Hvad er forskellen på SPF, DKIM og DMARC?

SPF tjekker, om serveren må sende for domænet. DKIM tjekker, om mailen er signeret af domænet. DMARC binder dem til den synlige afsender og bestemmer, hvad der sker med mail, der fejler. Man skal have alle tre.

Hvad betyder alignment?

At domænet, SPF eller DKIM har tjekket, passer til domænet i feltet „Fra“. Det er dét, der gør DMARC effektivt: en svindler kan bestå SPF med sit eget domæne, men ikke med jeres.

Hvad er forskellen på MTA-STS og DANE?

Begge sikrer, at mail til jer sendes krypteret til den rigtige server. MTA-STS bruger en politikfil på et website og almindelige certifikater. DANE bruger DNSSEC og TLSA-poster. Microsoft 365 og Google understøtter MTA-STS bedst.

En DNS-post med fri tekst. SPF, DKIM, DMARC, MTA-STS, TLS-RPT og BIMI ligger alle som TXT-poster, på domænet selv eller på et særligt navn som _dmarc.

Ordliste: mail- og domænesikkerhed fra A til Å

Forklaringer på de ord og forkortelser, der går igen i mail- og domænesikkerhed. Følg linket ved et ord for at læse mere.

A-post / AAAA-post: DNS-poster, der peger et navn på en IPv4- (A) eller IPv6-adresse (AAAA), fx jeres website.
Alignment: At domænet, SPF eller DKIM har tjekket, passer til domænet i feltet „Fra“. Uden alignment består mailen ikke DMARC, selvom SPF eller DKIM består. Kan være relaxed (samme organisationsdomæne) eller strict (præcis samme navn). Læs mere →
ARC: Authenticated Received Chain. Lader mellemled som mailinglister og videresendelse bevare resultatet af SPF, DKIM og DMARC, når de ændrer mailen.
Authentication-Results: Headeren, hvor modtagerens mailserver skriver resultatet af SPF, DKIM og DMARC. Det første sted at kigge, når en mail er havnet i spam. Læs mere →
BIMI: Brand Indicators for Message Identification. DNS-post, der viser jeres logo ved jeres mails i understøttede mailprogrammer. Kræver DMARC med håndhævelse. Læs mere →
Blacklist (DNSBL): Liste over ip-adresser og domæner, der har sendt spam, fx Spamhaus og SpamCop. Mailservere slår afsendere op i dem. Læs mere →
CAA: Certification Authority Authorization. DNS-post, der siger, hvilke certifikatudstedere der må lave certifikater til jeres domæne.
CNAME: DNS-post, der siger, at et navn er et alias for et andet navn. Bruges ofte til DKIM-nøgler hos Microsoft 365 og nyhedsbrevsudbydere.
DANE: DNS-based Authentication of Named Entities. Lægger mailserverens certifikat i DNS (TLSA-poster), så afsendere kan kræve krypteret levering. Kræver DNSSEC. Læs mere →
DKIM: DomainKeys Identified Mail. En digital signatur i hver mail, som modtageren tjekker mod en offentlig nøgle i jeres DNS. Beviser, hvilket domæne der står inde for mailen, og at den ikke er ændret undervejs. Læs mere →
DMARC: Domain-based Message Authentication, Reporting and Conformance. DNS-post på _dmarc, der kræver alignment, bestemmer, hvad der sker med mail, der fejler, og sender rapporter til jer. Læs mere →
DMARC-rapport (rua): Daglig XML-rapport fra mailudbydere med alle de servere, der har sendt mail med jeres domæne, og resultaterne. Sendes til adressen i rua=. Læs mere →
DNS: Domain Name System. Internettets telefonbog, der oversætter navne til adresser og indeholder alle posterne om jeres domæne.
DNSSEC: Digitale signaturer på DNS-poster, så ingen kan sende falske DNS-svar om jeres domæne. Læs mere →
DS-post: Posten hos registret (fx Punktum dk for .dk), der binder jeres DNSSEC-nøgle til resten af DNS. Læs mere →
Envelope From / Return-Path: Den tekniske afsenderadresse, som fejlmeldinger sendes til, og som SPF tjekker. Modtageren ser den normalt ikke. Læs mere →
Header From: Afsenderadressen i feltet „Fra“, som modtageren ser. Det er den, DMARC beskytter.
HSTS: HTTP Strict Transport Security. Fortæller browsere, at jeres website altid skal bruge HTTPS.
MTA-STS: Mail Transfer Agent Strict Transport Security. Politik, der kræver, at mail til jer sendes krypteret til de rigtige servere med gyldigt certifikat. Læs mere →
MX-post: DNS-post, der siger, hvilke servere der modtager mail for jeres domæne. Læs mere →
NS-post: DNS-post, der siger, hvilke navneservere der har jeres domænes DNS.
Null MX: En MX-post med værdien 0 ., der siger, at domænet slet ikke modtager mail (RFC 7505). Læs mere →
p=none / quarantine / reject: DMARC-politikken: kun rapporter, læg i spam, eller afvis mails, der fejler. Læs mere →
Permerror: Permanent fejl i SPF eller DMARC, fx to SPF-poster eller mere end 10 DNS-opslag. Behandles som en fejl af modtageren. Læs mere →
Phishing: Svindelmails, der udgiver sig for at komme fra en, modtageren stoler på, for at få penge, adgangskoder eller data. Læs mere →
PTR-post: Omvendt DNS: navnet på en ip-adresse. Mailservere, der sender, skal have en PTR-post, der passer.
security.txt: Fil på /.well-known/security.txt, der fortæller, hvordan man melder sårbarheder til jer (RFC 9116). Læs mere →
Selektor: Navnet på en DKIM-nøgle, fx selector1 eller google. Nøglen ligger på selektor._domainkey.jeresdomæne.dk. Læs mere →
Softfail: SPF-resultatet ved ~all: serveren står ikke på listen, men mailen skal ikke nødvendigvis afvises. DMARC afgør resten. Læs mere →
SPF: Sender Policy Framework. TXT-post, der lister de servere, der må sende mail for jeres domæne. Læs mere →
STARTTLS: Kommandoen, der skifter en mailforbindelse til krypteret. Uden MTA-STS eller DANE kan en angriber fjerne den. Læs mere →
TLS-RPT: SMTP TLS Reporting. Daglige rapporter fra afsendere, hvis de ikke kunne levere krypteret til jer. Læs mere →
TTL: Time To Live. Hvor mange sekunder andre må huske en DNS-post, før de spørger igen. Sæt den ned før ændringer. Læs mere →
TXT-post: DNS-post med fri tekst. SPF, DKIM, DMARC, MTA-STS, TLS-RPT og BIMI ligger alle som TXT-poster.
VMC / CMC: Verified Mark Certificate og Common Mark Certificate. Logocertifikater, der kræves, for at Gmail og Apple Mail viser BIMI-logoet. Læs mere →

Ordliste: mail- og domænesikkerhed fra A til Å

Spørgsmål og svar