Tilstandsrapporten 2026: Eiendomsmegler og forvaltning — sikkerhetshoder, DMARC og § 3-15 hos 148 norske eiendomsforetak
Eiendomsmeglingsforetak og eiendomsforvaltere håndterer oppgjørskonti, BankID-budjournaler, depositum og løpende husleiefakturering på tvers av SPV-selskaper. Vår passive tekniske måling av 148 norske eiendomsforetak (NACE 68.310 og 68.320) viser at mer enn en tredjedel mangler DMARC-lås mot e-postforfalskning, og kun 9 av 148 foretak (6,1 %) besto samtlige krav til sikkerhetshoder, DMARC og ekomlov § 3-15.
Slå opp deres tekniske bevisrapport eller bestill sanntidsmåling
Skriv inn foretakets 9-sifrede organisasjonsnummer for å åpne den ferdigberegnede rapporten dersom dere inngikk i utvalget på 148 foretak — eller start en direkte måling dersom dere ikke var med i første pulje. Individuelle firmanavn listes aldri offentlig på denne siden.
Teknisk tilstand per kontrollpunkt (148 eiendomsforetak)
Gjennomsnittlig vektet avviksskår i utvalget er 3,5 poeng. Særlig bemerkelsesverdig i eiendomsbransjen er den høye andelen domener uten _dmarc (35,1 %), til tross for store enkeltbeløp ved eiendomsoppgjør og kvartalsvis leieinnkreving.
| Kontrollpunkt | Andel med avvik | Antall bestått | Risiko i megling, oppgjør og forvaltning |
|---|---|---|---|
| Content-Security-Policy (CSP) | 81,8 % (121 / 148) | 27 / 148 | Uten CSP kan tredjepartsskript på prospekt-, visnings- og leietakersider lese innfylt skjemadata i nettleseren. |
| X-Frame-Options | 66,9 % (99 / 148) | 49 / 148 | Interessentskjemaer, verdivurderingssider og forvaltningsportaler kan legges i skjulte iframes (clickjacking). |
| X-Content-Type-Options (nosniff) | 48 % (71 / 148) | 77 / 148 | Nettleseren kan feiltolke filtyper ved visning av salgsoppgaver, leiekontrakter og vedlegg. |
| Strict-Transport-Security (HSTS) | 39,9 % (59 / 148) | 89 / 148 | Manglende HSTS åpner for nedgradering av første sidekall på åpne nettverk under visning og reise. |
| DMARC (_dmarc i DNS) | 35,1 % (52 / 148) | 96 / 148 | Høy transaksjonsrisiko: svindlere kan forfalske meglerens eller forvalterens domene ved innbetaling av kjøpesum, depositum og felleskostnader. |
| SPF (v=spf1 i DNS) | 6,8 % (10 / 148) | 138 / 148 | Mangler komplett og gyldig avsenderliste i DNS for utsendelse av prospekter, husleievarsler og oppgjørsbrev. |
| Ekomloven § 3-15 (0 sporing før samtykke) | 23 % (34 / 148) | 114 / 148 | Annonsepiksler og retargeting-skript registrerer bolig- og næringsinteressenter ved første sidelasting før samtykke er gitt. |
Tredjeparts sporingsdomener som lastes inn før aktivt samtykke
Mange eiendomsmeglere og gårdeiere benytter markedsføringspiksler for prospektannonsering på tvers av sosiale medier og søk. Etter ekomloven § 3-15 skal slike sporingskall være blokkert inntil besøkende aktivt har valgt å samtykke:
| Tredjeparts sporingsdomene | Antall eiendomsforetak før samtykke | Andel av utvalget |
|---|---|---|
| google-analytics.com | 26 foretak | 17,6 % |
| googletagmanager.com | 25 foretak | 16,9 % |
| connect.facebook.net | 8 foretak | 5,4 % |
| hotjar.com | 3 foretak | 2 % |
| hs-scripts.com | 2 foretak | 1,4 % |
| snap.licdn.com | 2 foretak | 1,4 % |
| clarity.ms | 1 foretak | 0,7 % |
Sikre oppgjørsdomenet på 48 timer og automatiser KPI-leieregulering i SPV-er
Eiendomsmeglingsforetak er underlagt Finanstilsynet, IKT-forskriften og strenge krav til oppdrags- og budjournal etter eiendomsmeglingsloven § 6-3, mens forvaltere må dokumentere rettidig KPI-varsling og purreløp etter husleieloven §§ 4-2 og 9-6.
Med Steg 1: Edge Sikkerhets- og § 3-15-sikring (19 500 kr fastpris) låser vi HSTS, CSP, X-Frame-Options, nosniff, SPF/DMARC og samtykkeblokkering direkte på CDN-kanten innen 48 timer uten CMS-bytte. Ønsker dere i tillegg automatisert SSB KPI-indeksregulering, KID-avstemming og leietakerflyt mot Tripletex, PowerOffice Go, Fiken og BankID, se vår forvaltningskalkulator for eiendom, eiendomsautomatisering og ERP-integrasjon, herdet webarkitektur, lokal og teknisk SEO for eiendom og fastpris-leveranser.