SPF, DKIM en DMARC uitgelegd: zo beveilig je de e-mail van je domein

Iedereen kan een e-mail versturen met jouw adres als afzender. Met SPF, DKIM en DMARC vertel je ontvangende mailservers welke mail echt van jou komt, en wat ze moeten doen met mail die dat niet is. Drie DNS-instellingen, een groot verschil.

Waarom dit belangrijk is

E-mail is ooit ontworpen zonder controle op de afzender. Daarom kan iedereen een mail versturen die van info@jouwbedrijf.nl lijkt te komen. Oplichters maken daar gebruik van, bijvoorbeeld met nep-facturen of een “nieuw rekeningnummer” uit naam van jouw bedrijf.

SPF, DKIM en DMARC lossen dat samen voor een groot deel op. Ze helpen ook je eigen mail: ontvangers vertrouwen mail van een goed ingesteld domein meer, dus komt je mail vaker in de inbox. Grote mailproviders zoals Gmail en Yahoo eisen sinds 2024 dat afzenders die veel mail versturen deze instellingen op orde hebben.

SPF: wie mag mailen namens jouw domein?

Met SPF (Sender Policy Framework) zet je in de DNS van je domein een lijst van servers die namens jou mail mogen versturen. Denk aan je mailprovider (zoals Microsoft 365 of Google Workspace), je nieuwsbriefdienst en je boekhoudpakket als dat facturen mailt.

Een SPF-record is een TXT-record dat begint met v=spf1, gevolgd door de toegestane bronnen en een afsluiting, bijvoorbeeld -all (alles wat niet in de lijst staat, is niet toegestaan) of ~all (verdacht, maar niet hard afwijzen).

Let op:

• Je mag maar één SPF-record per domein hebben. Voeg bronnen samen in hetzelfde record.
• Een SPF-record mag niet te veel DNS-opzoekingen veroorzaken (maximaal tien). Bij veel diensten loop je daar sneller tegenaan dan je denkt.

DKIM: een digitale handtekening op elke mail

Met DKIM (DomainKeys Identified Mail) zet de verzendende server een digitale handtekening op elke uitgaande mail. De bijbehorende publieke sleutel staat in jouw DNS, onder een naam als selector._domainkey.jouwbedrijf.nl. De ontvanger controleert daarmee of de mail echt van een toegestane server komt en onderweg niet is aangepast.

Je mailprovider en de meeste andere diensten geven je de DKIM-gegevens om in je DNS te zetten. Elke dienst die namens jou mailt, heeft in principe een eigen DKIM-sleutel nodig.

DMARC: wat moet er gebeuren met nepmail?

DMARC (Domain-based Message Authentication, Reporting and Conformance) bouwt voort op SPF en DKIM. Je publiceert een beleid dat zegt wat ontvangers moeten doen met mail die niet door de controle komt:

• p=none: niets doen, alleen rapporteren. Handig om mee te beginnen.
• p=quarantine: in de spam zetten.
• p=reject: weigeren.

Met een rapportadres (rua=) krijg je overzichten van wie er namens jouw domein mailt. Zo zie je of je alle legitieme bronnen in SPF en DKIM hebt opgenomen, voordat je het beleid strenger maakt.

Zo voer je het in, stap voor stap

1. Inventariseer welke diensten mail versturen namens je domein: je mailbox, nieuwsbrief, webshop, boekhouding, CRM, formulieren op je website.
2. Stel SPF in met al die bronnen in één record.
3. Zet DKIM aan bij elke dienst en zet de sleutels in je DNS.
4. Begin met DMARC op p=none met een rapportadres, en lees de rapporten een paar weken.
5. Maak het strenger: eerst p=quarantine, daarna p=reject, zodra je zeker weet dat al je eigen mail goed door de controle komt.

Gebruik je je domein helemaal niet voor e-mail? Zet dan een SPF-record dat niemand toestaat (v=spf1 -all) en een DMARC-beleid p=reject. Zo kan ook niemand anders je domein voor mail misbruiken.

Hoe controleer je het?

Onze gratis websitescan kijkt onder meer of SPF en DMARC voor je domein zijn ingesteld. DKIM is van buitenaf niet volledig te controleren, omdat je daarvoor de naam van de sleutel (de selector) moet weten.

Liever dat iemand het voor je regelt? Dat doen we als onderdeel van hosting, domeinen en zakelijke e-mail, bijvoorbeeld samen met het inrichten van Microsoft 365.