Sådan beskytter SPF, DKIM og DMARC dit domæne mod phishing og spoofing
Hvis nogen sender en LinkedIn phishing mail eller en forfalsket faktura i dit domænenavn, er det ikke kun dit brand der lider – det ødelægger også leveringsevnen for din legitime cold email. Denne artikel forklarer email security: SPF, DKIM and DMARC explained i almindeligt sprog, og viser hvordan en B2B-afsender sætter det op trin for trin uden at blokere egne kampagner.
- SPF, DKIM og DMARC er tre separate men sammenhængende standarder, der tilsammen beviser at en mail reelt kommer fra dit domæne.
- Uden DMARC email security kan svindlere sende phishing-mails, der ser helt ægte ud i modtagerens indbakke.
- DMARC bør indføres gradvist fra p=none til p=reject – ellers risikerer du at blokere din egen legitime cold email.
- Domæne-spoofing rammer ofte virksomheder der er synlige på LinkedIn, fordi afsendernavn og titel er let tilgængelige.
- Et dedikeret sending-subdomæne beskytter hoveddomænets omdømme, hvis en cold email-kampagne alligevel rammer et spamfilter.
Domæne-spoofing rammer også legitime B2B-afsendere
Mange tror phishing kun er et problem for banker og store mærkevarer, men ethvert domæne der sender B2B-mails er et attraktivt mål. Kriminelle forfalsker afsenderadressen – domæne-spoofing – og sender fx en falsk faktura eller en LinkedIn phishing mail, der ser ud til at komme fra din salgschef, til dine kunder eller partnere.
Problemet rammer ikke kun dem der bliver snydt. Når modtagernes mailservere ser gentagne forfalskede mails fra dit domæne, falder domænets omdømme – og det går ud over din legitime cold email, som pludselig lander i spam, selvom den aldrig har haft noget med svindlen at gøre.
Det er her SPF, DKIM og DMARC kommer ind: de tre teknikker mailservere verden over bruger til at afgøre, om en mail rent faktisk må sendes på vegne af dit domæne.
SPF, DKIM og DMARC explained – hvad gør de hver især
SPF (Sender Policy Framework) er en DNS-post, der lister hvilke servere der må sende mail for dit domæne – dit ESP, dit CRM, Google Workspace og så videre. Modtagerens server tjekker afsenderens IP mod listen.
DKIM (DomainKeys Identified Mail) tilføjer en digital signatur til hver mail, krypteret med en privat nøgle. Modtageren verificerer signaturen med den offentlige nøgle i din DNS – det beviser at mailens indhold ikke er ændret undervejs.
DMARC (Domain-based Message Authentication, Reporting and Conformance) binder de to sammen: den fortæller mailservere hvad de skal gøre, hvis en mail fejler SPF og DKIM (afvise, sætte i karantæne eller ignorere), og sender dig rapporter om hvem der forsøger at sende i dit navn. Det er den del af opsætningen de fleste artikler om spf dkim dmarc explained springer for hurtigt over.
Andel forfalskede mails, der når frem til modtagerens indbakke – indikative tal fra praksis med B2B cold-kampagner.
Sådan indfører du DMARC uden at ramme din egen cold email
Spring aldrig direkte til p=reject. Start altid med p=none, så du kan overvåge trafikken uden at blokere noget.
- Trin 1: Opsæt SPF med alle godkendte afsendersystemer (ESP, cold email-værktøj, mailserver) – hold under 10 DNS-opslag for at undgå permerror.
- Trin 2: Aktivér DKIM-signering i din mailplatform og publicér den offentlige nøgle i DNS.
- Trin 3: Tilføj en DMARC-record med p=none og en rua-adresse, så du modtager daglige rapporter.
- Trin 4: Analysér rapporterne i 2-4 uger, og ret op på alle legitime kilder der fejler.
- Trin 5: Skift til p=quarantine, når rapporterne kun viser forventede afsendere.
- Trin 6: Skift til p=reject, når du er sikker på at al legitim trafik passerer.
Andel cold emails der lander i indbakken – indikative tal fra praksis med målrettede B2B-kampagner, ikke en garanti.
Fejl der koster dig leveringsevne
De fleste problemer med email security spf dkim and dmarc explained-guider handler om implementering, ikke teori. Her er de fejl vi ser oftest hos danske B2B-afsendere.
- For mange SPF-inkluderinger (over 10 DNS-opslag) giver en permerror, der ugyldiggør hele SPF-tjekket.
- DKIM-nøglen roteres aldrig, selvom den bør skiftes årligt af sikkerhedsmæssige grunde.
- Man springer direkte til p=reject uden at have læst rapporterne først – og blokerer sin egen nyhedsbrevsplatform.
- Cold email sendes fra hoveddomænet uden et dedikeret sending-subdomæne, så en dårlig kampagne skader hele virksomhedens mailomdømme.
- DMARC-rapporterne bliver aldrig læst, fordi de sendes som ulæselige XML-filer til en indbakke ingen tjekker.
Sådan arbejder LDM med email-sikkerhed i cold outreach
Når vi sætter en B2B cold email-kampagne op for en kunde, adskiller vi altid sending-domænet fra hoveddomænet – typisk et dedikeret subdomæne der varmes op gradvist, så hoveddomænets omdømme aldrig er i spil.
Vi verificerer SPF og DKIM for hvert afsendersystem, før første mail sendes, og vi anbefaler altid DMARC-overvågning fra dag ét – selv med p=none – så kunden kan se, om nogen forsøger domæne-spoofing eller sender en LinkedIn phishing mail i deres navn parallelt med kampagnen.
Svar fra reelle modtagere føres tilbage til CRM, så salgsteamet arbejder videre med varme leads, mens sikkerhedsopsætningen kører i baggrunden og beskytter både afsender og modtager.
Ofte stillede spørgsmål
Hvad er forskellen på SPF, DKIM og DMARC?
SPF godkender hvilke servere der må sende for dit domæne, DKIM beviser at mailens indhold ikke er ændret via en digital signatur, og DMARC bestemmer hvad der skal ske, hvis en mail fejler begge dele, samt sender dig rapporter om misbrug.
Kan jeg sende cold email uden DMARC opsat?
Teknisk ja, men uden DMARC har du ingen synlighed i, om nogen misbruger dit domæne, og store mailboxudbydere vægter i stigende grad DMARC-status i deres spamfiltrering – så uden det risikerer du lavere leveringsevne.
Hvordan opdager jeg, om nogen spoofer mit domæne?
DMARC-rapporterne viser dig alle IP-adresser der sender mail, som hævder at komme fra dit domæne, inklusive dem der fejler autentificeringen. Det er den nemmeste måde at fange spoofing og phishing-forsøg tidligt.
Hvad har LinkedIn phishing-mails med domæne-sikkerhed at gøre?
Kriminelle bruger ofte offentlige LinkedIn-profiler til at forfalske afsendernavn og titel i en phishing-mail, der ser ud til at komme fra din virksomheds domæne. SPF, DKIM og DMARC forhindrer ikke selve svindlen, men gør det markant sværere for mailen at lande troværdigt i modtagerens indbakke.
Hvor lang tid tager det at implementere DMARC korrekt?
Regn med 4-8 uger fra p=none til p=reject, hvis du gør det ordentligt: 2-4 uger til overvågning og oprydning, derefter en kortere periode på p=quarantine før fuld håndhævelse.
Bør jeg bruge et separat subdomæne til cold email?
Ja, et dedikeret sending-subdomæne isolerer risikoen – hvis en kampagne mod forventning rammer spamfiltre, påvirker det ikke dit hoveddomænes omdømme til fakturaer, support eller interne mails.
Vil du bruge det her i din outreach?
Vi viser, hvordan det virker for dit segment og produkt — inden arbejdet går i gang.
Tal med os