Wat is SPF, DKIM en DMARC?
Drie instellingen die bepalen welke e-mail echt van uw bedrijf komt, uitgelegd zonder vakjargon.
SPF, DKIM en DMARC in het kort
SPF, DKIM en DMARC zijn drie instellingen in de DNS van uw domeinnaam die samen aangeven welke e-mail echt van uw bedrijf komt. Ze maken het criminelen lastiger om mail te versturen uit naam van uw domein, en ze helpen om uw eigen e-mail goed bij de ontvanger te laten aankomen in plaats van in de spam.
Hoe werken SPF, DKIM en DMARC?
E-mail is ooit ontworpen zonder controle op de afzender. Iedereen kan een bericht versturen met uw adres als afzender. Deze drie instellingen vullen dat gat. Een vergelijking met een feest helpt:
- SPF (Sender Policy Framework) is de gastenlijst. U publiceert welke mailservers en diensten namens uw domein mogen mailen. De ontvangende server controleert of de afzender op de lijst staat.
- DKIM (DomainKeys Identified Mail) is het zegel op de envelop. Elk bericht krijgt een digitale handtekening. Met een sleutel die in uw DNS staat, controleert de ontvanger of het bericht echt van uw domein komt en onderweg niet is aangepast.
- DMARC is de instructie voor de portier. DMARC kijkt of SPF of DKIM klopt met het afzenderadres dat de ontvanger ziet, en vertelt wat er moet gebeuren als dat niet zo is: alleen rapporteren, in de spam zetten of weigeren. U ontvangt ook rapporten over wie er namens uw domein mailt.
Alle drie zijn tekstregels in de DNS van uw domein. Een SPF-regel voor Microsoft 365 ziet er bijvoorbeeld zo uit:
v=spf1 include:spf.protection.outlook.com -all
Waarom dit belangrijk is voor het MKB
Zonder deze instellingen kunnen criminelen vrij eenvoudig e-mail versturen die van uw adres lijkt te komen. Uw klanten ontvangen dan een valse factuur of een phishingbericht met uw naam erboven. Dat kost vertrouwen, ook al heeft u er zelf niets mee te maken.
Daarnaast letten grote e-mailproviders, zoals Gmail en Outlook, op deze instellingen. Ontbreken ze of staan ze verkeerd, dan belanden uw offertes en facturen eerder in de spam of worden ze geweigerd.
Stappenplan
- Maak een lijst van alles wat namens uw domein mailt: Microsoft 365, het contactformulier van uw website, uw nieuwsbriefprogramma, boekhoud- of factuursoftware, uw CRM en soms een printer of scanner.
- Maak één SPF-record waarin al die afzenders staan.
- Zet DKIM aan bij elke dienst die het ondersteunt, en zet de bijbehorende sleutels in uw DNS.
- Begin met DMARC op "alleen rapporteren" (p=none) en geef een adres op waar de rapporten heen gaan.
- Lees de rapporten en voeg echte afzenders toe die u nog was vergeten.
- Maak DMARC stap voor stap strenger, eerst naar quarantaine (p=quarantine) en daarna naar weigeren (p=reject).
- Beveilig ook domeinen die niet mailen, met een SPF-record zonder afzenders en DMARC op weigeren.
- Test uw domein op internet.nl en herhaal dat na wijzigingen.
Veelgemaakte fouten
- Twee SPF-records. Een domein mag er maar één hebben. Met twee is SPF ongeldig.
- Een te lange SPF-regel. SPF mag maximaal tien DNS-opzoekingen doen. Elke extra dienst telt mee, en daarboven faalt de controle.
- Een vergeten afzender. Staat uw nieuwsbrief- of factuursoftware er niet in, dan komen die berichten na een strenge DMARC-instelling niet meer aan.
- Blijven hangen op p=none. Dan krijgt u rapporten, maar wordt misbruik van uw domein niet tegengehouden.
- Rapporten die niemand leest. Juist daaruit blijkt of alles klopt en of er misbruik is.
- Denken dat het alle phishing tegenhoudt. Het beschermt uw eigen domein, niet tegen domeinnamen die er alleen op lijken.
Hoe Netron ICT helpt
Wij stellen SPF, DKIM en DMARC in als onderdeel van onze e-mailbeveiliging. Wij brengen in kaart welke diensten namens uw domein mailen, richten de instellingen in voor Microsoft 365 en uw andere afzenders, en maken DMARC in overleg stap voor stap strenger.
Heeft u uw domeinnaam of website bij ons via domeinregistratie of zakelijke webhosting, dan nemen wij ook uw contactformulier en andere mailende onderdelen mee. Wilt u weten hoe uw domein ervoor staat? Vraag een gratis ICT-scan aan.
FAQ
Veelgestelde vragen over SPF, DKIM en DMARC
Heb ik alle drie nodig?
Kan mijn eigen e-mail verdwijnen als ik DMARC streng instel?
Hoe controleer ik of mijn domein goed is ingesteld?
Beschermt DMARC mij tegen alle phishing?
Wat doe ik met domeinen waar ik niet mee mail?
Meer in de kennisbank
Bijgewerkt op Door Steven Cremers, directeur van Netron ICT
De informatie op deze pagina is met zorg samengesteld. Aan genoemde prijzen, specificaties en diensten kunnen geen rechten worden ontleend. Prijzen en voorwaarden kunnen zonder vooraankondiging worden gewijzigd. De exacte invulling van een dienst is afhankelijk van de gebruikte software, licenties en uw specifieke omgeving. Lees onze volledige disclaimer voor meer informatie.
Wilt u uw e-maildomein laten controleren?
Wij kijken met u naar SPF, DKIM en DMARC en maken een voorstel op maat. Bel ons of stuur een bericht.