Kommunene
E-postsikkerhet i norske kommuner
Vi har lest e-postoppsettet til 354 kommunale e-postdomener i offentlig DNS. Tallene er samlet for hele landet, og ingen kommune er navngitt.
Sjekket . 60 % ber mottakerne avvise post som utgir seg for å komme fra kommunen uten å gjøre det. 20 % har en DMARC-oppføring som bare registrerer.
Oppdatert · Erik Nilsen · endringslogg
Kort fortalt
Tre tall
- 60 %
- ber mottakerne avvise post som ikke består kontrollen (p=reject)
- 20 %
- har DMARC som ikke stopper noe (p=none)
- 9 %
- har DMARC, men får ingen rapporter om hvem som sender i deres navn
DMARC
Hva kommunene ber mottakerne gjøre
DMARC sier hva en mottaker skal gjøre med post som utgir seg for å komme fra domenet, men som ikke består kontrollen.
- p=reject: avvis60 % (213 av 354)
- p=quarantine: søppelpost18 % (65 av 354)
- p=none: bare registrer20 % (72 av 354)
- Ingen DMARC1 % (4 av 354)
p=none er det første steget. Oppføringen finnes, men den ber mottakerne slippe gjennom post som ikke består. Den stopper ikke forfalsket post. Det den gjør, er å samle inn rapporter, slik at den som eier domenet kan se hvem som sender i domenets navn før regelen strammes inn. En oppføring der p= ikke lar seg lese, er telt med her, fordi den heller ikke stopper noe.
p=quarantine ber mottakeren legge slik post i søppelposten. p=reject ber mottakeren avvise den. Det er mottakerens server som bestemmer til slutt: DMARC er en forespørsel, ikke en sperre.
Rapportene
- DMARC uten rapportadresse9 % (31 av 354)
En DMARC-oppføring kan be mottakerne sende samlerapporter til en adresse domenet oppgir, i feltet rua. Rapportene viser hvilke servere som har sendt post i domenets navn, og om den besto kontrollen.
Uten dem vet ikke eieren om noen forfalsker domenet, eller om en av kommunens egne tjenester, som et fagsystem som sender varsler, ville blitt stoppet av en strengere regel. Det er rapportene som gjør det trygt å gå fra p=none til p=reject.
SPF
Hvem som får sende
SPF er listen over serverne som får sende e-post fra domenet. Det som teller mest, er hvordan listen slutter.
- -all: avvis andre80 % (284 av 354)
- ~all eller ?all: myk avslutning20 % (70 av 354)
- +all eller ingen avslutning0 % (0 av 354)
- Ingen SPF0 % (0 av 354)
-all sier at post fra alle andre servere skal avvises. ~all sier at den skal behandles som mistenkelig, men slippes gjennom, og ?all sier ingenting om den.
For DMARC teller både ~all og -all som at SPF ikke består. Med en streng DMARC-regel betyr forskjellen derfor lite. Det er DMARC-regelen som avgjør hva som skjer med posten.
Hvorfor
Sende og ta imot
Oppsettet beskytter ikke kommunens egen innboks. Det beskytter dem kommunen skriver til.
Når en kommune sender e-post, er SPF og DMARC det som lar mottakeren skille ekte post fra kommunen fra post som bare utgir seg for å være det. Får en innbygger en falsk faktura «fra kommunen», er det kommunens DMARC-regel innbyggerens e-posttjeneste ser etter.
Når kommunen tar imot e-post, er det omvendt. Da er det avsenderens oppsett som avgjør, og kommunens e-postserver som må lese det. Et MX-oppslag viser om domenet tar imot e-post, og 100 % av domenene gjør det.
Metode
Slik er tallene laget
Utvalget er alle enheter med organisasjonsform KOMM i Enhetsregisteret hos Brønnøysundregistrene: 357 kommuner per 2026-11-01.
For hver kommune brukte vi domenet i den registrerte e-postadressen, og domenet til nettstedet der kommunen ikke har oppgitt e-postadresse. Denne gangen kom alle domenene fra e-postadressen. 3 kommuner hadde verken e-postadresse eller nettsted vi kunne bruke, og er ikke med. Det ga 354 domener.
For hvert domene spurte vi offentlig DNS om tre ting: MX-oppføringen, SPF-oppføringen og DMARC-oppføringen. Vi koblet oss ikke til kommunenes e-postservere eller nettsteder. Det er de samme oppslagene enhver e-postserver gjør før den tar imot en melding.
Et oppslag som ikke fikk svar, på grunn av tidsavbrudd eller feil hos navnetjeneren, er telt som ukjent og holdt utenfor prosenten for det spørsmålet. Det er ikke det samme som at oppføringen mangler. Denne gangen fikk alle oppslagene svar.
Prosentene er rundet til hele tall, så de summerer ikke alltid til 100. Ingen kommune er navngitt, og listen over domener er ikke publisert. Undersøkelsen kan kjøres på nytt, og siden får ny dato når det skjer.
Grenser
Det tallene ikke sier
- Om kommunen bruker DKIM. DKIM-nøklene ligger under navn som bare avsenderen kjenner, og kan ikke telles pålitelig utenfra.
- Om noen faktisk forfalsker post fra en kommune. Det vet den som leser rapportene.
- Om p=none er et valg eller en glipp. En kommune kan være midt i en planlagt innføring, med rapporter den leser hver uke.
- Om domenet i Enhetsregisteret er det eneste kommunen sender fra. En kommune kan sende fra flere domener, og bare ett per kommune er med.
- Noe om sikkerheten i kommunen ellers.
Andre målinger
Andre har målt det samme
Dette er ikke den første opptellingen av e-postoppsettet i kommunene. De andre måler delvis andre ting, på delvis andre domener, så tallene kan ikke settes rett opp mot hverandre.
Nasjonalt senter for e-helseforskning: Manglende sikring mot e-post med forfalsket avsender i primærhelsetjenesten: En kartlegging (rapport 04/2026) (2026-09-16)
Kartla DMARC hos 357 kommuner, sammen med legekontor, fastleger og andre i helsetjenesten, ved hvert månedsskifte fra februar til september 2026. Kommunedomenene fant de ut fra kommunenavnet, etter mønsteret kommunenavn.kommune.no, med manuelle oppslag der mønsteret ikke traff. I februar hadde 72 % av kommunene p=reject eller p=quarantine, som rapporten regner som riktig oppsett.
Avdekk: Vi målte den digitale sikkerheten i hele offentlig sektor (2026-07-07)
Målte e-post og nettsider hos 1 365 offentlige virksomheter, blant dem alle kommuner og fylkeskommuner, etter metoden til internet.nl. Hver virksomhet får en karakter fra A til F og står med navn i en søkbar liste. For hele offentlig sektor fant de at 35 % har p=reject.
Personverndagene: E-postsikkerheten i norske kommuner: 92 prosent mangler DNSSEC (2026-08-07)
En kjøring av Internet.nl Dashboard 1. august 2026 mot 357 kommunale e-postdomener. Der måles DMARC, DKIM og SPF som én samlet test, og 64,4 % av domenene besto den. Målingen dekker også DNSSEC, krypterte forbindelser mellom e-postservere, IPv6 og RPKI. Artikkelen sier ikke hvordan domenene ble valgt.
Hva som skiller denne
- Domenet er det kommunen selv har oppgitt. Vi bruker domenet i e-postadressen kommunen har registrert i Enhetsregisteret, i stedet for å utlede det fra navnet. Et utledet domene kan være et annet enn det kommunen sender fra. Det geografiske navnet kommunenavn.no hører til navnetreet Norid administrerer, og har p=reject satt av Norid. Det sier ingenting om kommunens egen e-post.
- Et oppslag som ikke fikk svar, er telt som ukjent og holdt utenfor, ikke som en oppføring som mangler.
- p=reject og p=quarantine står hver for seg. Begge stopper noe, men bare p=reject ber mottakeren avvise posten.
- Vi teller DMARC-oppføringer uten rapportadresse: 9 % denne gangen.
- De andre måler mer enn denne: DKIM, DNSSEC, krypterte forbindelser eller nettsider. Denne leser bare MX, SPF og DMARC, og navngir ingen.
Kilder
Det metoden bygger på
Åpnet 2026-11-01, sammen med målingene over.
Videre
Sjekk deres eget domene
DMARC-generatoren leser hva domenet deres har av SPF, DKIM og DMARC i dag, og lager oppføringen som skal inn. Den gratis eksterne sjekken ser på resten av det som er synlig utenfra. Veiledningen om SPF, DKIM og DMARC går gjennom dem i den rekkefølgen de skal settes opp.