SPF, DKIM og DMARC gennemgås domæne for domæne, også på de domæner og subdomæner, der aldrig sender mail. For hvert noteres de tre poster, om de passer med det faktiske mailflow, og hvor langt DMARC-politikken er nået på vejen fra overvågning til afvisning.
Domænerne uden mail er dem, der oftest mangler. De er også dem, en falsk afsender helst bruger, fordi ingen holder øje med dem.
Facitlisten fra staten
De statslige tekniske minimumskrav giver den mest præcise facitliste, vi har læst. Kun myndighederne er bundet af listen. Andre kan bruge den frivilligt.
- DMARC med “p=reject”. En post på hoveddomænet nedarves som udgangspunkt til subdomænerne.
- SPF med “-all”. Der bruges \*-poster til at beskytte subdomæner, der ikke er defineret.
- Domæner uden mailflow får en tom SPF-post uden adresser eller domæner. Skrevet efter SPF-standardens syntaks er det v=spf1 -all.
- DKIM med korrekte selektorer og nøgler på alle hoved- og subdomæner i mailflow, og mailserverne signerer udgående mail.
- Hoveddomæner uden mailflow får en tom DKIM-post (v=DKIM1; p=).
- SPF- og DKIM-poster afspejler kun det aktuelle mailflow. Forældede poster saneres løbende.
Kravene gælder også, når en ekstern leverandør sender på myndighedens vegne fra myndighedens domæne, fx nyhedsbreve. De gælder ikke, når det tydeligt fremgår, at afsenderen er en tredjepart. Vejledningens scenarie 2.7C viser hele sættet for et hoveddomæne med mail og et subdomæne uden.
Et forbehold om wildcard-poster
Statens krav om \-poster står ikke helt i ro med SPF-standarden. RFC 7208 fraråder at publicere SPF med wildcard-poster, og hvis de bruges, skal erklæringen gentages for hvert navn, der har poster, og for dets subdomæner. Begge dele er rigtige. Bruger I \-poster, skal gennemgangen derfor også se, om de navne, der har egne poster, har deres egen SPF.
Målestokkene er ikke ens
CISA’s baseline for Exchange Online siger, at hvert domæne skal have en SPF-politik, der afviser alle ikke-godkendte afsendere (MS.EXO.2.2v3). Fra ScubaGear version 2.0.0 af 22. oktober 2026 godtages både “-all” og “~all”. DKIM bør være slået til for alle domæner (MS.EXO.3.1v1). Hvert andenniveaudomæne skal have en DMARC-politik (MS.EXO.4.1v1) med “p=reject” (MS.EXO.4.2v1). Den er lavet til føderale myndigheder i USA; for alle andre er den informativ.
Staten kræver altså “-all”, mens CISA også godtager “~all”. Gennemgangen noterer, hvilken målestok I har valgt, og måler mod den.
DMARC-standarden er ny
DMARC er siden maj 2026 beskrevet i RFC 9989, som erstatter den tidligere, informationelle udgave i RFC 7489. Rapporterne har fået deres egne dokumenter, RFC 9990 og 9991. For gennemgangen betyder det:
- “p” gælder domænet og subdomænerne, medmindre “sp” (eksisterende subdomæner) eller “np” (subdomæner, der ikke findes) siger andet.
- En post uden “p” behandles som “p=none”.
- “pct” er fjernet. I stedet findes testflaget “t=y”, der beder modtageren bruge en politik ét trin lavere.
- “rua” beder om aggregerede rapporter. Uden “rua” sendes ingen.
En post med “pct” er derfor et fund at notere: den bygger på den gamle udgave.
Vejen til afvisning
RFC 9989 beskriver selv vejen. SPF, DKIM og en postkasse til rapporter skal være på plads. Så publiceres “p=none” med “rua”, og rapporterne analyseres. Legitime strømme, der ikke er alignet, rettes. Først derefter skrues der op for håndhævelsen. Standarden siger, at det kan tage mange måneder med rapporter, før domæneejeren er sikker.
Gennemgangen ser derfor på, hvor I står: Kommer der rapporter? Læser nogen dem? Er de systemer, der sender på jeres vegne, med i SPF og signeret med DKIM? Systemer, der sender mail, er et kontrolpunkt for sig, beskrevet i systemer, der sender mail.
Udtrækket
Udtrækket er de offentlige DNS-poster for alle domæner og subdomæner: TXT-posterne for SPF, posterne for DKIM-selektorerne og posten på _dmarc. De kan hentes med de indbyggede opslagskommandoer i styresystemet, fx nslookup -type=TXT. Listen over domæner kommer fra domæneporteføljen.
Det kan driften selv
Hele kontrollen kan laves af driften. Lav et ark med en række pr. domæne og kolonner for SPF, DKIM, DMARC og mailflow ja eller nej. Domænerne uden mail kan få tomme poster og “p=reject” med det samme, fordi intet legitimt sendes fra dem. Domænerne med mail tager længere tid, fordi rapporterne skal læses først.
Hvad det kræver, og hvad det koster at lade være
Det kræver en domæneliste, adgang til DNS og et sted at modtage rapporterne. Det, der tager tid, er at finde alle de systemer, der sender på jeres vegne, før politikken strammes.
Uden poster kan enhver skrive jeres domæne som afsender, og modtageren har intet grundlag for at afvise den. Det gælder især de domæner, I ikke bruger.
Det skal I lade være med
- At springe domænerne uden mail over · de skal have tomme poster og afvisning.
- At gå til “p=reject” uden at have læst rapporterne · legitim mail kan blive afvist.
- At beholde “pct” i posterne · den nye standard har fjernet det.
Det skal gennemgangen kunne vise
- ☐ SPF, DKIM og DMARC for hvert domæne og subdomæne med mailflow.
- ☐ Tomme SPF- og DKIM-poster og afvisning på domæner uden mailflow.
- ☐ Den valgte målestok for SPF (“-all” eller “~all”).
- ☐ Rapporter, der modtages og læses.
- ☐ En plan fra overvågning til afvisning for domæner, der endnu ikke er nået dertil.
Kilder
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.2 og 3.7, læst 13. november 2026.
- CISA, ScubaGear-baseline for Exchange Online, MS.EXO.2 til 4, læst 13. november 2026.
- RFC 9989, DMARC (maj 2026), afsnit 4.7, 5.1.4 til 5.1.7 og tillæg A.6, læst 13. november 2026.
- RFC 7208, SPF (april 2014), afsnit 3.5, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Lav et ark med alle jeres domæner, og giv dem uden mail tomme poster og afvisning.
Læs også: Transportkryptering af mail · sikkerpånettet.dk som hurtig egenkontrol
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
