Varför SPF, DKIM och DMARC inte är valfritt längre

Vem som helst kan skicka ett mejl som säger att det kommer från er. Fältet som visar avsändaren i en inkorg, "From", är i grunden bara text som avsändaren själv skriver in. Ingen kontrollerar den mot något annat, om inte er domän har sagt åt mottagarens server att göra det.

Det är hela hotet i en mening: e-post byggdes för en tid utan det problemet, och protokollet har aldrig tvingats bort från det.

Vad som faktiskt går att göra med en oskyddad domän

En förfalskad avsändaradress som ser exakt ut som er egen, [email protected] till exempel, används för att beställa varor, be om en ändrad bankgiro på en riktig leverantörsfaktura, eller be en anställd köpa presentkort åt "chefen" som råkar sitta i möte just då. Mottagaren har inget att gå på förutom att adressen ser rätt ut, för den är rätt, bokstav för bokstav. Ingen brandvägg eller antivirus stoppar det, det finns ingen skadlig kod att hitta. Det är bara text som ser trovärdig ut, skickad från någon annanstans.

Det spelar ingen roll hur säker er egen infrastruktur är om domänen själv står olåst.

De tre lagren, och varför alla tre behövs

SPF avgör vilka servrar som får skicka e-post från domänen. Det stoppar de mest hafsiga försöken, en server som inte står på listan blir nekad direkt av mottagaren. Men SPF kollar bara vilken server som skickade mejlet, inte om innehållet manipulerats, och det brister så fort ett mejl vidarebefordras genom ett annat system.

DKIM löser det SPF missar. En kryptografisk signatur följer med själva mejlet, inte bara transporten, så mottagaren kan avgöra om innehållet ändrats efter att det lämnade er server. Signaturen överlever vidarebefordran på ett sätt SPF inte gör.

DMARC är den som faktiskt bestämmer utfallet. Utan DMARC kollar mottagarens server SPF och DKIM, men bestämmer själv, olika från leverantör till leverantör, vad ett misslyckat resultat ska betyda. DMARC tar det beslutet ifrån gissningsleken och säger rakt ut: godkänn, skicka till skräppost, eller neka.

Har ni bara en av de tre täcker ni en del av hålet. Alla tre tillsammans, med DMARC satt till att faktiskt neka, är det som gör att någon som försöker skicka e-post i ert namn misslyckas varje gång, inte bara ibland.

Varför det oftast inte blir gjort

Det är tre DNS-poster. Ingen av dem kostar pengar, ingen kräver ny hårdvara, och den tekniska tröskeln är låg. Ändå ligger de flesta mindre företags domäner helt eller delvis oskyddade. Anledningen är sällan teknisk, det är att det aldrig hamnar överst på någon lista förrän något redan hänt.

DMARC-rapporterna är dessutom obehagliga att läsa första gången. Det dyker upp träffar från system man glömt fanns: ett gammalt nyhetsbrevsverktyg, en faktureringstjänst, en anställds privata Gmail som skickar å företagets vägnar. Det är precis därför policyn ska börja på övervaka och inte neka, för att hitta de systemen innan man stänger av dem av misstag.

Vad det faktiskt kräver

Ingen server behöver bytas, ingen prenumeration behöver köpas. Det som krävs är tillgång till domänens DNS-hantering och en eftermiddag, uppdelad på tre steg: SPF först, sedan DKIM, sedan DMARC satt till övervaka i några veckor innan policyn skärps. Genomgången för varje steg finns i guiderna.

En domän utan de här tre posterna är inte en risk för framtiden. Den är redan öppen idag, för vem som helst som vet om det.