Wat zijn SPF, DKIM en DMARC?

E-mail is oud. Toen het werd bedacht, kon iedereen een mail versturen met eender welke afzender. Dat is technisch nog altijd zo. Een oplichter kan een mail sturen die lijkt te komen van info@jouwbedrijf.be, zonder toegang te hebben tot jouw mailbox.

SPF, DKIM en DMARC zijn de oplossing die daarvoor bedacht is. Ze helpen de ontvangende mailserver om te controleren of een mail echt van jou komt.

Dat heeft twee gevolgen:

• Je mails komen beter aan. Mailproviders zoals Gmail en Outlook vertrouwen mails van domeinen die dit goed geregeld hebben meer. Ontbreekt het, dan belanden je mails sneller in de spam.
• Je domein is moeilijker te misbruiken. Met een streng DMARC-beleid worden valse mails in jouw naam geweigerd, voordat ze bij je klanten of leveranciers terechtkomen.

Grote mailproviders zoals Gmail, Yahoo en Microsoft eisen deze instellingen bovendien van afzenders die veel mails versturen. Ook als je dat niet doet, is het verstandig om ze in orde te hebben.

SPF: wie mag namens jou mailen?

SPF staat voor Sender Policy Framework. Het is een tekstregel (een TXT-record) in de DNS van je domein, met een lijst van servers die mails mogen versturen voor jouw domein.

Een SPF-record ziet er bijvoorbeeld zo uit:

v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all

Dat betekent:

• v=spf1: dit is een SPF-record.
• include:...: de servers van Microsoft 365 en Google Workspace mogen mailen namens dit domein.
• -all: alle andere servers mogen dat niet.

Waar het vaak misgaat

• Er zijn twee SPF-records. Een domein mag er maar een hebben. Heb je er twee, dan zijn ze allebei ongeldig. Voeg ze samen tot een regel.
• Een dienst ontbreekt. Verstuur je ook mails via je webshop, je boekhoudpakket of een nieuwsbriefprogramma? Dan moet die dienst ook in je SPF-record staan.
• Te veel verwijzingen. Een SPF-record mag maximaal 10 keer naar andere records verwijzen. Met veel include-regels kom je daar snel aan, en dan werkt het record niet meer.
• Een te ruim einde. +all betekent dat iedereen namens jou mag mailen. Gebruik -all (weigeren) of ~all (verdacht markeren).

SPF heeft wel een beperking: het controleert het technische afzenderadres, niet per se het adres dat de ontvanger ziet. Daarom heb je ook DKIM en DMARC nodig.

DKIM: een digitale handtekening

DKIM staat voor DomainKeys Identified Mail. Je mailserver zet op elke uitgaande mail een digitale handtekening. De ontvanger controleert die handtekening met een publieke sleutel die in jouw DNS staat.

Zo weet de ontvanger twee dingen:

• de mail komt echt van een server die bij jouw domein hoort
• de mail is onderweg niet aangepast

De publieke sleutel staat in een DNS-record met een eigen naam, zoals selector1._domainkey.jouwbedrijf.be. Het eerste deel, de selector, kiest je mailprovider.

DKIM aanzetten

Bij de meeste providers zet je DKIM aan in het beheerscherm van je mail. Je krijgt dan een of twee records die je in je DNS toevoegt. Bij Microsoft 365 en Google Workspace staat DKIM niet altijd standaard aan voor je eigen domein, dus controleer het zeker.

Gebruik je meerdere diensten om te mailen, zoals een nieuwsbriefprogramma? Dan heeft elke dienst meestal een eigen DKIM-sleutel nodig.

DMARC: wat als de controle faalt?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het bouwt voort op SPF en DKIM, en doet drie dingen:

1. Het koppelt de controle aan het zichtbare afzenderadres. Een mail slaagt alleen als SPF of DKIM klopt voor het domein dat de ontvanger ziet.
2. Het vertelt wat er moet gebeuren als een mail niet slaagt. Dat heet het beleid.
3. Het stuurt rapporten. Je krijgt overzichten van wie er mails verstuurt namens jouw domein.

Het DMARC-record staat op _dmarc.jouwbedrijf.be en ziet er bijvoorbeeld zo uit:

v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.be

De drie beleidsniveaus

p=none is een goed begin, maar het beschermt nog niet echt. Het is een meetstand. Het doel is om na een tijd naar quarantine en daarna naar reject te gaan.

Veilig opbouwen

1. Zet DMARC op p=none met een rapportadres.
2. Bekijk een paar weken de rapporten. Staan er diensten in die legitiem namens jou mailen maar niet slagen? Voeg ze toe aan SPF en zet DKIM voor ze aan.
3. Ga naar p=quarantine.
4. Loopt alles goed, ga dan naar p=reject.

Sla geen stappen over. Wie meteen op reject gaat zonder te meten, loopt het risico dat eigen facturen of nieuwsbrieven geweigerd worden.

Hoe ze samenwerken

Je kunt het vergelijken met een brief:

• SPF is de lijst met postkantoren die jouw brieven mogen versturen.
• DKIM is je handtekening onder de brief, die toont dat niemand de inhoud heeft veranderd.
• DMARC is de instructie aan de postbode: wat moet er gebeuren met een brief die niet van een erkend postkantoor komt en geen geldige handtekening heeft?

Elk afzonderlijk helpt, maar pas samen geven ze echte bescherming.

Zo controleer je je eigen domein

Met de gratis e-mailcheck van YouSurf zie je in enkele seconden of SPF, DKIM en DMARC goed staan, met uitleg per onderdeel. Je hoeft niets te installeren en je hebt geen account nodig.

Staat er iets niet goed?

• Maak een correct SPF-record met de SPF-generator.
• Stel je DMARC-beleid samen met de DMARC-generator.
• Voeg de records toe in het DNS-beheer bij de partij waar je domein geregistreerd is.
• Controleer daarna opnieuw. DNS-wijzigingen zijn soms pas na een paar uur overal zichtbaar.

Samengevat

• SPF bepaalt welke servers namens jou mogen mailen.
• DKIM zet een handtekening op je mails.
• DMARC koppelt beide aan je zichtbare afzender en bepaalt wat er gebeurt met mails die niet slagen.
• Begin met DMARC op p=none, meet een paar weken, en werk dan op naar reject.
• Controleer je domein regelmatig, zeker als je een nieuwe dienst gaat gebruiken die mails verstuurt.