Informasjonskapsler på AIGROW

Vi bruker nødvendige informasjonskapsler for å drive nettstedet. Med din tillatelse bruker vi også informasjonskapsler til analyse, øktopptak og markedsføringsattribusjon.

Retningslinjer for informasjonskapsler

Forskning · oktober 2026

80,9 % av lokale bedrifter kan utgis for å sende e-post

En e-post fra regnskapsføreren din ber deg betale denne månedens faktura til en ny bankkonto. Om e-postserveren din kan se at den er forfalsket, avhenger av noen offentlige oppføringer regnskapsføreren publiserer. Vi leste dem for 6 937 lokale bedrifter i 10 land i oktober 2026.

Sjekk domenet ditt gratisSe tjenesten for DMARC-oppsett

Studie av Guglielmo Paesano, grunnlegger av AIGROW · data under CC BY 4.0

Lokale bedriftsdomener
80,9 %kan utgis for å sende e-post
Leste domener
6 937
Land
10
Byer
30
Typer bedrift
10
Ingen DMARC-oppføring
3 458

Last ned dataene som CSV

Kan hvem som helst sende e-post i en lokal bedrifts navn? For de fleste, ja. I oktober 2026 leste AIGROW de offentlige DMARC- og SPF-oppføringene til 6 937 lokale bedriftsdomener i 10 land. 80,9 % publiserte ingen oppføring som ber mottakende e-postservere avvise all forfalsket e-post, så en e-post som utgir seg for å komme fra dem, kan havne i en kundes innboks.

Funn

Hvert domene er lest én gang, fra offentlig DNS. Kan utgis for å sende e-post betyr at den gratis kontrollen for e-postforfalskning kaller domenet forfalskbart.

  1. 80,9 % av de lokale bedriftsdomenene vi leste, kan utgis for å sende e-post: 5 611 av 6 937.

    3 458 har ingen DMARC-oppføring i det hele tatt, 2 093 har en satt til p=none, som ber om rapporter og ikke stopper noe, og 60 har en ødelagt oppføring eller en som bare gjelder for deler av e-posten. 1 266 (18,2 %) ber mottakende servere sette alle forfalskede meldinger i karantene eller avvise dem.

  2. 4 159 av de 5 611 som kan utgis for å sende e-post, publiserer faktisk SPF, og 1 573 av dem avslutter den med -all, den strenge innstillingen.

    SPF viser hvilke servere som har lov til å sende for et domene, og kontrollerer returadressen som er skjult i meldingen. Avsenderen en kunde ser, kontrolleres bare når DMARC ber den mottakende serveren om å sammenligne de to. I utvalget publiserer 5 329 av 6 937 domener SPF.

  3. Fordelt på land varierer andelen fra 72,2 % i Nederland til 94,3 % i Italia.

    Fordelt på type bedrift varierer den fra 72,5 % (advokater) til 89,2 % (restauranter). Regnskapsførere, hvis kunder handler på e-poster om betalinger, ligger på 74,2 %.

Land for land

Andel av hvert lands domener etter DMARC-policy, tre byer per land, de mest utsatte først.

LandDomenerIngen DMARCp=noneKaranteneAvvisUgyldigKan utgis for å sende e-post
Italia54643,8 %49,3 %3,5 %2,6 %0,9 %94,3 %
Frankrike71764,7 %22,3 %8,1 %4,7 %0,1 %87,7 %
Canada76656,3 %28,9 %10,1 %4,3 %0,5 %86,2 %
USA62961,2 %23,1 %8,9 %6,7 %0,2 %84,7 %
Spania68951,1 %31,2 %13,2 %3,8 %0,7 %83,3 %
Australia65951,9 %28,7 %10,5 %8,3 %0,6 %81,6 %
Storbritannia65143,8 %31,8 %10,1 %14,3 %0,0 %77,1 %
Tyskland99643,4 %29,2 %7,6 %19,7 %0,1 %73,2 %
Sveits61853,1 %19,4 %16,5 %10,8 %0,2 %72,8 %
Nederland66630,0 %41,4 %15,9 %11,9 %0,8 %72,2 %

Etter type virksomhet

Andel av domenene i hver type bedrift etter DMARC-policy, alle ti land samlet, de mest utsatte først.

Type bedriftDomenerIngen DMARCp=noneKaranteneAvvisUgyldigKan utgis for å sende e-post
Restauranter1 19057,8 %30,5 %5,7 %5,6 %0,3 %89,2 %
Frisørsalonger94057,4 %26,9 %8,4 %6,3 %1,0 %85,5 %
Hoteller99747,3 %32,0 %11,8 %8,6 %0,2 %80,2 %
Veterinærer41142,6 %36,7 %9,0 %11,2 %0,5 %80,0 %
Tannleger80647,1 %31,6 %12,9 %7,9 %0,4 %79,5 %
Bilverksteder54955,9 %22,2 %11,7 %10,0 %0,2 %78,7 %
Arkitekter45149,7 %28,4 %11,8 %10,2 %0,0 %78,5 %
Eiendomsmeglere65337,4 %38,4 %11,3 %12,3 %0,6 %77,0 %
Regnskapsførere27549,1 %24,0 %11,6 %14,5 %0,7 %74,2 %
Advokater66544,1 %27,8 %13,7 %14,4 %0,0 %72,5 %

Slik avsluttes SPF-oppføringene

Den siste termen i en SPF-oppføring forteller mottakeren hva den skal gjøre med e-post fra en server som oppføringen ikke nevner. Alle 6 937 domener.

SPF-oppføringDomenerDelKan utgis for å sende e-post
Slutter på -all, den strenge innstillingen2 29333,1 %1 573
Slutter på ~all, merkes, men godtas2 84241,0 %2 401
Slutter på ?all, ingen holdning1552,2 %150
Slutter på +all, alle servere er tillatt30,0 %3
Ingen all-term360,5 %32
Ødelagt eller duplisert530,8 %50
Ingen SPF-oppføring1 55522,4 %1 402

Slik ble studien gjennomført

Bedriftene
Bedrifter oppført i OpenStreetMap innenfor 6 km fra sentrum i 30 byer, tre i hvert land, fordelt på 10 typer bedrift, alle med eget nettsted. Det er domenet til nettstedet som leses. Maksimalt 40 per type bedrift og by, valgt med en fast hash av domenet, slik at en ny kjøring velger de samme. Byene: USA (New York, Chicago, Los Angeles), Storbritannia (London, Manchester, Birmingham), Canada (Toronto, Vancouver, Montreal), Australia (Sydney, Melbourne, Brisbane), Frankrike (Paris, Lyon, Marseille), Tyskland (Berlin, München, Hamburg), Italia (Milano, Roma, Torino), Nederland (Amsterdam, Rotterdam, Utrecht), Spania (Madrid, Barcelona, Valencia), Sveits (Zürich, Bern, Lausanne).
Kjeder utelatt
OpenStreetMap oppførte 34 647 ulike domener. 728 av dem forekommer i mer enn én by, noe som tyder på en kjede eller en katalog, og er utelatt. Et domene som er oppført under to typer bedrift i samme by, telles én gang.
Avlesingen
Lest 28. oktober 2026 via de offentlige resolverne 1.1.1.1, 8.8.8.8, med koden til den gratis kontrollen for e-postforfalskning: DMARC-oppføringen til domenet, eller til overordnet domene hvis det ikke har noen, SPF-oppføringen med include og redirect, og MX-oppføringen. 47 domener som offentlig DNS ikke svarte for, er utelatt fra alle tall.
Kan utgis for å sende e-post
Kontrollen kaller et domene forfalskbart når ingenting det publiserer ber mottakere stoppe forfalsket e-post: ingen DMARC-oppføring, en policy med none, en ødelagt eller duplisert oppføring, karantene som bare gjelder for deler av e-posten, eller en SPF-oppføring som lar alle servere sende. Delvis beskyttet betyr avvisning for bare deler av e-posten, eller underdomener som er åpne. Beskyttet betyr karantene eller avvisning for all e-post.
Hva DNS ikke kan vise
Oppføringene sier hva et domene ber mottakende servere om. De viser ikke om en gitt server følger forespørselen, om bedriften signerer e-posten sin med DKIM, siden en signeringsnøkkel bare finnes under et navn avsenderen selv velger, eller om en svindler heller bruker et domene som ligner. 951 av 6 937 domener har ingen MX-oppføring og sender kanskje ingen e-post i det hele tatt. De er likevel regnet med, siden en svindler ikke trenger det ekte domenet for å motta noe.
Kun tall
Ingen nettsteder ble åpnet, og ingen e-postservere ble kontaktet. Dataene inneholder bare tall fordelt på land og type bedrift, aldri et bedriftsnavn eller et domene: en liste over bedrifter hvis e-post kan forfalskes, ville vært en liste over mål. Land og type bedrift med færre enn 10 domener er utelatt fra CSV-filen. Business data © OpenStreetMap contributors, ODbL 1.0.

Data og kildehenvisning

Guglielmo Paesano, AIGROW. Hvor mange lokale bedrifter kan utgis for å sende e-post, oktober 2026, aigrow.gg/research/email-spoofing-2026. Tallene og dataene er publisert under CC BY 4.0: bruk dem videre med en lenke til denne siden.

Den gratis kontrollen for e-postforfalskning

Last ned dataene som CSV

Til pressen: Guglielmo Paesano, grunnlegger av AIGROW og forfatter av studien, svarer på spørsmål om den via e-post til hello@aigrow.gg.

Om forfatteren: Guglielmo Paesano grunnla AIGROW, som lager den gratis kontrollen for e-postforfalskning som denne studien leser domener med, og som setter opp DMARC for små bedrifter.

Kan noen sende e-post som din bedrift?

Den gratis kontrollen leser DMARC-, SPF- og DKIM-oppføringene dine og gir deg nøyaktig hvilke oppføringer du skal publisere. Vil du heller at vi gjør det for deg, koster DMARC-oppsettet 149 €, betalt én gang.

Sjekk domenet ditt gratisSe tjenesten for DMARC-oppsett

Utgave oktober 2026 · data under CC BY 4.0