Hvad tjekket kigger på
DKIM-nøglerne. En DKIM-nøgle ligger i jeres DNS under et selector-navn, for eksempel selector1._domainkey.jeresdomæne.dk. Vi afprøver fjorten almindelige navne, blandt andet selector1 og selector2, som Microsoft 365 bruger. Finder vi en nøgle, ved I, at mindst én af jeres afsendere signerer.
SPF og DMARC. DKIM beviser, at en mail kom fra jer og ikke er ændret undervejs. Det er DMARC, der fortæller modtageren, hvad den skal gøre med de mails, der ikke kan bevise det. Derfor viser resultatet alle tre.
Hvorfor vi ikke altid finder jeres DKIM
Selector-navnet vælges af den tjeneste, der sender. Der findes ingen liste i DNS over, hvilke navne et domæne bruger, så ingen udefra kan se dem alle. Finder vi ingen nøgle, betyder det ikke, at I ikke har DKIM. Det betyder, at den ligger under et navn, vi ikke har gættet.
Vil I vide det med sikkerhed, så åbn en mail, I selv har sendt, og se dens headere. Feltet DKIM-Signature indeholder s=, som er selectoren, og d=, som er det domæne, der har signeret. Står der et andet domæne end jeres i d=, signerer tjenesten i sit eget navn og ikke i jeres.
Hvad I gør ved fundene
- Skriv ned, hvilke systemer der sender mail i jeres navn. Mailserveren er den nemme. Nyhedsbrevet, CRM’et, fakturasystemet og bookingen er dem, der bliver glemt.
- Slå DKIM til i hvert af dem. Tjenesten giver jer en record, som regel en CNAME, der skal i jeres DNS.
- Brug 2048-bit nøgler, hvor tjenesten tillader det. Standarden kræver mindst 1024 bit og anbefaler 2048.
- Sæt DMARC op bagefter. DKIM alene afgør ikke, hvad modtageren gør med en mail uden signatur.
Skal nogen tage forløbet for jer, er det den opgave, vi løser under stop mailspoofing.