DNS-baseret mailsikkerhed – komplet oversigt
Samlet oversigt over de mailsikkerheds-teknologier, der sættes op i DNS — hvad hver enkelt gør for indgående og udgående mail, og i hvilken rækkefølge de giver mening.
Her er ALLE centrale teknologier, du kan implementere på DNS-niveau for at sikre både indgående og udgående mail.
✅ 1. SPF (Sender Policy Framework) – DNS TXT-record
Beskytter mod: spoofing (hvem må sende fra dit domæne)
SPF definerer hvilke servere/IP’er der har lov til at sende mail på vegne af domænet.
Eksempel:
v=spf1 include:spf.protection.outlook.com -all
✅ 2. DKIM (DomainKeys Identified Mail) – DNS TXT-record
Beskytter mod: manipulation af mailindhold (integritet)
DKIM lægger en digital signatur i mailen, og den offentlige nøgle ligger i DNS.
Eksempel:
selector._domainkey.example.com IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBg..."
✅ 3. DMARC – DNS TXT-record
Beskytter mod: misbrug af domænet + rapportering
DMARC kræver SPF/DKIM alignment og styrer håndhævelse.
Eksempel (reject):
v=DMARC1; p=reject; rua=mailto:dmarc@example.com
🔒 4. DANE (DNS-Based Authentication of Named Entities) – DNS TLSA-record
Beskytter mod: MITM-angreb på SMTP, certifikat-spoofing
Kræver: DNSSEC
Bruges til at binde TLS-certifikatet til SMTP-serveren via DNS.
Eksempel:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <hash>
🛡️ 5. DNSSEC (DNS Security Extensions)
Beskytter mod: manipulation af DNS-records (fundamentet for DANE)
DNSSEC tilføjer kryptografisk signering af dine DNS-records.
Hvis du har DANE, bør DNSSEC være aktiv, men mange har det stadig ikke korrekt.
📦 6. MTA-STS (SMTP Strict Transport Security)
Beskytter mod: TLS-downgrade angreb, MITM når DANE ikke bruges
Består af:
- TXT-record:
_mta-sts.domæne - HTTPS policy-fil på:
https://mta-sts.<domæne>/.well-known/mta-sts.txt
Eksempel TXT:
_mta-sts.example.com TXT "v=STSv1; id=20260208"
📊 7. TLS-RPT (SMTP TLS Reporting)
Beskytter: indirekte – ved at overvåge fejl i krypteret SMTP
Rapporter: failures i TLS leveringer fra andre mailservere
Eksempel:
_smtp._tls.example.com TXT "v=TLSRPTv1; rua=mailto:tlsrpt@example.com"
🏷️ 8. BIMI + VMC (Brand Indicators for Message Identification)
Beskytter mod: phishing via visuel brandforfalskning
Kræver:
- DMARC enforcement (p=quarantine/reject)
- Valid logo (SVG)
- Ofte VMC-certifikat (betalt)
Eksempel:
default._bimi.example.com TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"
🪪 9. CAA (Certification Authority Authorization)
Beskytter mod: uautoriseret udstedelse af TLS-certifikater
Eksempel:
example.com. CAA 0 issue "letsencrypt.org"
example.com. CAA 0 issuewild ";"
🔁 10. ARC (Authenticated Received Chain)
Ikke DNS, men relateret – vigtigt for forwarding
Beskytter mod:
- DMARC failures ved videresendelse
- Mailing-lists / helpdesk / autosvar-systemer
❌ 11. DNSBL / RBL (indgående spam-beskyttelse)
DNS-baseret bag-sceningsteknologi til:
- spamfiltrering
- IP reputation
- beskyttelse af modtagende mailserver
Ikke en DNS-record, men baseret på DNS-lookups.
🔒 Oversigt: DNS-baseret mailsikkerhed og hvad hvert tiltag beskytter
| Sikkerhedstiltag | Beskytter hvad? |
|---|---|
| SPF | Hvem må sende mail på vegne af domænet (anti-spoofing) |
| DKIM | Integritet af mailens indhold og afsenderautentifikation |
| DMARC (reject/quarantine) | Politikhåndhævelse + rapportering + kombinationsbeskyttelse af SPF/DKIM |
| DNSSEC | Integritet af DNS-opslag (forhindrer manipulation, fundament for DANE) |
| DANE for SMTP (TLSA) | Kryptering + autentifikation af SMTP-servere (beskytter mod MITM) |
| MTA-STS | Sikrer TLS-levering og forhindrer TLS-downgrade, hvor DANE ikke er understøttet |
| TLS-RPT | Rapportering af fejl i krypteret SMTP-transport (TLS problemer) |
| CAA | Kontrol over hvilke CA’er der må udstede TLS-certifikater til dit domæne |
| BIMI / VMC | Visuel identitet og brandbeskyttelse i modtagerens indbakke |
| ARC | Sikrer mails ved videresendelse, så DMARC ikke fejler |
| DNSBL / RBL | Beskytter indgående mail mod spam via DNS-baserede blocklists (ikke en record, men DNS-opslag) |