E-mail is ontworpen zonder controle op de afzender. Zoals iedereen elk afzenderadres op een envelop kan schrijven, kan iedereen een bericht versturen met info@jouwbedrijf.nl als afzender. Criminelen gebruiken dat voor factuurfraude: een “leverancier” mailt een gewijzigd rekeningnummer, of “de directeur” vraagt om een spoedbetaling.

Met drie DNS-records kunnen ontvangende mailservers controleren of een bericht echt van jou komt. Het instellen kost een paar minuten. Het meeste werk zit in uitzoeken welke diensten namens jou mailen.

De drie records

SPF (Sender Policy Framework) is een lijst met servers die namens jouw domein mogen mailen. Een ontvanger vergelijkt de server die een bericht aflevert met die lijst.

DKIM (DomainKeys Identified Mail) zet een digitale handtekening op elk uitgaand bericht. De ontvanger controleert die handtekening met een openbare sleutel in je DNS. Een geldige handtekening bewijst dat het bericht van een server met jouw sleutel komt, en onderweg niet is veranderd.

DMARC verbindt die twee. Het vertelt ontvangers wat ze moeten doen met een bericht dat van jouw domein zegt te komen maar niet slaagt voor SPF en DKIM: toch afleveren (none), in de spam zetten (quarantine) of weigeren (reject). Daarnaast krijg je er rapporten mee over wie er op jouw naam mailt.

Zonder DMARC zijn SPF en DKIM vooral een advies. Met DMARC op reject wordt nagemaakte mail van je domein geweigerd door Gmail, Outlook en alle andere grote providers.

Stap 1: kijk waar je staat

Controleer je domein met de e-maildomein check. Je ziet welke van de drie records er zijn en of ze goed zijn ingesteld.

Stap 2: zet op een rij wat er namens jou mailt

Dit is de stap waar je even over moet nadenken. Naast je mailprovider gaat het om:

  • nieuwsbrief- en marketingtools
  • je webshop of boekingssysteem, dat orderbevestigingen stuurt
  • boekhoud- en facturatiesoftware die facturen mailt
  • een contactformulier op je website
  • printers of scanners die scans per mail versturen

Elk daarvan moet in SPF staan of met DKIM ondertekenen. Anders wordt de mail geweigerd zodra DMARC handhaaft.

Stap 3: publiceer SPF en DMARC

De SPF- en DMARC-generator maakt beide records op basis van je lijst. Zet ze bij je domeinregistrar of hostingpartij. Een domein mag maar één SPF-record hebben, dus vervang een bestaand record in plaats van er een tweede bij te zetten.

Begin DMARC met p=none en een rapportadres. Voor de aflevering verandert er dan niets, maar je krijgt wel rapporten.

Stap 4: zet DKIM aan en maak DMARC strenger

Zet DKIM aan in het beheerpaneel van je mailprovider, en van je nieuwsbrieftool als die het ondersteunt. De provider maakt de sleutels en vertelt je welke records je moet toevoegen.

Lees de DMARC-rapporten twee tot vier weken. Staan er alleen nog je eigen diensten in, zet het beleid dan op quarantine, en na nog een paar weken op reject.

Domeinen die je niet voor mail gebruikt

Domeinen die nooit mailen zijn aantrekkelijk voor spoofing, omdat niemand erop let. Geef ze een set records die alles weigert: SPF v=spf1 -all en DMARC p=reject. De generator maakt die set als je aangeeft dat het domein niet mailt.

Veelgemaakte fouten

  • Twee SPF-records. Dan is SPF ongeldig en werkt het helemaal niet.
  • Te veel includes. SPF staat maximaal 10 DNS-lookups toe, geneste includes meegeteld. Haal diensten weg die je niet meer gebruikt.
  • Voor altijd op p=none blijven. Dat meet, maar beschermt niets.
  • +all aan het eind van SPF. Dat staat elke server ter wereld toe.