referens · begripliga förklaringar

Ordlista

Den här webbplatsen använder en hel del förkortningar – en del välbekanta, andra specifika för e-post och DNS. Den här sidan förklarar var och en med en mening eller två, på ett begripligt sätt, så att inget du läser på merula.io förutsätter att du redan kan fackspråket.

En djupare förklaring av hur Merula kontrollerar vart och ett av dem – bland annat varför en ändring spelar roll och vad du kan göra åt den – finns i kunskapsbasen i tjänsten (på engelska) och i de tekniska standard- och ramverksmappningarna.

E-postautentisering och leverans

DKIM (DomainKeys Identified Mail): Lägger till en kryptografisk signatur i utgående e-post, så att en mottagande server kan bekräfta att meddelandet inte har ändrats på vägen och verkligen var auktoriserat av din domän.
DMARC (Domain-based Message Authentication, Reporting and Conformance): Talar om för mottagande e-postservrar vad de ska göra med ett meddelande som inte klarar SPF eller DKIM, och ber dem skicka tillbaka en rapport om vad de såg – posten som knyter ihop SPF och DKIM till en enda policy som går att upprätthålla.
MTA-STS (SMTP MTA Strict Transport Security): En policy som en domän publicerar för att kräva att inkommande e-post bara levereras över en krypterad, verifierad anslutning, i stället för att i det tysta falla tillbaka på okrypterad text.
SMTP (Simple Mail Transfer Protocol): Protokollet som e-postservrar använder för att skicka meddelanden vidare till varandra – transportlagret som e-posten färdas över.
SPF (Sender Policy Framework): En DNS-post som listar vilka e-postservrar som får skicka e-post för en domän, så att mottagare kan avvisa meddelanden som påstår sig komma från dig men inte skickades av något på listan.
STARTTLS: Kommandot som uppgraderar en okrypterad e-postanslutning till en krypterad, mitt under samtalet mellan två e-postservrar.
TLS-RPT (SMTP TLS Reporting): Ber avsändare av e-post att dagligen rapportera tillbaka eventuella problem de haft med att leverera krypterad e-post till en domän – insyn i fel som annars skulle förbli tysta.

DNS och domänposter

A-/AAAA-post: DNS-poster som kopplar ett domännamn till adressen till den server som är värd för det – A för en vanlig adress (IPv4), AAAA för den nyare, längre formen (IPv6).
CAA-post (Certification Authority Authorization): En DNS-post som anger vilka certifikatutfärdare som får utfärda ett TLS-certifikat för din domän, vilket minskar risken att ett oavsiktligt certifikat utfärdas någon annanstans.
CNAME-post: En DNS-post som gör ett värdnamn till ett alias för ett annat, så att en uppslagning av aliaset ger samma svar som målnamnet.
DANE / TLSA: DNS-based Authentication of Named Entities: låter en domän publicera, i en signerad DNS-post, exakt vilket TLS-certifikat dess e-postservrar ska visa upp, så att en avsändare kan vägra leverera om certifikatet inte stämmer.
DNS (Domain Name System, domännamnssystemet): Katalogen som översätter ett domännamn till de poster som andra system behöver – vilken server som är värd för webbplatsen, vart e-post ska levereras med mera.
DNSSEC (DNS Security Extensions): Lägger till en kryptografisk signatur i DNS-svar, så att en resolver kan skilja ett äkta svar från ett som har manipulerats på vägen.
MX-post (Mail Exchange): DNS-posten som anger vilken server som ska ta emot e-post för en domän.
NS-post (namnserver): DNS-posten som anger vilka servrar som är auktoritativa för att besvara frågor om en domän.
RDAP (Registration Data Access Protocol): Det moderna, strukturerade sättet att slå upp en domäns offentliga registreringsuppgifter – via vem den är registrerad och när den löper ut – och som ersätter det äldre, radbaserade WHOIS-protokollet.
TXT-post: En DNS-post som innehåller fritext, oftast använd för verifieringstokens för domänägarskap och för att publicera poster som SPF.

Webb- och nätverkssäkerhet

API (Application Programming Interface, programmeringsgränssnitt): Ett strukturerat sätt för program att kommunicera med andra program, i stället för att en person klickar sig igenom ett gränssnitt.
CORS (Cross-Origin Resource Sharing): De webbläsarregler som styr vilka andra webbplatser som får läsa data från en webbtjänst – en alltför tillåtande CORS-konfiguration kan exponera data som borde förbli privata.
CSP (Content-Security-Policy): Ett HTTP-huvud för webbläsarsäkerhet som begränsar varifrån en sidas skript, stilmallar och andra resurser får laddas, vilket minskar effekten av vissa injektionsattacker.
HSTS (HTTP Strict Transport Security): Ett HTTP-huvud som talar om för webbläsare att alltid använda en krypterad anslutning till en webbplats, i stället för att först försöka med okrypterad HTTP.
HTTP / HTTPS: Protokollet som en webbläsare använder för att begära en webbsida. ”S” betyder att anslutningen är krypterad med TLS – hänglåset i adressfältet.
RPKI (Resource Public Key Infrastructure): Låter den som innehar ett block med internetadresser publicera ett signerat besked om vilket nätverk som får annonsera det, så att andra nätverk kan avvisa en annonsering som inte stämmer – ett skydd mot att trafik leds om, av misstag eller med avsikt.
TLS (Transport Layer Security): Protokollet som krypterar och autentiserar en anslutning mellan två system – lagret under HTTPS och säker e-postleverans.

Standarder och myndigheter

BSI: Tysklands federala myndighet för informationssäkerhet (Bundesamt für Sicherheit in der Informationstechnik), som publicerar teknisk vägledning, till exempel sina riktlinjer för e-postautentisering och säker transport.
CERT-EU: Incidentberedskapsteamet (Computer Emergency Response Team) för EU:s institutioner, en del av det bredare europeiska cybersäkerhetslandskapet.
CIS Controls: En prioriterad, fritt tillgänglig uppsättning cybersäkerhetsåtgärder som publiceras av Center for Internet Security – en pragmatisk grundnivå som används flitigt av mindre organisationer.
ENISA: Europeiska unionens cybersäkerhetsbyrå, som publicerar EU-övergripande teknisk vägledning som nationella myndigheter och lagstiftning som genomför NIS2 hänvisar till.
IETF (Internet Engineering Task Force): Standardiseringsorganet som publicerar de RFC:er som definierar de flesta internetprotokoll, bland annat de som ligger bakom DNS, TLS och e-post.
ISO/IEC 27001: En internationell standard för ledningssystem för informationssäkerhet, som ofta efterfrågas vid B2B-upphandlingar.
NCSC: Ett nationellt cybersäkerhetscenter (National Cyber Security Centre) – Merulas vägledning hänvisar till både Storbritanniens och Nederländernas – som publicerar offentliga cybersäkerhetsråd till organisationer.
NIS2: Ett EU-direktiv som kräver att vissa väsentliga och viktiga entiteter vidtar riskhanteringsåtgärder för cybersäkerhet, bland annat cyberhygien och säker kommunikation.
NIST CSF: Cybersäkerhetsramverket (Cybersecurity Framework) från amerikanska National Institute of Standards and Technology – en ofta refererad struktur för att organisera ett säkerhetsprogram, som används internationellt även utanför amerikansk federal verksamhet.
OWASP: Open Worldwide Application Security Project, en ideell organisation som publicerar ofta citerad vägledning om applikationssäkerhet, bland annat OWASP Top 10 och grundnivån Secure Headers.
RFC (Request for Comments): Ett numrerat dokument som publiceras av IETF och definierar ett internetprotokoll eller en konvention – den exakta regelboken bakom begrepp som SPF, DKIM och DMARC.
SBOM (Software Bill of Materials, programvaruförteckning): En förteckning över de programvarukomponenter som en produkt består av, som används för att förstå och hålla reda på dess beroenden.

Affärer och juridik

DPA (Data Processing Addendum, personuppgiftsbiträdesavtal): Avtalet som styr hur en tjänst behandlar personuppgifter för en kunds räkning enligt GDPR.
EEA / EES (Europeiska ekonomiska samarbetsområdet): EU:s medlemsstater samt Island, Liechtenstein och Norge.
EU (Europeiska unionen): Den politiska och ekonomiska unionen av europeiska medlemsstater. Merula är byggt för företag i EU och EES, och behörigheten för betalda planer kontrolleras mot den.
GDPR (dataskyddsförordningen): EU:s dataskyddslag, som reglerar hur personuppgifter samlas in, används, sparas och raderas.
MFA (Multi-Factor Authentication, multifaktorautentisering): Att logga in med något du vet (ett lösenord) och något du har (en engångskod från en autentiseringsapp), så att ett läckt eller gissat lösenord inte räcker för att komma åt ett konto. Kallas även 2FA (tvåfaktorsautentisering).
MSP (Managed Service Provider): Ett företag som driver IT- eller säkerhetstjänster åt andra företag – Merulas plan för byråer är byggd för den modellen.
SMB / SME (små och medelstora företag): Merulas huvudsakliga kundsegment.
VAT (Value Added Tax, moms): EU:s mervärdesskatt, som tillämpas på betalda planer och beräknas och valideras automatiskt i kassan.
VIES (VAT Information Exchange System): EU:s officiella register för att bekräfta att ett företags momsregistreringsnummer är giltigt.