Norsk Tipping As

DMARC bestemmer hva mottakerens e-postserver skal gjøre med en e-post som utgir seg for å komme fra dere, men ikke består ekthetssjekken — avvise den, legge den i søppelpost, eller slippe den gjennom. Uten DMARC (eller med «none») kan hvem som helst sende falske e-poster i deres navn, for eksempel falske fakturaer eller svindel rettet mot innbyggere.

De har ikke dette. Sett DMARC-policyen til «p=reject», så forfalskede e-poster i deres navn faktisk avvises.

SPF er en offentlig liste over hvilke servere som har lov til å sende e-post for domenet deres. Mottakeren sjekker om en e-post kom fra en godkjent server. Det er grunnmuren DMARC bygger på.

DKIM legger en digital signatur på hver e-post dere sender, så mottakeren kan bekrefte at innholdet virkelig kommer fra dere og ikke er endret underveis.

MTA-STS tvinger andre e-postservere til å levere post til dere kryptert, og bare til deres ekte servere. Det hindrer at e-post underveis kan avlyttes eller omdirigeres til en angriper.

De har ikke dette. Publiser en MTA-STS-policy (start i «testing», deretter «enforce») med en policy-fil på mta-sts-underdomenet.

TLS-RPT ber andre e-postservere sende dere en rapport hvis kryptert levering til dere feiler. Da oppdager dere leveringsproblemer eller angrep dere ellers ville vært blinde for.

De har ikke dette. Publiser en TLS-RPT-post med en e-postadresse som mottar rapportene.

DNSSEC signerer domenets DNS-oppslag kryptografisk, så ingen kan forfalske hvor deres e-post og nettside skal gå. Uten det kan en angriper i verste fall lede folk til falske servere.

De har ikke dette. Be domeneleverandøren skru på DNSSEC for domenet.

Nettstedet sender besøkende automatisk over til den krypterte (https) versjonen, så det de leser og sender ikke kan avlyttes eller endres underveis.

HSTS forteller nettleseren at den alltid skal bruke https for nettstedet — også ved neste besøk — så ingen kan lure den til en ukryptert, avlyttbar tilkobling.

De har ikke dette. Legg til «Strict-Transport-Security»-headeren på nettstedet.

Her måler vi om nettstedet bruker moderne, sikre krypteringsprotokoller (TLS 1.2 og 1.3) og ikke utdaterte versjoner (TLS 1.0/1.1) med kjente svakheter som kan brytes.

De har ikke dette. Skru av TLS 1.0 og 1.1, og behold kun TLS 1.2 og 1.3.

Sertifikatet beviser at nettstedet er ekte og krypterer trafikken. Vi sjekker at det er gyldig og utstedt til riktig navn — ellers kan noen utgi seg for nettstedet.

OCSP-stapling lar nettstedet selv legge ved en fersk bekreftelse på at sertifikatet ikke er trukket tilbake, så nettleseren slipper å spørre sertifikatutstederen. Det er en fordel, men ikke noe alle kan skru på: flere utstedere — blant dem Let's Encrypt, som er den vanligste — har sluttet med OCSP, og da mangler sertifikatet den henvisningen stapling trenger.

Sikkerhetsheadere er ekstra instruksjoner nettstedet sender til nettleseren for å blokkere vanlige angrep — som innsprøytning av skadelig skript eller «klikk-kapring», der siden legges skjult bak en annen for å lure klikk.

Her måler vi om nettstedet også er tilgjengelig over den nye internett-adressestandarden IPv6, ikke bare den gamle (IPv4). Det handler om framtidssikring og at alle nettverk skal nå fram.

De har ikke dette. Be leverandøren gjøre nettstedet tilgjengelig også på IPv6 (AAAA-oppslag).