Jeres domæne kan misbruges i dag
Uden håndhævet DMARC kan enhver sende mails, der ser ud til at komme fra jeres domæne. Til jeres kunder, jeres leverandører og jeres egne medarbejdere.
Det er rygraden i CEO-fraud og fakturasvindel, og det er jeres navn, der står som afsender, når en kunde bliver snydt.
Samtidig strammer Google og Microsoft løbende kravene til afsendere. Domæner uden korrekt autentifikation får i stigende grad deres legitime post afvist eller lagt i spam. E-mail-autentifikation er gået fra god skik til forretningskritisk, både defensivt og for leveringsevnen.
Hvorfor det sjældent lykkes at gøre det selv
Fordi opsætningen er den nemme del.
Det svære er rejsen mod håndhævelse. DMARC-rapporterne kommer som rå XML i tusindvis og skal indsamles og analyseres. Alle legitime afsendersystemer skal findes og bringes i alignment, og det er CRM’et, nyhedsbrevet, bogføringssystemet og den glemte webformular fra 2019. Politikken skal strammes gradvist fra none mod reject, uden at legitim post går tabt undervejs.
Strammer man for hurtigt, forsvinder fakturaer. Strammer man aldrig, har man ingen beskyttelse, kun statistik.
Det er løbende arbejde, der kræver både værktøj og erfaring. Derfor ender de fleste gør-det-selv-opsætninger permanent på p=none, hvilket er synligt for enhver angriber, der bruger ti sekunder på at tjekke, om jeres dør er låst.
Det tjek kan I lave selv. Vores DMARC-tjek viser det samme, som en angriber ser, og tjekker samtidig SPF og DKIM.
Otte af de elleve domæner, vi har gennemgået den seneste måned, havde en DMARC-record. På fem af dem landede rapporterne et sted, ingen kunne bruge dem. En tom rua-adresse, en almindelig postkasse fyldt med rå XML, eller en adresse hos en tidligere it-leverandør. Recorden findes. Beskyttelsen gør ikke.
Hvad E-mail Skjold leverer
Som fast månedlig ydelse får I korrekt opsætning af SPF, DKIM og DMARC på tværs af alle afsendersystemer. Løbende rapportovervågning med afrapportering på dansk i klart sprog. En styret optrapning til håndhævet politik. Alarmering ved misbrugsforsøg og ved nye uautoriserede afsendere. Og en plan videre mod MTA-STS og BIMI, når fundamentet er på plads.
Resultatet kan måles. Ingen kan længere spoofe jeres domæne hos de store mailudbydere, jeres leveringsrater bliver bedre, og I kan dokumentere kontrollen over for kunder, revisorer og tilsyn. Det tæller med i både NIS2– og GDPR-sammenhæng.