Vad vi testade
Vi läste de tre publika DNS-inställningar som tillsammans avgör hur väl en domän är skyddad mot förfalskade avsändare: SPF, DMARC och DKIM. Vi tittade dessutom på de mer avancerade skydden MTA-STS och TLS-RPT och om webbplatsen tvingar krypterad trafik (HSTS), samt om domänen använder Microsoft 365 för sin mejl. Allt bygger på öppet tillgängliga uppgifter. Inga intrång, ingen kontakt med bolagen och ingen bolagsspecifik data publiceras här, bara det samlade mönstret.
Resultatet i korthet
kan fortfarande få mejl skickade i sitt namn, de saknar DMARC helt eller har det i rent övervakningsläge (p=none) som inte blockerar något
kör redan Microsoft 365, där skyddet går att slå på utan extra kostnad
har DMARC satt att faktiskt blockera förfalskade mejl (p=quarantine eller p=reject)
har DKIM konfigurerat, resten saknar eller har ofullständig signering
DMARC-läget hos de 853 bolagen
De tre kontrollerna, sida vid sida
Andel av 853 bolag som klarar respektive kontroll. Grundskyddet SPF finns hos så gott som alla, men DMARC, det som faktiskt stoppar förfalskning, ligger kvar på ungefär var tredje.
Varför SPF inte räcker på egen hand
Så gott som alla hade SPF på plats och utgick rimligen från att de därmed var skyddade. Men SPF, DMARC och DKIM fyller olika roller och det är skillnaden som avgör om ett förfalskat mejl stoppas eller går igenom:
- SPF listar vilka servrar som får skicka mejl för en domän. Den kontrollerar en teknisk avsändaradress i bakgrunden, inte det namn mottagaren faktiskt ser i sin inkorg.
- DKIM signerar utgående mejl digitalt, så mottagaren kan verifiera att innehållet inte manipulerats på vägen. 65 procent i vårt urval hade det konfigurerat.
- DMARC är regeln som talar om för mottagarens mejlserver vad den ska göra med mejl som inte klarar SPF eller DKIM, till exempel avvisa dem. Det är här själva skyddet mot förfalskning sitter.
- p=none betyder att DMARC finns men står i lyssnande läge: den rapporterar utan att blockera. Ett vanligt första steg, men nära hälften av bolagen i urvalet (46 procent) blir kvar där. Dörren står i praktiken fortfarande öppen.
Perspektiv
Samma mönster, oavsett bransch och storlek
Urvalet spänner över flera branscher och storlekar mellan 25 och 500 anställda och skillnaden mellan grupperna är mindre än man kan tro. Det här är inte ett tecken på att en viss bransch slarvar mer än andra. DMARC är osynligt i vardagen, inget i inkorgen påminner om att det saknas och de flesta har helt enkelt aldrig haft anledning att kontrollera.
Microsoft 365 löser det inte automatiskt
93 procent av bolagen i urvalet kör redan Microsoft 365. Ändå ser siffrorna för just Microsoft 365-bolagen nästan identiska ut som för hela urvalet: ungefär var tredje har fungerande DMARC. Och det är logiskt, för DMARC är inte något licensen levererar.
SPF, DMARC och DKIM är rena DNS-inställningar. De ligger hos den som administrerar företagets domän, inte i Microsoft 365 och de måste konfigureras aktivt oavsett vilken mejlleverantör man har. Microsoft 365 gör det enkelt att slå på DKIM och att peka rätt i SPF, men själva DMARC-regeln, den som säger åt omvärlden att avvisa förfalskade mejl, är en DNS-post någon måste lägga in och sedan skärpa från övervakning till blockering. Det är gratis, men det sker inte av sig självt.
Ett tänkbart scenario
En ekonomiansvarig får ett mejl som ser ut att komma från en leverantör de handlat med i flera år: nytt kontonummer inför nästa betalning, formulerat precis som leverantören brukar skriva. Avsändaradressen stämmer, namnet stämmer, domänen stämmer.
Fakturan betalas till fel konto. Ingen blev hackad, det räckte att någon kunde skicka ett mejl som såg ut att komma från rätt domän, för att den domänen saknade skydd mot just det.
Och de som gått ännu längre? Nästan ingen.
Utöver SPF, DMARC och DKIM finns ett par mer avancerade skydd som krypterar själva mejltrafiken mellan servrarna och larmar när något går fel. Där är det nästan tomt:
MTA-STS tvingar krypterad överföring av inkommande mejl, TLS-RPT rapporterar när krypteringen fallerar. Färre än ett av tjugo bolag har någotdera. På webbsidan är läget bättre: 29 procent tvingar krypterad trafik med HSTS, men det skyddar besökaren på er webbplats, inte mejlen.
Vad man bör göra åt det
Det uppmuntrande är att skyddet ligger inom räckhåll för nästan alla. DMARC och DKIM är kostnadsfria DNS-inställningar, ingen ny licens och ingen ny produkt krävs för de 93 procent som redan har Microsoft 365. Det handlar om att gå från p=none till att faktiskt blockera och om att slå på DKIM-signering i admin-portalen.
Det svåra ligger sällan i att åtgärda, utan i att veta att man behöver. Ett rimligt första steg är att kontrollera sin egen domän och se vad som faktiskt står där.
Kan er domän spoofas? Kolla på en minut.
KOLLEN läser era publika DNS-poster och visar direkt om SPF, DMARC och DKIM är på plats, gratis och utan inloggning. Vill ni ha hela bilden av er Microsoft 365-säkerhet på vanlig svenska, gör PIANOLA det åt er.
Om metoden i LUMRAs mejlsäkerhetsstudie 2026: ett urval av 853 svenska bolag med mellan 25 och 500 anställda, spritt över flera branscher. Vi läste enbart publika DNS-poster (SPF, DMARC, DKIM, MTA-STS, TLS-RPT), HSTS-svar från respektive webbplats samt hur domänens mejlinfrastruktur svarar, i augusti 2026. Siffrorna är helt aggregerade, vi hänger inte ut enskilda bolag och publicerar ingen bolagsspecifik data. Ett urval är inte hela det svenska näringslivet, men mönstret är tydligt och stämmer väl med vårt tidigare, mindre stickprov bland fastighetsmäklare.