Kan någon skicka förfalskad e-post i det offentligas namn?
Vi mäter, per namngiven organisation, hur väl domänerna är skyddade mot avsändarförfalskning — och visar vad bristerna betyder i praktiken och hur de åtgärdas. Allt bygger på publik DNS och publika HTTPS-resurser.
Kartor
Varje kommun och region färgad efter sitt skydd mot förfalskad avsändare. Hovra för detalj, klicka för organisationens sida.
Kommuner
Regioner
Alla organisationer
Sök och sortera. Klicka på en rad för organisationens egen sida.
| Organisation | Typ | Skydd | Domäner | Tar emot e-post (MX) | DNSSEC |
|---|
Myndigheter
Statliga myndigheter saknar geografi. I stället: en mosaik per domän och leverantörskoncentrationen.
Mosaik — en ruta per organisation
Alla organisationer (även kommuner och regioner), sorterade efter betyg. Täta fält av rött blir omedelbart synliga. Klicka på en ruta för organisationens sida.
Vem tar emot e-posten?
Första mottagningspunkten enligt MX (nätägare bakom IP:t) — inte nödvändigtvis där e-posten hanteras. Ett spamfilter kan ligga framför.
Metod & betygsnivåer
Transparent bedömning med tydliga kriterier — ingen hemlig poängsumma. Rubrikbetyget är den svagaste domän en organisation själv råder över.
Vad betyget mäter
Rubrikbetyget mäter en enda sak: skyddet mot förfalskad avsändare (spoofing). Det avgörs av DMARC, eftersom DMARC är den mekanism som faktiskt stoppar förfalskad avsändaradress — SPF och DKIM verkar bara genom DMARC. Transportsäkerhet (MTA-STS, DANE, TLS-RPT) och infrastruktur (DNSSEC) mäts och redovisas separat per domän, men bakas medvetet inte in i betyget — ett sammanvägt poängtal skulle dölja vad som brister. Bokstaven (A–F) speglar nivån; checklistan "X av N kontroller" är en oviktad räkning där varje kryss är ett DNS-faktum.
Så mäter vi
Allt bygger på publik DNS och publika HTTPS-resurser — sådant vilken besökare som helst kan se. Per domän läser vi MX (och via MX-värdens IP vilket nät som tar emot inkommande e-post), SPF, DMARC, DKIM, MTA-STS, TLS-RPT, DNSSEC och DANE. "Inkommande e-post (MX)" visar bara första mottagningspunkten — inte var brevlådorna finns eller vem som driftar e-posten; ett spamfilter kan ligga framför. En organisation kan ha flera domäner; rubrikbetyget är den svagaste domän organisationen själv råder över. Delade domäner (t.ex. dom.se, gov.se) skannas en gång och visas som referens hos dem som använder dem — de dras inte ner för en domän någon annan administrerar. Saknar en organisation en egen e-postdomän men skickar via en delad domän, speglar betyget den delade domänen (markeras "via delad"). Finns ingen egen eller delad e-postdomän att bedöma — bara t.ex. en refererad webbdomän — sätts betyget till "Kunde inte bedömas" i stället för att gissa.
Vad vi inte mäter — och hur vi är ärliga
Vi hittar aldrig på resultat och skiljer på "saknas" (bekräftat frånvarande), "okänt" (går inte att avgöra) och "kunde inte kontrolleras" (tillfälligt fel). DKIM anges som "hittad" eller "okänt" — selektorn går inte att gissa säkert, och vid wildcard-DNS kan den inte avgöras alls. STARTTLS mot port 25 mäts inte i denna fas. Vem som driftar e-posten anges via IP:ts nätägare (ASN); vi påstår aldrig "egen drift".
Källor, licens & skanningsdatum
Organisationslistan kommer från SKR:s öppna data (kommuner och regioner) och SCB:s allmänna myndighetsregister (statliga myndigheter). Namn baseras på registret; uppenbara stavfel rättas i visningen medan den tekniska identiteten behåller registrets stavning. SCB:s information får enligt myndighetens användningsvillkor återanvändas med källhänvisning "Källa: SCB" (öppna data i SCB:s statistikdatabas och geodataplattform är dessutom licensierade som Creative Commons CC0). Den öppna datan (CSV/JSON) innehåller inga e-postadresser, bara betyg, policyfält och organisationsnummer. Senaste skanning: .
Begär rättelse
Ser något fel ut för din organisation? Hör av dig till martin@welen.com med organisation och domän, så rättar vi inför nästa skanning. Känsliga fynd publiceras aldrig med namn innan berörd organisation fått möjlighet att åtgärda.