SPF, DKIM en DMARC in gewone taal

Je stuurt een offerte en de klant belt: “Ik heb niets ontvangen.” Hij staat in de spam. Of je hoort van een leverancier dat hij een factuur “van jou” kreeg met een ander rekeningnummer. Beide problemen hebben vaak dezelfde oorzaak: drie DNS-records die ontbreken of niet goed staan. SPF, DKIM en DMARC.

De namen klinken technisch, het idee erachter is eenvoudig. In dit artikel lees je wat ze doen, hoe ze samenwerken en hoe je ze veilig invoert.

Het probleem: e-mail was nooit gebouwd op vertrouwen

Bij een e-mail kan de afzender in principe alles invullen, net als het afzenderadres op een envelop. Een oplichter kan dus mailen “van” directie@jouwbedrijf.nl zonder ooit in jouw mailbox te zijn geweest. SPF, DKIM en DMARC zijn later toegevoegd om dat te kunnen controleren.

SPF: wie mag er namens je domein mailen

SPF (Sender Policy Framework) is een regel in je DNS met een lijst van servers die namens jouw domein mogen versturen. Gebruik je Microsoft 365, dan staat Microsoft in die lijst. Verstuur je ook nieuwsbrieven via een externe tool of facturen vanuit je boekhoudprogramma, dan moeten die er ook in.

Let op twee dingen:

• Er mag maar één SPF-record zijn. Twee losse records maken het geheel ongeldig. Voeg nieuwe verzenders toe aan het bestaande record.
• Er zit een grens aan. Een SPF-record mag niet te veel verwijzingen naar andere records bevatten (maximaal tien). Wie elk jaar een tool toevoegt, loopt daar ooit tegenaan.

SPF heeft één zwakte: bij doorgestuurde mail klopt de verzendende server niet meer. Daarom is DKIM er ook.

DKIM: een handtekening onder elke mail

DKIM (DomainKeys Identified Mail) zet een digitale handtekening in elke uitgaande mail. De bijbehorende publieke sleutel staat in je DNS. De ontvanger controleert daarmee of de mail echt van jouw domein komt en onderweg niet is aangepast.

In Microsoft 365 zet je DKIM aan door twee records in je DNS te zetten en daarna ondertekening in te schakelen. Externe verzenders, zoals een nieuwsbrieftool, hebben hun eigen DKIM-instelling. Die moet je daar apart aanzetten.

DMARC: de regel die alles samenbrengt

DMARC (Domain-based Message Authentication, Reporting and Conformance) doet twee dingen:

1. Het geeft een beleid. Wat moet een ontvanger doen met mail die zegt van jouw domein te komen maar niet door SPF of DKIM komt? Niets doen (p=none), in quarantaine zetten, meestal de spammap (p=quarantine), of weigeren (p=reject).
2. Het levert rapporten. Ontvangende mailservers sturen overzichten van wie er namens je domein heeft gemaild, en of dat klopte.

Pas met DMARC op quarantine of reject kan iemand je domein niet meer ongestraft vervalsen bij ontvangers die DMARC controleren, en de grote mailaanbieders doen dat.

Waarom dit nu belangrijker is dan vroeger

Sinds februari 2024 eisen Google en Yahoo van afzenders die veel mail versturen dat SPF, DKIM en DMARC goed staan. Microsoft voerde vergelijkbare eisen in voor Outlook.com. Stuur je als mkb-bedrijf maar een handvol mails per dag, dan val je daar formeel niet onder, maar de filters worden voor iedereen strenger. Mail zonder deze records komt steeds vaker in de spam terecht.

DMARC invoeren zonder je eigen mail te blokkeren

De grootste fout is meteen p=reject instellen. Dan weigeren ontvangers ook de mail van dat ene systeem waar je niet aan dacht: je facturen, je webshop, je afsprakensysteem. Doe het in stappen:

1. Inventariseren. Maak een lijst van alles wat namens je domein mailt: Microsoft 365, website en contactformulier, nieuwsbrief, boekhouding, webshop, CRM.
2. SPF en DKIM voor elke verzender goed zetten.
3. DMARC op p=none met rapporten. Je blokkeert nog niets en leest een paar weken mee.
4. Gaten dichten. Zie je in de rapporten een eigen dienst die faalt, corrigeer dan eerst die.
5. Naar p=quarantine. Mail die niet klopt gaat nu naar de spammap.
6. Naar p=reject. Vervalste mail wordt geweigerd.

Hoeveel tijd dat kost, hangt af van het aantal diensten dat namens je domein mailt. Bij een klein bedrijf is het vaak in een paar weken rond.

Vergeet je andere domeinen niet

Heb je domeinnamen waarvan nooit mail wordt verstuurd, zoals een oude merknaam of een variant met streepje? Geef die een SPF-record dat niemand toestaat en een DMARC-beleid op reject. Anders zijn juist die domeinen aantrekkelijk voor oplichters.

Controleren of het klopt

Je kunt de records in één keer laten nakijken met onze mailcheck, die MX, SPF, DKIM, DMARC, DNSSEC en MTA-STS controleert, of in de headers van een ontvangen mail kijken: daar staat bij “Authentication-Results” of SPF, DKIM en DMARC geslaagd zijn. Controleer dat na elke nieuwe dienst die namens je domein gaat mailen.

Krijgen klanten mail die van jouw adres lijkt te komen, of loopt je mailbox vol met onbestelbare berichten over mails die je nooit verstuurde? Lees dan iemand mailt uit jouw naam: wat kun je doen.

Hoe SEBA Connect hierbij helpt

Bij de start van Microsoft 365-beheer inventariseren we je domeinen en de mailbeveiliging, en zetten we SPF, DKIM en DMARC stap voor stap goed. Voor domeinen die bij een website horen die wij beheren, valt het technische DNS-beheer binnen het Web Platform. Wil je weten hoe dit samenhangt met je e-mailadres, lees dan zakelijk e-mailadres met je eigen domeinnaam. Vragen? Neem contact op.