SPF, DKIM en DMARC: het verschil helder uitgelegd

SPF, DKIM en DMARC beschermen alle drie de e-mail die uit uw domeinnaam vertrekt, maar elk doet iets anders. SPF legt vast welke mailservers namens uw domein mogen versturen. DKIM zet een digitale handtekening op elk bericht, zodat de ontvanger ziet dat het echt van u komt en onderweg niet is aangepast. DMARC vertelt de ontvangende mailserver wat hij moet doen met mail die niet door die controles komt, en stuurt u rapporten over wat er met uw domein gebeurt. Pas samen maken ze het oplichters echt lastig om mail te versturen die van u lijkt te komen. Hieronder leggen we per standaard uit wat hij doet, hoe ze samenwerken en hoe u ze instelt zonder dat uw eigen mail ergens blijft hangen.

Kort samengevat

• SPF is een lijst in uw DNS met de servers die namens uw domein mogen mailen.
• DKIM is een cryptografische handtekening op het bericht zelf, die de ontvanger controleert met een openbare sleutel in uw DNS.
• DMARC is het beleid erboven: het bepaalt wat er gebeurt met mail die niet klopt, en levert rapporten op.
• U heeft ze alle drie nodig. Zonder DMARC weet een ontvanger niet wat hij met afgekeurde mail moet doen, zonder SPF en DKIM heeft DMARC niets om te controleren.
• Begin met DMARC op p=none, lees de rapporten en schuif pas door naar p=reject als al uw legitieme mail goed wordt herkend.

Inhoudsopgave

• Drie standaarden, drie vragen
• SPF: wie mag er namens u mailen?
• DKIM: een handtekening op elk bericht
• DMARC: het beleid en de rapporten
• Zo werken ze samen: één e-mail van begin tot eind
• Waarom u ze alle drie nodig heeft
• Stappenplan: instellen zonder uw eigen mail te blokkeren
• Controleren of uw records goed staan
• Onze kijk op e-mailbeveiliging
• Hulp bij uw domein en e-mail
• Veelgestelde vragen
• Bronnen

Drie standaarden, drie vragen

De makkelijkste manier om het verschil te onthouden: elke standaard beantwoordt één vraag die een ontvangende mailserver stelt wanneer er een bericht binnenkomt dat zegt van uw domein te komen.

Het Nationaal Cyber Security Centrum vat het zo samen: SPF geeft aan welke servers mogen verzenden, DKIM zorgt voor authenticiteit en integriteit van het bericht, en DMARC bepaalt hoe ontvangers omgaan met mail die niet aan SPF of DKIM voldoet. Alle drie records zet u als TXT-record in de DNS-zone van uw domein. Wie die zone beheert, heeft dus de sleutel in handen. Lees ook onze uitleg over DNS-beheer zonder verrassingen als u niet zeker weet waar uw DNS nu staat.

SPF: wie mag er namens u mailen?

SPF is in feite een gastenlijst. In de DNS van uw domein publiceert u welke mailservers e-mail mogen versturen met uw domeinnaam als afzender. Een ontvangende server kijkt bij binnenkomst van een bericht van welk IP-adres het komt en legt dat naast uw lijst.

Een eenvoudig SPF-record ziet er zo uit:

v=spf1 include:_spf.uwmailprovider.nl ip4:192.0.2.10 ~all

Dat lees u als volgt:

• v=spf1 zegt dat dit een SPF-record is.
• include: voegt de servers van een externe dienst toe, zoals uw mailprovider, nieuwsbriefdienst of boekhoudpakket dat facturen mailt.
• ip4: noemt een specifiek IP-adres, bijvoorbeeld van uw eigen server of webshop.
• ~all (softfail) zegt dat alle andere servers niet op de lijst staan en verdacht zijn.

Naast ~all bestaat ook -all (hardfail), dat strenger klinkt. Het NCSC geeft voor SPF meestal de voorkeur aan ~all, omdat de harde afwijzing dan aan DMARC wordt overgelaten. Zo voorkomt u dat een bericht al bij de SPF-stap wordt weggegooid voordat DMARC de kans krijgt om ook naar DKIM te kijken.

De valkuil: tien lookups

Elke include in uw SPF-record kost de ontvanger een DNS-opvraging, en een include kan zelf weer verwijzen naar andere records. Volgens de handreiking van SURF mag het interpreteren van een SPF-record maximaal 10 DNS-lookups genereren. Gaat u daaroverheen, dan faalt SPF voor al uw mail, ook voor de berichten die wel van een goedgekeurde server komen. Bij bedrijven met een mailprovider, een CRM, een nieuwsbriefdienst, een ticketsysteem en een webshop is die grens sneller bereikt dan u denkt. Ruim daarom diensten op die u niet meer gebruikt.

Wat SPF niet doet

SPF controleert het technische afzenderadres (het envelope-adres of Return-Path), niet het adres dat uw ontvanger in zijn mailprogramma ziet. Een oplichter kan dus SPF laten slagen voor zijn eigen domein en toch uw naam in het zichtbare Van-veld zetten. Ook breekt SPF vaak bij doorgestuurde mail, omdat de doorsturende server niet op uw lijst staat. Daarom bestaan DKIM en DMARC.

DKIM: een handtekening op elk bericht

Waar SPF naar de server kijkt, kijkt DKIM naar het bericht zelf. Uw mailserver zet bij het verzenden een cryptografische handtekening in de header, gemaakt met een geheime sleutel die alleen uw server kent. De bijbehorende openbare sleutel publiceert u in de DNS.

De ontvanger haalt die openbare sleutel op en controleert twee dingen: is de handtekening echt gemaakt met de sleutel van dit domein, en zijn de ondertekende delen van het bericht onderweg niet veranderd? Klopt dat, dan slaagt DKIM.

In de praktijk werkt het zo:

1. U zet DKIM aan bij uw mailprovider of op uw mailserver. Die maakt een sleutelpaar aan.
2. U krijgt een TXT-record (soms een CNAME) met een naam als selector1._domainkey.uwdomein.nl en een lange waarde die begint met v=DKIM1; k=rsa; p=…
3. U plaatst dat record in uw DNS-zone.
4. Vanaf dat moment ondertekent de server elke uitgaande mail en kan iedere ontvanger die handtekening controleren.

Het woord selector is belangrijk. Elke dienst die namens u mailt, krijgt bij voorkeur een eigen selector en eigen sleutel. Uw mailprovider, uw nieuwsbriefdienst en uw webshop kunnen zo allemaal netjes ondertekenen met uw domein, zonder dat ze elkaars sleutels kennen. Stopt u met een dienst, dan haalt u alleen die selector weg.

Omdat de handtekening bij het bericht hoort en niet bij de server, overleeft DKIM doorsturen meestal wel. Dat maakt DKIM de stevigste basis voor DMARC. Wilt u verder lezen over de combinatie met DANE, een extra beveiliging voor het transport van mail tussen servers, dan vindt u dat in ons artikel over DANE, DKIM en SPF voor zakelijke e-mail.

DMARC: het beleid en de rapporten

SPF en DKIM leveren een uitslag op: geslaagd of niet. Maar wat moet een ontvanger daarmee? Zonder DMARC beslist elke mailserver dat zelf. Het NCSC is daar duidelijk over: zonder DMARC weet de ontvangende mailserver niet wat er moet gebeuren met e-mail die niet aan de SPF- of DKIM-regels voldoet.

DMARC voegt drie dingen toe.

1. Uitlijning. DMARC kijkt of het domein dat SPF of DKIM heeft goedgekeurd overeenkomt met het domein in het zichtbare Van-adres. Juist dat dicht het gat dat SPF openlaat. Het is niet genoeg dat een bericht ergens geauthenticeerd is, het moet geauthenticeerd zijn voor uw domein. In de standaardinstelling (relaxed) mag een subdomein als nieuwsbrief.uwdomein.nl gelden voor uwdomein.nl; in de strikte stand moet het exact gelijk zijn.

2. Beleid. Met de p-waarde vertelt u wat een ontvanger moet doen als zowel SPF als DKIM niet uitgelijnd slagen:

• p=none: accepteer de mail gewoon. Het NCSC omschrijft p=none als de instructie aan de ontvangende server om de e-mail te accepteren. Handig als meetstand, maar het houdt misbruik nog niet tegen.
• p=quarantine: behandel de mail als verdacht, meestal betekent dat de spammap.
• p=reject: weiger de mail. Dit is wat het NCSC uiteindelijk aanbeveelt.

3. Rapporten. Met rua=mailto:… vraagt u ontvangers om u regelmatig een overzicht te sturen: welke servers mailden namens uw domein, hoeveel berichten waren het en slaagden SPF en DKIM? SPF en DKIM geven u die informatie niet. Met de rapporten ziet u voor het eerst wie er allemaal uw domeinnaam gebruikt, legitiem of niet.

Een DMARC-record om mee te beginnen:

v=DMARC1; p=none; rua=mailto:dmarc@uwdomein.nl

U plaatst het als TXT-record op _dmarc.uwdomein.nl.

NLXS

Bespreek uw e-mailbeveiliging

Bij NLXS kunt u uw domein en e-mail bespreken als onderdeel van hosting en ICT-diensten die op uw behoeften zijn afgestemd.

NLXS

Lage Mosten 51, 4822 NK Breda

Bekijk de route

© OpenStreetMap contributors

Zo werken ze samen: één e-mail van begin tot eind

Stel, uw collega stuurt een offerte vanaf offerte@uwdomein.nl naar een klant. Bij de klant gebeurt dit:

1. De server van de klant ontvangt het bericht en ziet dat het van uwdomein.nl zegt te komen.
2. SPF-controle: hij zoekt uw SPF-record op en controleert of het verzendende IP-adres op de lijst staat. Ja, het is de server van uw mailprovider.
3. DKIM-controle: hij leest de handtekening in de header, haalt via de selector uw openbare sleutel op en controleert die. De handtekening klopt, de offerte is onderweg niet aangepast.
4. DMARC-controle: hij zoekt _dmarc.uwdomein.nl op, ziet dat SPF en DKIM slagen voor hetzelfde domein als in het Van-adres, en laat de mail door.
5. Rapportage: de ontvanger neemt dit bericht mee in het overzicht dat hij naar uw rua-adres stuurt.

Probeert iemand anders een nepfactuur te sturen vanaf factuur@uwdomein.nl via zijn eigen server, dan faalt SPF (die server staat niet op uw lijst) en faalt DKIM (hij heeft uw geheime sleutel niet). Staat uw DMARC op p=reject, dan komt die mail niet aan. Staat hij op p=none, dan ziet u de poging wel terug in uw rapporten, maar komt de mail mogelijk toch binnen.

Zo vullen ze elkaar aan: SPF verifieert de afzender, DKIM bewaakt de inhoud en DMARC vertelt de ontvanger wat hij moet doen. Volgens het NCSC biedt juist die combinatie effectieve bescherming tegen spoofing. Wie er meer over wil lezen vanuit het marketingvak, vindt een goede aanvulling in dit overzicht van e-mail marketing certificaten, waar kennis van e-mailauthenticatie onderdeel is van het vak.

Waarom u ze alle drie nodig heeft

Een veelgestelde vraag is of SPF en DKIM niet genoeg zijn. Het korte antwoord: nee. SPF en DKIM zijn controles, DMARC is de regel die zegt wat de uitkomst betekent. Zonder DMARC krijgt u bovendien geen enkel inzicht in wie uw domein misbruikt.

In Nederland gelden SPF, DKIM en DMARC als good practice voor organisaties en als verplichting voor de overheid. Voor een mkb-bedrijf is het dus geen wettelijke plicht, maar wel de norm waar ontvangers naar kijken. Grote mailproviders wegen authenticatie mee bij de beslissing of uw mail in de inbox of in de spammap belandt. Goede records helpen dus niet alleen tegen phishing uit uw naam, maar ook bij de bezorgbaarheid van uw eigen offertes, facturen en nieuwsbrieven. Daarover schreven we eerder in e-mail deliverability verbeteren en in ons stuk over e-mail blacklisting voorkomen.

Vergeet ook uw domeinen niet die geen mail versturen. Een domein dat u alleen voor een website of ter bescherming van uw merknaam heeft, kan net zo goed misbruikt worden als afzender. Het NCSC adviseert ook voor zulke domeinen beschermende records te plaatsen.

Stappenplan: instellen zonder uw eigen mail te blokkeren

De grootste angst bij DMARC is dat uw eigen mail opeens niet meer aankomt. Dat gebeurt vooral als u te snel naar p=reject gaat terwijl een dienst die namens u mailt nog niet goed is ingesteld. Met deze volgorde houdt u dat risico klein.

1. Inventariseer alle afzenders. Maak een lijst van alles wat mail verstuurt met uw domeinnaam: uw mailprovider, de webshop, het boekhoudpakket, de nieuwsbriefdienst, het CRM, de printer die scans mailt, het contactformulier op uw website.
2. Zet SPF goed. Neem al die diensten op in één SPF-record, eindig met ~all en controleer dat u onder de tien lookups blijft. Let op: per domein mag er maar één SPF-record staan.
3. Zet DKIM aan voor elke dienst. Activeer DKIM bij uw mailprovider en bij elke externe dienst, elk met een eigen selector. Controleer dat de dienst ondertekent met uw domein en niet met dat van de dienst zelf, anders lijnt DKIM niet uit.
4. Publiceer DMARC op p=none met rapporten. Laat dit een aantal weken staan, zodat u een goed beeld krijgt. Maandelijkse processen, zoals facturatie, moeten er ook in voorkomen.
5. Lees de rapporten. De ruwe rapporten zijn XML-bestanden die lastig te lezen zijn. SURF noemt gespecialiseerde software om DMARC-rapporten te controleren en te analyseren. Zoek naar legitieme bronnen die nog falen en los die op.
6. Schuif op naar p=quarantine. Eventueel eerst voor een deel van de mail met pct=, zodat u het effect kunt volgen.
7. Eindig op p=reject. Dit is de stand die het NCSC aanbeveelt. Blijf daarna de rapporten volgen, want elke nieuwe dienst die namens u gaat mailen, moet eerst in SPF en DKIM worden opgenomen.

Gaat u verhuizen naar een andere mailprovider? Doe dan stap 1 tot en met 5 opnieuw voordat u de MX-records omzet. In onze gids zakelijke e-mailhosting instellen leest u welke records er verder bij een overstap komen kijken.

Controleren of uw records goed staan

U hoeft geen technicus te zijn om te zien of uw domein in orde is. Het NCSC verwijst naar de e-mailtest op internet.nl: u vult uw domeinnaam in en ziet per onderdeel of SPF, DKIM en DMARC aanwezig zijn en of het beleid streng genoeg is.

Let bij de uitslag vooral op deze punten:

• Staat er precies één SPF-record, en eindigt het op ~all of -all in plaats van ?all of +all?
• Is DKIM actief voor uw belangrijkste mailstroom?
• Staat DMARC nog op p=none? Dan meet u wel, maar beschermt u nog niet.
• Heeft u een rua-adres ingesteld, en leest iemand die rapporten ook echt?

Dat laatste wordt vaak vergeten. Een DMARC-record met rapporten die in een mailbox verdwijnen die niemand opent, levert weinig op.

Onze kijk op e-mailbeveiliging

In de praktijk zien we het vaak: een bedrijf heeft SPF ooit ingesteld bij de start, DKIM staat half aan en DMARC staat al jaren op p=none. Niemand weet nog wie welke dienst heeft gekoppeld. Dat is geen onwil, het is gewoon druk ondernemen. Maar het betekent wel dat uw domeinnaam open ligt voor nepfacturen, en dat uw eigen mail soms in de spammap belandt zonder dat u het merkt.

Wij geloven dat u daar als ondernemer niet zelf mee bezig hoeft te zijn. E-mailauthenticatie is geen eenmalige klus maar onderhoud: elke nieuwe webshopkoppeling of nieuwsbriefdienst vraagt om een aanpassing in DNS. Dat werkt het best als één partij overzicht houdt over uw domeinen, uw DNS en uw mail, en persoonlijk bereikbaar is als er iets misgaat.

Daarom pakken we dit graag in één keer goed aan, met een duidelijke volgorde en zonder dat uw mail tussendoor stil komt te liggen. En lukt iets niet, dan bellen we u gewoon op.

Ken

Hulp bij uw domein en e-mail

Wilt u weten hoe uw domein er nu voor staat, zonder zelf door DNS-zones en XML-rapporten te hoeven? Bij NLXS kunt u terecht voor ICT-consultancy, een ICT-scan en support, met persoonlijke aandacht en een vast maandbedrag zonder verrassingen. Wij streven ernaar problemen binnen één dag op te lossen, en u krijgt ons direct aan de telefoon.

Bekijk onze ICT-diensten voor het mkb of lees eerst hoe wij bedrijfsmail veilig configureren. Neem gerust contact met ons op, dan kijken we samen naar uw situatie.

Veelgestelde vragen

Waar staat DMARC voor?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het bouwt voort op SPF en DKIM: het controleert of die passen bij het zichtbare afzenderdomein, bepaalt wat er met afgekeurde mail gebeurt en stuurt u rapporten over het gebruik van uw domein.

Wat betekent DMARC p=none?

Met p=none vraagt u ontvangende servers om mail die niet door de controles komt toch te accepteren. U krijgt wel rapporten, dus het is een goede meetstand om mee te beginnen. Het houdt misbruik van uw domein echter niet tegen, dus het is de bedoeling dat u daarna doorschuift naar quarantine en reject.

Kan ik DKIM gebruiken zonder SPF?

Technisch wel, en DMARC slaagt al als één van beide uitgelijnd slaagt. Toch raden we aan altijd beide in te stellen. SPF en DKIM vangen elkaars zwakke plekken op, bijvoorbeeld bij doorgestuurde mail of bij een dienst die niet kan ondertekenen.

Hoe lang duurt het voordat nieuwe records werken?

DNS-wijzigingen zijn meestal binnen enkele uren zichtbaar, afhankelijk van de TTL-waarde van het record. De overgang van p=none naar p=reject neemt u bewust de tijd voor: reken op enkele weken meten, zodat ook diensten die maar af en toe mailen in de rapporten verschijnen.

Heb ik dit ook nodig als ik weinig mail verstuur?

Ja. Oplichters kiezen domeinen niet op het aantal mails dat u verstuurt, maar op de kans dat hun nepbericht geloofd wordt. Ook een domein dat helemaal geen mail verstuurt, beschermt u het best met een strikt SPF- en DMARC-record.

Bronnen

NCSC: Bescherm je domeinen tegen phishing SURF: Handreiking beveiligen e-mail Search-On: Welke e-mail marketing certificaten zijn het meest waard?

Aanbevelingen

• DANE, DKIM en SPF voor veilige zakelijke e-mail