Rannsókn Spoofhound · 2026-11-09
Staða DMARC 2026 — Ísland
Hægt er að falsa nærri þrjú af hverjum fjórum íslenskum lénum í tölvupósti.
Spoofhound skannaði íslenska vefinn: 843 lén sem taka við tölvupósti, úr hópi vinsælla íslenskra vefsvæða og staðbundinna fyrirtækja sem merkt eru á kort, könnuð með sömu vél og liggur að baki ókeypis lénaprófinu okkar.
Prófaðu lénið þitt — ókeypisAðalniðurstaðan
Hægt er að falsa nærri þrjú af hverjum fjórum íslenskum lénum sem taka við tölvupósti. Af 843 könnuðum lénum hafa 618 (73,3%) enga DMARC-stefnu sem er framfylgt: enga færslu, aðeins vöktun eða gallaða færslu. Póstkerfum viðtakenda er aldrei sagt að stöðva falsaðan póst sem sendur er í nafni lénanna.
Þrjár tölur segja söguna:
- •26,7% léna framfylgja DMARC. Meðal Norðurlandanna stendur Ísland þar jafnfætis Svíþjóð (26,4%), langt á eftir Noregi (40,4%) og Danmörku (39,0%), en á undan Finnlandi (17,0%). Sjáðu hvernig öll löndin sem við höfum mælt standa.
- •Lítil fyrirtæki: 18,6%. Íslensk fyrirtæki með eina til þrjár starfsstöðvar framfylgja DMARC í 18,6% tilvika, sem er um helmingur hlutfallsins í Noregi (34,7%) og Danmörku (34,5%). Fjögur af hverjum fimm þeirra (80,1%) hafa enga færslu eða láta staðar numið við p=none.
- •38,4% láta staðar numið við p=none. p=none er stærsti hópurinn á Íslandi og 181 af þessum 324 lénum biðja ekki heldur um DMARC-skýrslur.
Meðallén á Íslandi fær 34,6 af 100 í heildarprófi á tölvupóstöryggi og 80,0% léna eru með að minnsta kosti eitt vandamál sem vert er að laga.
DMARC á íslenska vefnum
73% íslenskra léna sem taka við tölvupósti eru berskjölduð fyrir fölsun
618 af 843 könnuðum lénum hafa enga DMARC-stefnu sem er framfylgt.
Engin DMARC-færsla
Aðeins vöktun (p=none)
Gölluð eða tvöföld færsla
p=quarantine
p=reject
Rautt: viðtakendum er aldrei sagt að stöðva falsaðan póst · Grænt: póstur frá svikurum er settur í sóttkví eða honum hafnað.
Þriðjungur íslenskra léna (33,7%) hefur enga DMARC-færslu og enn fleiri (38,4%) láta staðar numið við p=none. Færsla með p=none án skýrslna hvorki stöðvar falsaðan póst né lætur neinn vita af honum. Þegar íslensk lén framfylgja DMARC nota aðeins fleiri p=reject (14,2%) en p=quarantine (12,5%). Það eru skýrslurnar sem sýna hverja þjónustu sem sendir póst í nafni léns. Að lesa þær og ljúka verkinu er einmitt það sem Spoofhound gerir.
Aðrir þættir póstvarna
| Próf | Niðurstaða | Lén |
|---|---|---|
| SPF | Engin færsla: hvaða netþjónn sem er, hvar sem er, getur sent í nafni lénsins | 79 (9,4%) |
| SPF | Færslan endar á +all eða ?all: hún er birt en leyfir samt öllum að senda | 14 (1,7%) |
| Microsoft 365 DKIM | Báðir undirritunar-selectorar bilaðir: útsendur póstur getur fallið á auðkenningu strax í dag | 3 |
| MTA-STS | Ver innkomandi póst gegn hlerun: tekið í notkun (þar af 6 eingöngu í prófunarham) | 13 (1,5%) |
| TLS-RPT | Tilkynnir um misheppnaða örugga afhendingu: tekið í notkun | 18 (2,1%) |
| BIMI | Staðfest vörumerki í innhólfinu: virkt | 11 (1,3%) |
Um það bil eitt af hverjum ellefu íslenskum lénum (9,4%) hefur enga SPF-færslu. Nýrri staðlarnir hafa rétt náð fótfestu: 1 til 2 af hverjum 100 lénum nota MTA-STS, TLS-RPT eða BIMI.
Lítil fyrirtæki og stærri
| Hópur | Könnuð lén | Engin DMARC-færsla | Aðeins vöktun | Framfylgt |
|---|---|---|---|---|
| Íslensk fyrirtæki með 1–3 starfsstöðvar (verslanir, skrifstofur, iðngreinar) | 458 | 36,9% | 43,2% | 18,6% |
| Íslensk fyrirtæki með 4 eða fleiri starfsstöðvar | 16 | 12,5% | 37,5% | 50,0% |
| .is-vefsvæði Íslands í hópi 100.000 efstu | 36 | 25,0% | 22,2% | 52,8% |
Vinsælustu .is-vefsvæði Íslands framfylgja DMARC í 52,8% tilvika, nærri þrefalt oftar en lítil fyrirtæki landsins. Lítil fyrirtæki láta flest staðar numið við p=none (43,2%) eða hafa enga færslu (36,9%), og 84,9% þeirra eru með að minnsta kosti eitt vandamál í tölvupóstöryggi. Stærri hóparnir eru fámennir og því ber að líta á tölur þeirra sem vísbendingu eingöngu.
Aðferðafræði
Þýði. 843 íslensk lén sem taka við tölvupósti (þau birta virkar MX-færslur). Þau koma úr tveimur áttum:
- íslensk fyrirtæki sem merkt eru á OpenStreetMap og hafa eigið vefsvæði, á hvaða lénsendingu sem er: 495 lén
- öll .is-lén á vinsældalista Tranco yfir milljón efstu vefi: 403 lén sem taka við tölvupósti
55 lén eru í báðum hópum. Síður á samfélagsmiðlum, skráningarsíður og hýstar síður sem fyrirtækið stjórnar ekki eru undanskildar.
Próf. Hvert lén var skannað með vél Spoofhound sjálfs, þeirri sömu og liggur að baki ókeypis lénaprófinu. Hún nær yfir SPF, DKIM (þekkta selectora sem stórir póstþjónustuaðilar á borð við Microsoft, Google, SendGrid, Mailchimp og fleiri nota), DMARC, MTA-STS, TLS-RPT og BIMI. Allar tölur byggja á skönnun á 30 daga tímabili fram til 2026-11-09.
Heiðarlegir fyrirvarar.
- Úrtaksstærð. Þetta er eitt minnsta úrtakið í röðinni okkar: 843 lén, á móti 928 í Sádi-Arabíu. Það er of lítið til að skipta niður eftir atvinnugreinum, og hópurinn með fjórar eða fleiri starfsstöðvar (16 lén) og efstu vefsvæðin (36) eru svo fámenn að eitt lén hreyfir tölu þeirra um nokkur prósentustig.
- Opinberi geirinn. Við getum aðeins borið kennsl á 21 íslenska opinbera stofnun (skrifstofur sem merktar eru sem stjórnsýsla á kortinu), sem er of lítið til samanburðar við fyrirtæki, og því er enginn kafli um hið opinbera í þessari skýrslu. Án þeirra er aðaltalan 26,4%.
- DKIM. Aðeins er hægt að staðfesta að DKIM sé til staðar, aldrei að það vanti.
- Hvað „framfylgt“ þýðir. p=quarantine eða p=reject á léninu sjálfu. Gallaðar færslur teljast ekki framfylgdar, því þannig meðhöndla póstþjónar viðtakenda þær.
Gögn © framlagsaðilar OpenStreetMap (ODbL) · Tranco-listinn frá Tranco-rannsóknarverkefninu.
Hvar stendur lénið þitt í þessum tölum? Komdu að því á 30 sekúndum.
Prófaðu lénið þitt — ókeypis