato · de bliver aldrig ryddet op.
- At lade filterets håndtering af DMARC være et tilfælde · beslut, hvad der skal ske, og skriv det ned.
Det skal gennemgangen kunne vise
- ☐ Filterets håndtering af mail, der fejler DMARC, og begrundelsen for valget.
- ☐ Blokering af vedhæftede filer, der kan køres direkte.
- ☐ Beskyttelse mod efterligning af brugere og domæner.
- ☐ Alle undtagelser fra filteret, hver med begrundelse og dato.
- ☐ Advarsel ved eksterne afsendere.
Kilder
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.2, læst 13. november 2026.
- RFC 9989, DMARC (maj 2026), afsnit 5.3.6 og 5.4, læst 13. november 2026.
- CISA, ScubaGear Security Suite-baseline, læst 13. november 2026.
- CISA, ScubaGear-baseline for Exchange Online, MS.EXO.7.1v1, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2, litra k, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk listen over tilladte afsendere og domæner, og find dem, der ingen begrundelse har.
Læs også: Postsystemet i skyen · Undtagelseslisten
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
