Det intressanta med SPF, DKIM och DMARC är hur snabbt teori möter drift: en kontroll måste fungera även när systemet uppdateras, felsöks och utsätts för fel. SPF, DKIM och DMARC löser olika problem: avsändande servrar, kryptografisk signering och domänens policy för hur misslyckad autentisering ska hanteras.
SPF, DKIM och DMARC i praktiken
Första byggstenen: SPF kontrollerar vilka servrar som får skicka för en envelope-from-domän. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
En annan viktig del: DKIM signerar utvalda headers och body med en domännyckel. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det tekniska ankaret: DMARC kräver alignment mellan synlig From-domän och SPF eller DKIM. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Det som ofta avgör kvaliteten: Rapporter kan visa legitima sändare som saknas i inventeringen. Det behöver kopplas till ett tydligt syfte och kunna observeras i den miljö där kontrollen faktiskt ska användas.
Så skulle jag testa det i en riktig miljö
- Inventera alla tjänster som skickar e-post för domänen.
- Publicera SPF utan att överskrida onödiga DNS-uppslag.
- Aktivera DKIM per sändande plattform.
- Börja DMARC med rapportering och analysera legitima flöden.
- Skärp policyn först när legitima källor är under kontroll.
För SPF, DKIM och DMARC håller jag därför införandet i små steg. Då går det att skilja ett säkerhetsproblem från ett rent driftfel och att rulla tillbaka just den ändring som gav ett oväntat resultat.
Praktiskt exempel
När en organisation använder exempelvis CRM, supportsystem och Microsoft 365 behöver alla tre finnas i den faktiska sändarbilden. DMARC-rapporteringen är därför lika mycket inventering som skydd.
Misstag som skapar falsk trygghet
- Att sätta reject direkt utan att känna till alla SaaS-sändare.
- Att tro att SPF ensam skyddar den synliga From-adressen.
- Att dela samma DKIM-nyckel mellan system utan behov.
Verifiering före stängning
För SPF, DKIM och DMARC vill jag avsluta med mätbara efterkontroller i stället för att nöja mig med att en statusruta visar ”enabled”. De viktigaste kontrollerna här är:
- Legitim post passerar och alignar.
- Förfalskad extern källa misslyckas enligt avsedd policy.
- DMARC-rapporter visar inga oväntade legitima sändare.
Ett negativt test hör också till SPF, DKIM och DMARC: den väg, identitet eller operation som inte ska vara tillåten ska misslyckas på ett förutsägbart sätt. Då kan nästa tekniker upprepa kontrollen och förstå både avsikten och gränsen.
Slutsats
SPF, DKIM och DMARC – tre kontroller som tillsammans skyddar e-postdomänen handlar därför inte om att samla fler säkerhetsinställningar. Det handlar om att minska en konkret risk med en kontroll som har tydligt scope, tydlig ägare och ett verifierbart resultat. När före-läge, förändring och eftertest dokumenteras blir säkerhetsarbetet både säkrare och lättare att förvalta.