Spoofhound-undersøgelse · 2026-11-09
DMARC-status 2026 — Danmark
Når danske domæner håndhæver DMARC, går de fleste hele vejen til p=reject. Seks ud af ti håndhæver det stadig slet ikke.
Spoofhound undersøgte det danske net: 9.946 domæner, der modtager e-mail, fra Danmarks populære websites og kortlagte lokale virksomheder, tjekket med den samme motor, som ligger bag vores gratis domænetjek.
Tjek dit domæne — gratisHovedresultatet
Seks ud af ti danske domæner, der modtager e-mail, kan misbruges til forfalsket e-mail. Af 9.946 kontrollerede domæner har 6.066 (61,0 %) ingen håndhævet DMARC-politik: slet ingen DMARC-post, kun overvågning eller en fejlbehæftet post. Modtagende mailsystemer får aldrig besked på at blokere forfalskninger sendt i domænets navn.
Tre tal fortæller historien:
- •39,0 % håndhæver DMARC, blandt de højeste andele, vi har målt. Det er lavere end Saudi-Arabien (45,7 %) og Norge (40,4 %), men højere end Singapore (37,8 %). Se hvordan alle de lande, vi har målt, klarer sig.
- •26,5 % bruger p=reject, blandt de højeste andele, vi har målt, under Saudi-Arabiens (32,4 %). To ud af tre danske domæner, der håndhæver DMARC, blokerer forfalskninger direkte i stedet for at sende dem til spam.
- •Små virksomheder: 34,5 %. Af danske virksomheder med en til tre lokationer håndhæver 34,5 % DMARC, på niveau med Norge (34,7 %) og dobbelt så mange som i Sverige (17,7 %). Næsten hver fjerde (23,8 %) bruger p=reject.
Det gennemsnitlige danske domæne får 38,9 ud af 100 point i det fulde e-mailsikkerhedstjek, og 70,7 % har mindst ét problem, der bør rettes.
DMARC på det danske net
61 % af danske domæner, der modtager e-mail, er åbne for forfalskning
6.066 af 9.946 kontrollerede domæner har ingen håndhævet DMARC-politik.
Ingen DMARC-post
Kun overvågning (p=none)
Fejlbehæftet eller dobbelt post
p=quarantine
p=reject
Rød: modtagere får aldrig besked på at blokere forfalskninger · Grøn: mail fra svindlere sættes i karantæne eller afvises.
Danmark falder i tre næsten lige store grupper: ingen DMARC-post (29,8 %), p=none (30,8 %) og p=reject (26,5 %). Af de 3.067 domæner, der stopper ved p=none, beder 2.143 ikke om DMARC-rapporter, så deres post hverken blokerer forfalskninger eller fortæller nogen om dem. Det er rapporterne, der viser hver eneste tjeneste, som sender mail i et domænes navn. At læse dem og gøre arbejdet færdigt er netop det, Spoofhound gør.
Resten af opsætningen
| Kontrol | Fund | Domæner |
|---|---|---|
| SPF | Slet ingen post: en hvilken som helst server hvor som helst kan sende som domænet | 1.542 (15,5 %) |
| SPF | Posten ender på +all eller ?all: publiceret, men tillader alligevel alle | 397 (4,0 %) |
| Microsoft 365 DKIM | Begge signeringsselektorer er defekte: udgående mail kan fejle autentificeringen allerede i dag | 28 |
| MTA-STS | Beskytter indgående mail mod aflytning: taget i brug (41 af disse kun i testtilstand) | 102 (1,0 %) |
| TLS-RPT | Rapporterer mislykket sikker levering: taget i brug | 229 (2,3 %) |
| BIMI | Verificeret logo i indbakken: aktivt | 133 (1,3 %) |
SPF halter efter DMARC i Danmark: hvert sjette domæne (15,5 %) har ingen SPF-post, og yderligere 4,0 % publicerer en, der ender på +all eller ?all og dermed alligevel tillader alle servere. De nyere standarder har fået fodfæste: omkring 2 ud af 100 domæner bruger MTA-STS, TLS-RPT eller BIMI.
Små virksomheder mod større
| Gruppe | Kontrollerede domæner | Ingen DMARC-post | Kun overvågning | Håndhævet |
|---|---|---|---|---|
| Danske virksomheder med 1–3 lokationer (butikker, kontorer, håndværkere) | 7.607 | 32,5 % | 32,6 % | 34,5 % |
| Danske virksomheder med 4–9 lokationer | 128 | 10,2 % | 25,8 % | 63,3 % |
| Danske virksomheder med 10 eller flere lokationer | 70 | 4,3 % | 14,3 % | 80,0 % |
| Danmarks .dk-websites blandt de 100.000 højest rangerede | 147 | 7,5 % | 19,0 % | 73,5 % |
Fire ud af fem danske virksomheder med ti eller flere lokationer håndhæver DMARC. Små virksomheder er bedre beskyttet end i næsten alle de lande, vi har målt, og 23,8 % af dem bruger p=reject, næsten dobbelt så mange som blandt hollandske små virksomheder (13,1 %). Alligevel har to ud af tre (65,1 %) ingen post eller stopper ved p=none.
Hvem er mest udsat
Blomsterhandlere, gårdbutikker og frisører er de dårligst beskyttede danske brancher
Andel af hver branches domæner, der modtager e-mail, med p=quarantine eller p=reject (antal kontrollerede domæner i parentes).
Blomsterhandlere (79)
Gårdbutikker (285)
Frisører (310)
Autoværksteder (235)
Skønhedssaloner (113)
Tøjbutikker (250)
Guldsmede (84)
Cykelhandlere (223)
Bagerier (181)
Slagtere (92)
Bilforhandlere (249)
Supermarkeder (61)
Møbelbutikker (66)
Elektrikere (66)
Virksomhedskontorer (759)
IT-virksomheder (99)
Stiplet linje: dansk gennemsnit (39,0 %).
Alle de brancher, vi kan måle, ligger under landsgennemsnittet, bortset fra møbelbutikker, elektrikere, virksomhedskontorer og IT-virksomheder. Blomsterhandlere (20,3 %), gårdbutikker (22,1 %) og frisører (22,9 %) er dårligst beskyttet. IT-virksomheder ligger øverst med 58,6 %. Der er kortlagt for få revisorer, advokatfirmaer og ejendomsmæglere i Danmark til, at vi kan vise dem.
Metode
Udvalg. 9.946 danske domæner, der modtager e-mail (de publicerer fungerende MX-poster). De kommer fra to kilder:
- danske virksomheder kortlagt på OpenStreetMap med deres eget website, uanset domæneendelse: 7.898 domæner
- alle .dk-domæner på popularitetslisten Tranco top 1 million: 2.497 domæner, der modtager e-mail
449 domæner findes i begge. Profiler på sociale medier, katalogsites og sider hostet af andre, som virksomheden ikke selv kontrollerer, er holdt uden for. Virksomheder, der er kortlagt i Danmark, men bruger et tysk, svensk eller norsk domæne, tælles med under det land.
Kontroller. Hvert domæne blev scannet med Spoofhounds egen motor, den samme som ligger bag det gratis domænetjek. Den dækker SPF, DKIM (kendte selektorer brugt af store e-mailudbydere som Microsoft, Google, SendGrid, Mailchimp og flere), DMARC, MTA-STS, TLS-RPT og BIMI. Hvert tal bygger på en scanning inden for de 30 dage frem til 2026-11-09.
Ærlige begrænsninger.
- Offentlig sektor. Danske offentlige myndigheder bruger for det meste almindelige .dk-domæner, så vi kan kun identificere 93 af dem (kontorer kortlagt som offentlige, 0,9 % af udvalget). Det er for få til at sammenligne med virksomheder, så denne rapport har intet afsnit om den offentlige sektor. Uden dem er hovedtallet 38,5 %.
- Skævt udvalg. Virksomhedsudvalget omfatter kortlagte virksomheder med website, hvilket trækker i retning af synlige, forbrugerrettede brancher. Branchetallene bygger på 61 til 759 domæner hver, og tallene for grupperne med fire eller flere lokationer på færre end 130 domæner hver.
- DKIM. DKIM kan kun bekræftes som til stede, aldrig som fraværende.
- Hvad »håndhævet« betyder. p=quarantine eller p=reject på selve domænet. Fejlbehæftede poster regnes som ikke håndhævet, fordi det er sådan, modtagende mailservere behandler dem.
Data © OpenStreetMap-bidragydere (ODbL) · Tranco-listen fra forskningsprojektet Tranco.
Hvor placerer dit domæne sig i disse tal? Find ud af det på 30 sekunder.
Tjek dit domæne — gratis