Altinn, NRK, UiO og 9 andre offentlige etater har DMARC kun på overvåking

12 norske offentlige etater — inkludert Altinn, NRK, Universitetet i Oslo, NTNU og tre kommuner — har DMARC-record på plass, men kun på overvåkings-modus (p=none). Det betyr at e-postservere ikke avviser phishing-e-post som utgir seg for å komme fra disse domenene.

Publisert 12. mai 2026 · Av Micronet · 5 min lesetid

Hva betyr "p=none"?

DMARC har tre nivåer av håndhevelse, satt via p=-parameteren i TXT-recorden:

• p=none — overvåking. Mottakende e-postserver (Gmail, Outlook, Apple Mail) sjekker DMARC, samler rapport-data, men leverer e-posten uansett. Phishing-e-post når innboksen.
• p=quarantine — mistenkelig e-post sendes til spam-mappen.
• p=reject — mistenkelig e-post avvises ved levering, mottaker ser den aldri. Dette er anbefalt sluttilstand.

Anbefalt overgang er p=none i 4-8 uker for å identifisere alle legitime avsendere, deretter trinnvis skjerpelse til p=quarantine med prosentvis utrulling, og til slutt p=reject. Hele prosessen tar typisk 2-3 måneder.

De 12 offentlige etatene med p=none

Data1.no har scannet 158 norske domener daglig siden januar 2026. Følgende 12 offentlige domener har DMARC-record, men har stoppet på overvåkings-modus:

Alle 12 har bekreftet aktive MX-records (verifisert via Cloudflare DNS 12. mai 2026), så dette er reelle e-post-domener, ikke parkerte URL-er.

Hva betyr dette i praksis?

For en kriminell som ønsker å sende phishing-e-post i navnet til en av disse etatene, er forskjellen mellom p=none og p=reject avgjørende:

• Med p=reject: Forfalsket e-post med From: [email protected] blir avvist av Outlook/Gmail før den når frem. Mottakeren ser aldri den.
• Med p=none: Samme forfalskede e-post leveres normalt til innboksen. Mottakeren kan ikke skille den fra ekte Altinn-varsel uten å sjekke headers manuelt.

Norsk offentlig sektor er et populært phishing-mål, særlig rundt skattemeldings-sesongen for altinn.no og rundt søknadsfrister for universitetene. DMARC med p=reject er det enkleste enkelttiltak for å redusere risikoen.

Motpolen: offentlige etater som har skjerpet

For å sette dette i kontekst: flere norske offentlige etater har fullført overgangen til håndhevende DMARC. nav.no, ssb.no og stortinget.no kjører alle med p=reject. Det viser at det er fullt mulig — det krever bare prioritet og en plan for utrulling.

Hva bør skje nå?

For etatene som står på p=none: hvis DMARC-recorden har vært aktiv i over 8 uker, er det på tide å skjerpe. Praktisk gjennomføring:

1. Analyser DMARC-rapporter (RUA) — finn alle legitime avsendere og verifiser at de består SPF og DKIM.
2. Skjerp til p=quarantine; pct=25 — 25 % av spoofet e-post sendes til spam.
3. Trinnvis opp til pct=100, deretter p=reject.

For alle andre med eget domene: sjekk DMARC-statusen din her på 10 sekunder. Eller bruk vår DMARC-generator for å bygge riktig record.