DANE, DKIM en SPF voor veilige zakelijke e-mail

Een factuurfraude-mail die uit naam van uw bedrijf wordt verstuurd, hoeft technisch helemaal niet uit uw mailbox te komen. Een kwaadwillende kan uw domeinnaam als afzender gebruiken en klanten, leveranciers of collega’s misleiden. Met DANE, DKIM en SPF maakt u dat een stuk lastiger. Het zijn geen ingewikkelde extra’s voor grote corporates, maar praktische beveiligingsmaatregelen voor iedere organisatie die zakelijk e-mailt.

De afkortingen klinken technisch, maar het doel is eenvoudig: ontvangende mailservers moeten kunnen controleren of een e-mail echt via uw organisatie is verzonden én of de verbinding onderweg goed beveiligd is. Dat beschermt uw reputatie, vermindert de kans op phishing en vergroot de kans dat legitieme e-mail gewoon aankomt.

Waarom e-mailbeveiliging meer is dan een spamfilter

Een spamfilter beschermt vooral de ontvanger. SPF, DKIM en DANE beschermen ook de identiteit van uw domein. Zonder die instellingen kan iemand bijvoorbeeld een e-mail sturen vanaf `facturen@uwbedrijf.nl`, zonder toegang te hebben tot die mailbox. Voor een klant ziet dat er vaak overtuigend uit, zeker wanneer de naam van een bekende leverancier in beeld staat.

De schade zit niet alleen in een mogelijk betaalde nepfactuur. U kunt ook vertrouwen verliezen, tijd kwijt zijn aan uitleg en zien dat echte e-mails vaker in de spammap belanden. Grote e-maildiensten letten steeds nadrukkelijker op de technische betrouwbaarheid van verzendende domeinen. Wie de basis niet op orde heeft, maakt het zichzelf onnodig lastig.

Daarom hoort e-mailbeveiliging bij regulier ICT-beheer. Net als back-ups, updates en goed wachtwoordbeheer. Het is geen eenmalig project dat u afvinkt, want e-mailplatforms, nieuwsbrieven en andere systemen kunnen in de loop van de tijd veranderen.

SPF: wie mag namens uw domein e-mail versturen?

SPF staat voor Sender Policy Framework. Het is een regel in uw DNS-instellingen die aangeeft welke servers e-mail mogen versturen namens uw domein. Denk aan Microsoft 365, uw hostingserver, een boekhoudpakket of een systeem voor nieuwsbrieven.

Een ontvangende server vergelijkt de verzendende server met die lijst. Komt de server niet voor in uw SPF-record, dan is dat een signaal dat de afzender mogelijk niet klopt. De ontvangende partij kan de e-mail vervolgens markeren, strenger controleren of weigeren.

SPF is nuttig, maar niet waterdicht. De controle kijkt vooral naar het technische afzenderadres voor bezorging, ook wel de envelope sender. Dat is niet altijd hetzelfde adres dat uw klant in zijn mailprogramma ziet. Ook e-mail doorsturen kan SPF laten falen, omdat de e-mail dan via een andere server verder reist.

Een veelgemaakte fout is meerdere SPF-records aanmaken. Per domein mag er maar één zijn. Gebruikt u verschillende verzenddiensten, dan moeten die netjes in één record worden opgenomen. Te veel externe verwijzingen in zo’n record kunnen bovendien een technische limiet raken. Dan werkt uw configuratie minder goed dan u denkt.

DKIM: een digitale handtekening onder uw bericht

DKIM staat voor DomainKeys Identified Mail. Waar SPF controleert welke server mag verzenden, plaatst DKIM een digitale handtekening onder uitgaande e-mails. Die handtekening wordt gemaakt met een privésleutel op de verzendende mailserver.

De bijbehorende publieke sleutel staat in DNS. Een ontvangende mailserver kan daarmee nagaan of het bericht echt door een geautoriseerd systeem is ondertekend en of belangrijke onderdelen van het bericht onderweg niet zijn aangepast. Is de handtekening geldig, dan geeft dat extra vertrouwen.

DKIM werkt vooral goed als alle systemen die namens u e-mail sturen ook daadwerkelijk ondertekenen. Dat wordt vaak vergeten bij een extern boekhoudpakket, CRM-systeem, scan-to-mail-printer of marketingtool. Juist die systemen versturen soms facturen, afspraken of formulieren en verdienen dus aandacht.

Ook sleutelbeheer telt mee. DKIM-sleutels moeten voldoende sterk zijn en het is verstandig ze periodiek te vernieuwen. Dat hoeft niet wekelijks, maar laat het niet jarenlang ongemoeid. Bij een migratie van e-mail of hosting moet u bovendien controleren of de oude én nieuwe verzendroute goed zijn ingesteld. Anders kan legitieme mail ineens verdacht lijken.

DANE: controleren of de mailverbinding echt veilig is

DANE staat voor DNS-based Authentication of Named Entities. Deze techniek richt zich niet primair op de afzender van een e-mail, maar op de beveiligde verbinding tussen mailservers. DANE publiceert in DNS welke TLS-certificaten of sleutels een mailserver mag gebruiken.

Dat helpt voorkomen dat een verbinding onderweg ongemerkt wordt onderschept of terugvalt naar een onbeveiligde variant. Voor zakelijke e-mail is dat relevant: berichten kunnen offertes, persoonsgegevens, contracten of financiële informatie bevatten. Versleuteld transport is dan geen luxe.

DANE heeft wel een belangrijke voorwaarde: DNSSEC moet correct actief zijn. DNSSEC voegt een controlelaag toe aan DNS, zodat ontvangende systemen kunnen vertrouwen dat de gevonden DANE-informatie niet is aangepast. Zonder DNSSEC heeft een DANE-record geen waarde.

Daar zit meteen de afweging. DKIM en SPF zijn breed ingeburgerd en voor vrijwel ieder zakelijk domein logisch. DANE is technisch sterk, maar de werking hangt af van ondersteuning aan beide kanten van de mailroute. Niet elke ontvangende server gebruikt DANE-controles. Toch is het een goede aanvulling wanneer uw DNS en mailinfrastructuur er geschikt voor zijn, zeker voor organisaties die vertrouwelijke informatie uitwisselen.

DANE, DKIM en SPF werken het beste met DMARC

SPF en DKIM geven controlesignalen af. Ze bepalen niet altijd zelf wat een ontvangende partij moet doen als een controle mislukt. Daar komt DMARC in beeld. DMARC koppelt SPF en DKIM aan het zichtbare afzenderdomein en geeft een beleid mee: monitoren, in spam plaatsen of weigeren.

Begin niet direct met een streng weigeren-beleid als u niet weet welke systemen namens uw domein verzenden. Start met rapportage, controleer de resultaten en herstel afwijkingen. Pas daarna kunt u het beleid aanscherpen. Zo voorkomt u dat een legitieme nieuwsbrief of factuur onbedoeld wordt tegengehouden.

DMARC-rapporten zijn waardevol, maar niet bepaald prettig leesvoer. Ze laten zien vanaf welke servers e-mail wordt verstuurd, welke controles slagen en waar mogelijke misbruikpogingen plaatsvinden. Voor een mkb-bedrijf is het meestal verstandiger om die controle onderdeel te maken van beheerd e-mail- en DNS-beheer dan om losse XML-rapporten zelf te analyseren.

Zo voorkomt u fouten in uw DNS-instellingen

De techniek staat of valt met een volledig overzicht. Maak eerst duidelijk welke systemen e-mail verzenden namens uw domein. Dat zijn meestal uw dagelijkse mailboxen, maar ook de website, contactformulieren, facturatie, cloudsoftware en nieuwsbrieventools kunnen meedoen.

Controleer daarna of SPF, DKIM en DMARC aansluiten op die werkelijkheid. Test niet alleen een gewone e-mail vanaf een medewerker, maar ook een factuur, formulierbevestiging en marketingmail. Een configuratie die op papier klopt, kan in de praktijk alsnog falen door een vergeten externe dienst.

Bij DANE is extra zorg nodig rond DNSSEC, certificaten en mailserverinstellingen. Een verkeerd TLSA-record kan veilige bezorging juist verstoren. Dat is geen reden om DANE te vermijden, wel om de wijziging zorgvuldig te laten uitvoeren en na afloop te controleren.

Verandert u van hostingpartij, e-mailplatform of leverancier? Neem de e-mailbeveiliging dan mee in het migratieplan. DNS-records kopiëren zonder controle is snel gedaan, maar kan oude verzenddiensten toegang geven of nieuwe diensten buiten sluiten. Een nette oplevercheck voorkomt stress achteraf.

E-mail moet betrouwbaar zijn, niet ingewikkeld

Voor ondernemers hoeft de vraag niet te zijn welke afkorting het slimst klinkt. De praktische vraag is of uw klanten veilige, herkenbare e-mail van u ontvangen en of misbruik van uw domein zo veel mogelijk wordt beperkt. SPF en DKIM vormen daarbij de basis. DMARC maakt die basis afdwingbaar. DANE voegt waar passend extra zekerheid toe voor het transport tussen mailservers.

Wie geen interne ICT-afdeling heeft, hoeft dit niet zelf uit te pluizen. Bij NLXS kunnen DNS, e-mail en dagelijks beheer onder één dak worden gecontroleerd, zodat instellingen ook blijven kloppen wanneer uw organisatie of software verandert. Dat geeft overzicht, vaste aanspreekpunten en vooral minder gedoe wanneer e-mail gewoon moet werken.

De beste e-mailbeveiliging merkt u meestal niet op. Uw berichten komen aan, uw domeinnaam wordt niet misbruikt en uw klanten hoeven niet te twijfelen of een e-mail echt van u afkomstig is. Precies zo hoort het te zijn.