SPF, DKIM en DMARC: zo beveilig je de e-mail van je bedrijf

Stel: een klant krijgt een factuur van jouw bedrijf, met een ander rekeningnummer dan normaal. Het afzenderadres lijkt precies op dat van jou. Toch heb jij die mail nooit verstuurd.

Dat kan, omdat e-mail van zichzelf niet controleert of de afzender echt is wie hij zegt te zijn. Iedereen kan een mail versturen met jouw domeinnaam als afzender. Daarvoor zijn drie instellingen bedacht: SPF, DKIM en DMARC. Ze staan in de DNS van je domein, de plek waar ook staat waar je website en mail naartoe moeten. Microsoft legt ze uitgebreid uit in de documentatie voor Microsoft 365. Hieronder lees je wat ze doen en hoe je ze stap voor stap instelt. Wil je eerst weten hoe jouw domein ervoor staat? Doe dan de gratis SPF-, DKIM- en DMARC-check.

SPF: wie mag mailen namens je domein?

SPF (Sender Policy Framework) is een lijst in je DNS met de servers die mail mogen versturen voor je domein. Een ontvangende mailserver kijkt in die lijst. Komt een mail van een server die er niet op staat, dan is dat verdacht.

Gebruik je alleen Microsoft 365 om te mailen, dan ziet het SPF-record er volgens Microsoft zo uit:

v=spf1 include:spf.protection.outlook.com -all

Let op een paar dingen:

• Er mag maar één SPF-record per domein zijn. Twee records maken SPF ongeldig.
• Zet er alle diensten in die namens jou mailen. Bijvoorbeeld je nieuwsbriefprogramma, je boekhoudpakket dat facturen verstuurt, je webshop of het contactformulier op je website. Die diensten vertellen zelf wat je moet toevoegen.
• Maximaal 10 DNS-opzoekingen. Elke dienst die je met include: toevoegt, telt mee. Kom je erboven, dan faalt SPF. Microsoft raadt aan om diensten voor bulkmail, zoals nieuwsbrieven, via een subdomein te laten versturen, bijvoorbeeld nieuws.jouwbedrijf.nl.
• Eindig met -all. Dat betekent: mail van andere servers is niet toegestaan.

DKIM: een handtekening op elke mail

DKIM (DomainKeys Identified Mail) zet een digitale handtekening op elke uitgaande mail. De mailserver ondertekent de mail met een geheime sleutel, en in je DNS staat de bijbehorende openbare sleutel. De ontvanger controleert daarmee of de mail echt van jouw domein komt en onderweg niet is aangepast.

In Microsoft 365 zet je DKIM aan in de Microsoft Defender-portal, op de pagina voor e-mailverificatie (in de Engelse versie: Email & collaboration, Policies & rules, Threat policies, Email authentication settings), tabblad DKIM. Daar zie je twee CNAME-records, selector1._domainkey en selector2._domainkey, die je bij je DNS-partij toevoegt. Daarna zet je het ondertekenen aan. Andere diensten die namens je domein mailen, zoals een nieuwsbriefprogramma, hebben vaak hun eigen DKIM-instelling.

DMARC: wat doet de ontvanger met mail die niet klopt?

DMARC (Domain-based Message Authentication, Reporting and Conformance) brengt alles samen. Het controleert of het afzenderadres dat de ontvanger ziet, past bij een geslaagde SPF- of DKIM-controle. En het vertelt de ontvanger wat er moet gebeuren met mail die niet klopt:

• p=none: niets bijzonders doen, alleen rapporteren. Hiermee begin je.
• p=quarantine: de mail als verdacht behandelen, meestal in de map ongewenste e-mail.
• p=reject: de mail weigeren.

Een DMARC-record is een TXT-record met de naam _dmarc. Een eerste versie kan er zo uitzien:

v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl

Met rua krijg je dagelijks rapporten van grote mailproviders: welke servers mail hebben verstuurd met jouw domein, en of die door de controles kwamen. Microsoft raadt aan om die rapporten in een aparte mailbox te laten binnenkomen en te beginnen met p=none, daarna naar quarantine te gaan en uiteindelijk naar reject (zo beschrijft Microsoft de uitrol). De rapporten zijn XML-bestanden; een DMARC-rapportagedienst maakt ze leesbaar.

Stappenplan voor een klein bedrijf

1. Maak een lijst van alles wat namens je domein mailt. Microsoft 365, je website, je nieuwsbriefprogramma, je boekhoud- of factuurpakket, je webshop, je CRM.
2. Zet SPF goed. Eén record, met alle diensten erin, eindigend op -all.
3. Zet DKIM aan in Microsoft 365 en bij de andere diensten die het ondersteunen.
4. Maak een DMARC-record met p=none en een adres voor de rapporten.
5. Lees een paar weken de rapporten mee. Valt er een dienst buiten de boot, zoals je factuurpakket, voeg die dan toe aan SPF of zet er DKIM aan.
6. Ga naar p=quarantine als alle echte mail door de controles komt.
7. Ga naar p=reject. Nu kunnen oplichters je domein bijna niet meer als afzender gebruiken.
8. Vergeet je ongebruikte domeinen niet. Heb je domeinnamen waar je niet mee mailt? Volgens Microsoft zet je daar v=spf1 -all als SPF en v=DMARC1; p=reject; als DMARC, zodat niemand ze kan misbruiken.

Heb je geen eigen IT-kennis in huis, laat dit dan doen door je IT-partner of de partij waar je domein geregistreerd staat. Het is een klein werk met een groot effect.

Wil je het helemaal uit handen geven? Met de add-on Gentic Domeinbescherming stellen wij SPF, DKIM en DMARC per domein in en houden we de rapporten voor je bij.

Waarom het steeds belangrijker wordt

Grote mailproviders zijn strenger geworden. Sinds februari 2024 moet iedereen die naar Gmail mailt volgens de richtlijnen van Google minimaal SPF of DKIM hebben. Wie meer dan 5.000 mails per dag naar Gmail stuurt, heeft SPF, DKIM en DMARC nodig. Zonder deze instellingen loop je dus ook het risico dat je eigen, echte mail in de spam belandt.

Wat SPF, DKIM en DMARC niet doen

Deze drie beschermen je eigen domeinnaam. Ze houden niet tegen:

• mail van een domein dat erop lijkt, zoals jouwbedrijf-nl.com of jouwbedrjf.nl;
• mail met alleen een misleidende weergavenaam, zoals "Directeur Jan" vanaf een willekeurig Gmail-adres;
• mail uit een echt account dat is overgenomen, want die komt gewoon door alle controles.

Juist die vormen zie je bij CEO-fraude en nepfacturen. Daarom heb je naast SPF, DKIM en DMARC ook e-mailbeveiliging nodig die binnenkomende phishing tegenhoudt, en medewerkers die verdachte mail herkennen, bijvoorbeeld door security awareness training.

Test het zelf

Controleer je domein gratis met onze SPF-, DKIM- en DMARC-check. Je ziet in een paar seconden per onderdeel wat goed staat en wat beter kan, in gewone taal. Wil je een uitgebreidere toets, doe dan ook de e-mailtest van internet.nl, een initiatief van de internetgemeenschap en de Nederlandse overheid.

Wil je weten wat er verder van buitenaf over je bedrijf zichtbaar is, zoals de instellingen van je mailserver, open diensten en gelekte inloggegevens? Vraag een gratis kwetsbaarhedenscan aan. Liever eerst sparren? Plan een gratis demo.