SPF, DKIM en DMARC eenvoudig uitgelegd voor ondernemers en bureaus

E-mail is ontworpen in een tijd waarin niemand verwachtte dat afzenders zouden liegen. Standaard kan iedereen op internet een bericht versturen waarin staat dat het van jouwdomein.nl komt, ook al heeft die persoon nooit toegang gehad tot jouw systemen. Dat heet spoofing, en het is de basis onder veel phishing en CEO-fraude.

SPF, DKIM en DMARC zijn de drie afspraken die dit probleem aanpakken. Ze worden gepubliceerd als records in je DNS, de adresboeklaag van je domein. Ontvangende mailservers van bijvoorbeeld Gmail, Outlook en zakelijke mailfilters lezen die records uit en bepalen op basis daarvan of een bericht echt van jou komt en wat ze met twijfelgevallen doen.

De inzet is dubbel. Aan de ene kant bescherm je je merk: niemand kan ongestraft namens jouw domein nepfacturen of phishing rondsturen. Aan de andere kant verbetert het je afleverbaarheid. Grote providers vertrouwen geauthenticeerde afzenders meer, waardoor je eigen nieuwsbrieven, offertes en orderbevestigingen minder snel in spam belanden. Sinds grote partijen zoals Google en Yahoo authenticatie verplicht stellen voor bulkverzenders, is dit geen optionele finishing touch meer maar een basisvoorwaarde.

SPF staat voor Sender Policy Framework. Het is in de kern een lijst: in een TXT-record in je DNS geef je op welke servers en diensten e-mail mogen versturen met jouw domein als afzender. Denk aan je eigen mailserver, je hostingprovider, maar ook aan externe diensten zoals Microsoft 365, Google Workspace, je nieuwsbriefsysteem, je boekhoudpakket en je webshopplatform.

Een SPF-record ziet er bijvoorbeeld uit als v=spf1 include:_spf.google.com include:spf.mailgun.org -all. De include-onderdelen verwijzen naar de diensten die namens jou mogen mailen. Het stukje aan het eind, -all of ~all, vertelt de ontvanger wat te doen met afzenders die niet op de lijst staan: hard weigeren of als zacht verdacht markeren.

SPF heeft twee bekende valkuilen. Ten eerste mag je per domein maar een SPF-record publiceren; meerdere records naast elkaar maken SPF ongeldig. Ten tweede geldt een limiet van tien DNS-lookups. Gebruik je veel externe diensten, dan loop je daar zomaar tegenaan en faalt SPF stilletjes. Houd je lijst daarom actueel en verwijder diensten die je niet meer gebruikt.

DKIM staat voor DomainKeys Identified Mail. Waar SPF kijkt naar de verzendende server, plakt DKIM een onzichtbare digitale handtekening op elk bericht zelf. Die handtekening wordt gemaakt met een geheime sleutel die alleen jouw verzendende systeem kent. De bijbehorende publieke sleutel zet je als record in je DNS.

De ontvangende server pakt de handtekening uit het bericht, haalt jouw publieke sleutel op uit DNS en controleert of beide bij elkaar passen. Klopt het, dan is bewezen dat het bericht echt van jouw domein komt en dat belangrijke onderdelen, zoals de afzender en de inhoud, onderweg niet zijn aangepast.

DKIM is sterker dan SPF op een belangrijk punt: het overleeft doorsturen. Als een bericht via een tussenstation of mailinglist gaat, breekt SPF vaak omdat de verzendende server verandert, terwijl de DKIM-handtekening intact blijft. In de praktijk regelt je mailprovider DKIM grotendeels: je activeert het in je beheerpaneel en zet de aangeleverde records klaar in DNS. Roteer de sleutels af en toe en bewaar de geheime sleutel nooit ergens publiek toegankelijk.

SPF en DKIM zijn losse controles. DMARC, voluit Domain-based Message Authentication, Reporting and Conformance, is de dirigent erboven. Het bepaalt drie dingen: welke controle moet slagen, wat de ontvanger moet doen als het misgaat, en waar rapportages naartoe gaan.

DMARC voegt het begrip alignment toe. Het is niet genoeg dat SPF of DKIM technisch slaagt; het domein in die controles moet ook overeenkomen met het zichtbare afzenderadres dat de ontvanger ziet. Zo voorkom je dat iemand een geldige handtekening van een ander domein misbruikt om jouw naam geloofwaardig te maken.

Een DMARC-record bevat een beleid via de p-parameter. p=none betekent alleen meekijken en rapporteren, zonder gevolgen. p=quarantine laat verdachte berichten in de spammap belanden. p=reject weigert ze volledig. Daarnaast stuurt DMARC dagelijkse rapporten naar een adres dat je opgeeft. Die rapporten zijn goud waard: ze laten precies zien wie er namens jouw domein mailt, inclusief diensten die je misschien vergeten was of misbruik dat je nog niet kende.

De grootste fout bij e-mailauthenticatie is te hard van stapel lopen. Wie meteen p=reject instelt zonder voorbereiding, blokkeert vaak zijn eigen legitieme post: de nieuwsbrieftool die niet in SPF stond, het boekhoudpakket zonder DKIM, de externe afspraakplanner. Klanten ontvangen je facturen niet meer en je merkt het pas als het te laat is.

De verstandige route is gefaseerd. Begin met SPF en DKIM correct ingericht voor al je verzendende diensten. Publiceer DMARC eerst op p=none, puur om te monitoren. Laat de rapporten enkele weken binnenkomen en breng in kaart welke bronnen namens jou mailen. Pas wanneer alle legitieme verzenders netjes door SPF of DKIM komen, schaal je beleid op naar quarantine en daarna naar reject.

Voor bureaus die meerdere klantdomeinen beheren is dit een terugkerend proces dat baat heeft bij structuur. Een periodieke scan maakt zichtbaar of records nog kloppen na hosting- of dienstwijzigingen, en of een ooit goed ingesteld domein stilletjes is teruggevallen. De gratis CheckBorg-scan controleert onder meer de aanwezigheid van SPF, DKIM en DMARC en geeft per domein aan welke punten aandacht verdienen, zonder te doen alsof drie records alle phishing oplossen.