Netwerk en beveiliging
SPF, DKIM en DMARC uitgelegd: waarom komt je mail in de spam?
Kort antwoord
SPF, DKIM en DMARC zijn drie instellingen in de DNS van je domein waarmee een ontvanger kan controleren of een mail echt van jou komt. SPF zegt welke servers namens je domein mogen mailen. DKIM zet een digitale handtekening onder elk bericht. DMARC vertelt de ontvanger wat hij moet doen als die twee niet kloppen. Ontbreken ze of staan ze verkeerd, dan belandt je mail vaker in de spam en kan iemand anders mailen uit jouw naam.
Waarom bestaat dit eigenlijk?
Omdat e-mail is ontworpen in een tijd waarin iedereen elkaar vertrouwde. Het afzenderadres van een bericht is een tekstveld. Er is niets in de basis van e-mail dat controleert of info@jouwbedrijf.nl ook echt van jouw bedrijf komt.
Daar zijn later drie controles overheen gelegd. Ze staan alle drie als tekstregel in de DNS van je domein, de plek waar ook staat op welke server je website draait.
Wat doet SPF?
SPF is een lijst. Er staat in welke mailservers namens jouw domein mogen versturen. De ontvangende server kijkt waar het bericht vandaan komt en legt dat naast de lijst.
Mail je alleen via Microsoft 365, dan is de lijst kort. Het wordt ingewikkelder zodra andere systemen ook mailen uit jouw naam: het boekhoudpakket dat facturen verstuurt, de webshop met orderbevestigingen, het nieuwsbriefprogramma, het contactformulier op de website. Elk daarvan moet op de lijst, anders komt hun mail niet door de controle.
Wat doet DKIM?
DKIM zet een handtekening onder elk bericht. De verzendende server ondertekent de mail met een geheime sleutel. De bijbehorende openbare sleutel staat in je DNS, zodat de ontvanger kan nagaan of de handtekening klopt en of er onderweg niets aan het bericht is veranderd.
DKIM overleeft doorsturen beter dan SPF. Stuurt iemand je mail door naar een ander adres, dan klopt de afzendende server niet meer met je SPF-lijst, maar de handtekening blijft geldig.
Wat doet DMARC?
DMARC is de afspraak erbovenop. Het zegt twee dingen tegen de ontvanger:
- Het adres dat de lezer ziet, moet overeenkomen met het domein dat door SPF of DKIM is goedgekeurd.
- Wat er moet gebeuren met mail die daar niet aan voldoet: niets, naar de spam, of weigeren.
Daarnaast vraagt DMARC de ontvangers om rapporten terug te sturen. Daarin staat welke servers er namens jouw domein mailen en of ze slagen. Die rapporten zijn de manier om te ontdekken welke systemen je bent vergeten.
| Wat het controleert | Wat het niet doet | |
|---|---|---|
| SPF | Of de verzendende server op jouw lijst staat | Werkt niet goed bij doorgestuurde mail |
| DKIM | Of het bericht is ondertekend en onderweg ongewijzigd bleef | Zegt niets over wat de ontvanger moet doen |
| DMARC | Of het zichtbare adres klopt met SPF of DKIM, en wat er anders gebeurt | Werkt alleen als de andere twee goed staan |
Waar gaat het meestal mis?
Een vergeten afzender. De nieuwsbrief wordt verstuurd via een extern programma dat nooit in SPF is opgenomen en niet met DKIM ondertekent. Zolang het beleid op none staat, merk je niets. Zet iemand het op reject, dan komen de nieuwsbrieven niet meer aan.
Twee SPF-records. Elke leverancier schrijft in zijn handleiding dat je “een SPF-record toevoegt”. Na drie leveranciers staan er drie, en geen ervan telt nog.
DMARC staat al jaren op none. Het record is er, dus de controle van Google en Microsoft is tevreden. Maar none beschermt nergens tegen: iemand kan nog steeds mailen uit jouw naam.
DKIM staat niet aan. In Microsoft 365 is DKIM voor je eigen domein een instelling die iemand moet inschakelen. Bij veel omgevingen die we overnemen, is dat nooit gebeurd.
In welke volgorde stel je het in?
- Inventariseren. Welke systemen versturen mail met jouw domein als afzender? Dit is het meeste werk en het deel dat bedrijfskennis vraagt.
- SPF en DKIM op orde. Eén SPF-record met alle afzenders, DKIM aan voor elk systeem dat het ondersteunt.
- DMARC op none, met rapporten. Een paar weken meekijken wie er nog meer mailt.
- Aanscherpen. Eerst naar quarantine, daarna naar reject, als de rapporten schoon zijn.
Stap 4 overslaan is de meest gemaakte keuze en de reden dat spoofing nog werkt. Stap 1 overslaan is de reden dat facturen ineens niet meer aankomen.
Bij zakelijke e-mail en DNS-beheer doen wij dit als onderdeel van de inrichting. Het is ook een van de eerste dingen die we nalopen bij beveiliging van Microsoft 365.