DMARC-sjekkverktøy og rapporter: slik kontrollerer du oppsettet

Hva et dmarc-sjekkverktøy faktisk ser

Verktøyet gjør et DNS-oppslag på _dmarc.domenet.no og leser innholdet i TXT-posten. Det kontrollerer at posten er syntaktisk gyldig, at policyen er satt til noe gyldig, og om det er lagt inn en adresse for rapporter. Mange verktøy tar også med SPF-posten og leter etter DKIM-selektor, slik at du får en samlet vurdering av e-postautentiseringen i stedet for tre separate oppslag. En kort innføring i hvordan domene, DNS og e-post henger sammen finner du i guiden om domene og e-post for bedrifter.

Det verktøyet ikke ser, er trafikken. Det ser ikke om Outlook eller fakturasystemet ditt signerer posten med DKIM, om et nyhetsbrev sendes via en tredjepart som ikke er nevnt i SPF, eller om videresending bryter kontrollen underveis. Alle disse feilene gir samme svar i et oppslag, nemlig at postene ser fine ut, mens mottakeren likevel får meldinger som ikke består kontrollen.

Praktisk betyr det at et verktøy svarer på spørsmålet «er oppsettet mitt gyldig?», ikke på spørsmålet «blir posten min godkjent?». Det siste spørsmålet besvares bare av rapporter og av en faktisk testpost du sender gjennom de tjenestene du bruker.

Tre typer verktøy, og når de er nyttige

Den første typen er rene oppslagsverktøy, der du skriver inn domenet og får posten tilbake med kommentarer og feilmarkeringer. De er raske, krever ingen installasjon, og egner seg godt til å sjekke SPF og DMARC samtidig når du nettopp har lagt inn noe nytt. Noen er spesialisert mot norske domener og kontrollerer også andre poster enn DMARC, for eksempel MTA-STS, TLS-RPT og BIMI. Sjekk vilkår og eventuelle begrensninger på leverandørens egen nettside, de kan endres.

Den andre typen er rapporttolkene. De kobler seg til rapportadressen du har lagt i DMARC-posten, mottar XML-rapportene som mottakernes e-postservere sender, og gjør dem om til noe lesbart: hvilke IP-adresser som sender post i ditt navn, hvor mange meldinger det gjelder, og om de består SPF, DKIM og alignment. Uten et slikt verktøy blir rapportene liggende som vedlegg i en postkasse ingen åpner.

Den tredje typen er testverktøy for selve sendingen. De sender en testpost med valgfri avsender og lar deg inspisere headerne for å se hvilke kontroller som ble kjørt og hva resultatet ble. Dette er det nærmeste du kommer et svar på om DKIM faktisk signerer, og det er verktøyet du bør bruke når du har arvet et oppsett fra noen andre og ikke vet hva som er gjort.

For en liten bedrift er rekkefølgen enkel: først et oppslag for å se at postene er gyldige, deretter rapportadresse på plass, så rapporttolk etter noen uker med trafikk, og en testpost når du gjør endringer.

Slik leser du en dmarc-report uten å drukne

En aggregert rapport er XML, og den inneholder et sett med meldinger gruppert per avsendende IP-adresse. For hver gruppe står det hvor mange meldinger som ble sendt, hvilket domene avsenderen oppgir i From-feltet, om SPF og DKIM besto, og hva mottakeren gjorde med meldingen. Du trenger ikke forstå hvert felt. Du trenger å se tre ting: hvilke IP-adresser som dukker opp, om de er kjente for deg, og om andelen som feiler er stor eller liten.

Kjente IP-adresser er typisk e-postleverandøren din, nettbutikkplattformen, fakturasystemet og eventuelt et nyhetsbrevverktøy. Ukjente adresser kan være noen som misbruker domenet, men like ofte er det en glemt tjeneste, en gammel leverandør, eller en ansatt som har koblet en app til domenet. Det er denne listen som avgjør om du kan stramme policyen eller ikke.

En vanlig fallgruve er å tolke «fail» som et tegn på angrep. Feiler DKIM for en kjent tjeneste, er det ofte selektoren som er feil, eller nøkkelen som er rotert uten at posten er oppdatert. Feiler SPF for en kjent tjeneste, er det gjerne videresending eller en sender som mangler i posten. Begge deler rettes opp uten at du rører DMARC-policyen.

Rapportene har også en annen funksjon: de dokumenterer at du faktisk følger med. Når du senere går fra p=none til en strengere policy, er det rapportene som viser at du ikke stengte ute legitime meldinger.

Feilene verktøyene oftest avdekker

Den vanligste er at policyen står på p=none og blir stående. Det er et greit sted å starte, fordi ingenting stoppes og du får rapportene, men det er et dårlig sted å bli stående, siden posten da ikke beskytter domenet mot misbruk. Et sjekkverktøy viser dette med en enkelt linje, og det er verdt å se etter hver gang du gjør en endring.

Den nest vanligste er at SPF ikke dekker alle som sender. En nettbutikk som sender ordrebekreftelser via plattformen sin, eller et regnskapsprogram som sender fakturaer, må være med i posten. Mangler de, feiler SPF, og en streng DMARC-policy vil avvise meldingene. Det er en feil som ikke merkes før policyen strammes inn, og da merkes den godt.

Den tredje er manglende eller feil DKIM-signering. Verktøy som sjekker DKIM, tester selektor og signatur og peker på hva som er galt. Husk at det er domenet i signeringen som må stemme med domenet i From-feltet. Signerer tjenesten med sitt eget domene mens meldingen ser ut til å komme fra ditt, består kontrollen ikke, uansett hvor fin DKIM-posten ser ut.

Den fjerde er at noen har kopiert en oppskrift fra nettet uten å tilpasse den. En post som er riktig for en annen bedrift, kan være feil for din, fordi den peker på feil rapportadresse eller en policy du ikke er klar for. Gå gjennom slik sjekker og setter du opp SPF, DKIM og DMARC før du endrer noe, og sammenlign med det verktøyet viser.

En praktisk rekkefølge fra p=none til strengere policy

Start med å kartlegge hvem som sender post fra domenet. Skriv ned e-postleverandør, nettbutikk, faktura, booking, nyhetsbrev og alt annet som bruker domenet som avsender. Denne listen er grunnlaget for alt videre arbeid, og den er også det verktøyene ikke kan gi deg.

Sett opp SPF og DKIM for hver av dem, og bekreft med en testpost at DKIM faktisk signerer. Når det er på plass, publiserer du DMARC med p=none og en rapportadresse, slik at du begynner å samle data uten å risikere å stoppe legitim post. Har du ingen DMARC i dag, er dette første steg, og det kan gjøres på minutter. Se slik setter du opp SPF, DKIM og DMARC for selve oppføringen.

Så følger du rapportene i noen uker og retter opp det som feiler for kjente sendere. Først når rapportene viser at de kjente senderne består kontrollen, går du videre til karantene, og senere til avvisning. Ta ett steg om gangen, og hold et øye med rapportene i dagene etter hver endring, slik at du oppdager det raskt hvis en tjeneste faller ut.

Til slutt bør du gjøre dette til en rutine. Domener, tjenester og nøkler endres, og en post som var riktig i fjor, er ikke nødvendigvis riktig i dag. Et kvartalsvis oppslag og en titt på rapportene er nok for de fleste små bedrifter, forutsatt at noen faktisk har ansvaret. Vurder også BIMI hvis du vil vise logoen i innboksen, det krever DMARC med p=reject og et logoformat mottakerne godtar, og du kan lage utgangspunktet med logo maker.

Trenger du hjelp med selve domenet og postkassene rundt dette, kan du se Nettsagas domener eller book en demo for å gå gjennom oppsettet ditt.

Vanlige spørsmål

Hva er et DMARC-sjekkverktøy?

Det er et verktøy som slår opp DNS-posten _dmarc på domenet ditt og vurderer om den er gyldig, hvilken policy den setter, og om SPF og DKIM stemmer med oppsettet. Det viser tilstanden i postene, ikke hva som faktisk sendes.

Hva betyr p=none i DMARC-posten?

p=none betyr at du får rapporter om posten som sendes i ditt navn, men at ingenting stoppes eller settes i karantene. Det er et greit sted å starte, og et dårlig sted å bli stående.

Trenger jeg egne verktøy for å lese DMARC-rapporter?

Du kan åpne XML-filene manuelt, men det er tungvint når rapportene kommer jevnlig fra flere mottakere. Et rapportverktøy samler dem og gjør det mulig å se hvilke avsendere som feiler over tid.

Hvorfor feiler DMARC når SPF er satt opp?

Fordi SPF alene ikke er nok. DMARC krever at enten SPF eller DKIM består og i tillegg er justert mot domenet i From-feltet. Mangler en tjeneste i SPF-posten, eller signerer DKIM med feil domene, feiler kontrollen selv om oppsettet ser komplett ut.

Kan jeg sjekke DMARC uten verktøy?

Ja, du kan slå opp posten direkte i terminalen med dig eller nslookup. Du ser da om posten finnes og hva den inneholder, men du får ingen vurdering av feil, og du ser fortsatt ikke trafikken.