Så här undviker du att företagets mailutskick fastnar i skräppostfiltret. Del 2

Autentisera alltid e-posten.

I förra delen fokuserade på att förstå grunderna i e-post, vad som är en klient och vad som är en server och vilka roller de har.

Ta fasta på att det skall gå att verifiera den avsändare du använder i dina utskick. Det är viktigt att förstå att det finns ett antal avsändare angivna i ett e-postmeddelande. Det används till exempel en avsändaradress i själva kommunikationen mellan e-postservrar (MTA), man kan jämföra det med avsändaradressen på fysiska kuvert. Denna går oftast att se i meddelandet om man tar fram egenskaperna för det, men visas allt som oftast inte i e-postklienten direkt.

Sedan finns det en adress i själva meddelandet, det är denna du ser i ditt e-postprogram. Jämför med den adress som står i det fysiska brevet som låg i kuvertet. Utöver detta finns även en ”svara till” adress. Den används om avsändaren vill att svaret på brevet skall gå till en annan adress än den som brevet skickades ifrån. Detta är vanligt när brev skickas från obevakade brevlådor, tex fakturautskick mm.

En skräppostare vill ju helst inte bli spårad men det vill avsändaren av legitima meddelanden, annars blir det svårt att hålla uppe relationen med mottagaren. Du kan styrka din avsändare genom ett använda ett antal olika tekniker.

SPF

SPF eller Sender Policy Framework används för att styrka att den server som skickar e-post för en viss domän har rätt att göra det. Genom att placera speciella så kallade poster i DNS servrarna som hanterar din domän kan mottagaren kontrollera att e-posten kommer från rätt servrar. Premissen här är att det bara är ägaren som har kontrollen över DNS informationen och därmed är den också pålitlig. Kontrollen görs mot e-postadressen som används i kommunikationen mellan e-postservrarna, men det börjar bli vanligt att man även kontrollerar mot avsändaradressen som står i meddelandet.
www.openspf.org

DKIM

En annan teknik för att säkerställa att avsändaren är rätt kallas DKIM, eller Domain Keys Identified Mail. Det går ut på att man kryptografiskt signerar sina meddelande på ett sätt så att mottagande e-postservrar kan verifiera att meddelandet skickats från rätt organisation. Den information som behövs för att identifiera den avsändande organisationen publiceras i DNS på samma sätt som SPF.
http://www.dkim.org/

DMARC

Ett tredje sätt att styrka sin identitet är att använda DMARC, Domain-based Message Authentication, Reporting & Conformance. DMARC baseras på både SPF och DKIM och principen går ut på att avsändaren berättar vilka av skyddsmekanismerna som används och hur mottagaren skall agera ifall det kommer e-post som inte matchar dem. Syftet är att täcka upp för de fall där e-post skickas som av någon anledning inte matchar SPF eller använder DKIM. Se det som en policy som beskriver för mottagaren hur din organisation verifierar att e-posten kommer från just er.

Metoden ger även möjlighet för avsändaren att ta emot rapporter från mottagarna om meddelande som matchar och inte matchar policyn. Avsändaren får då en kontinuerlig uppföljning av att alla som skickar e-post för domänen följer regelverket och kan fånga upp de fall när policyn inte efterlevs.
https://dmarc.org/

Så här långt har vi bara beskrivit de åtgärder du behöver göra på teknisk nivå men det tar dig bara igenom första nivån av kontroller i spamfiltret. Det utförs även en mängd kontroller på innehållet i själva meddelandet. I del 3 som publiceras i morgon, tar vi upp vilka dessa är.

Del 1, Börja från grunden
Del 2, Autentisera alltid e-posten
Del 3, Tänk på avsändare och innehållet
Del 4, Undvik bilagor och tänk på ryktet
Sammanfattning