SPF, DKIM en DMARC uitgelegd zonder jargon

Je bent de termen SPF, DKIM en DMARC vast weleens tegengekomen, misschien in een melding van je hostingpartij of in een uitleg waarom een mail niet aankwam. Het zijn geen losse trucjes maar drie onderdelen die samen bepalen of mail die zogenaamd van jouw bedrijf komt, ook echt van jou komt. Zonder deze instellingen kan iemand anders e-mail versturen alsof die vanaf jouw adres verstuurd is, en dat merk je meestal pas als een klant je erop wijst. Deze pagina legt uit wat elk onderdeel doet, met vergelijkingen uit het gewone leven, en waarom je alle drie nodig hebt om het probleem echt op te lossen. We nemen ook de lastige onderdelen mee, zoals de grens bij SPF en de fase waarin DMARC nog niets tegenhoudt.

Wat deze drie letterwoorden eigenlijk proberen op te lossen

E-mail werkt van oorsprong als een briefkaart. Iedereen kan bij de afzender invullen wat hij wil, ook jouw naam en jouw domein. Er zit van nature geen controle op wie de brief daadwerkelijk verstuurd heeft, alleen op wat er als afzender bij staat. Dat is de reden dat mensen mail kunnen versturen die eruitziet alsof die van jouw bedrijf komt, terwijl jij er niets van weet.

SPF, DKIM en DMARC zijn drie afzonderlijke manieren om dat gat te dichten, elk vanuit een andere invalshoek. Geen van de drie lost het probleem alleen op, ze vullen elkaar aan. Dat is meteen de reden dat je ze vaak in één adem hoort noemen, ook al doen ze iets heel verschillends.

SPF: de gastenlijst bij de voordeur

SPF staat voor Sender Policy Framework en werkt eigenlijk als een gastenlijst bij de deur van een hotel. Je zet in je DNS instellingen, dat is het adresboek van internet voor jouw domein, welke systemen namens jou e-mail mogen versturen. Denk aan je eigen mailprogramma, maar ook aan een nieuwsbriefdienst of een boekhoudpakket dat facturen mailt uit jouw naam.

Als een ontvangende mailserver een bericht binnenkrijgt dat zegt van jouw domein te komen, checkt die server de gastenlijst. Staat het verzendende systeem er niet op, dan is dat een signaal dat er iets niet klopt. Het zegt dus niets over de inhoud van de mail, alleen over de vraag of de afzender wel bevoegd was om namens jou te spreken.

DKIM: het zegel op de envelop

DKIM, DomainKeys Identified Mail, werkt anders. Waar SPF kijkt wie er aan de deur staat, kijkt DKIM of de brief onderweg niet is opengemaakt en veranderd. Elke mail krijgt een digitale handtekening mee die is gekoppeld aan jouw domein, vergelijkbaar met een zegel op een envelop dat breekt zodra iemand eraan knoeit.

De ontvangende server controleert dat zegel met een sleutel die publiekelijk bij jouw domein hoort. Klopt het zegel, dan weet de ontvanger dat de inhoud niet is aangepast sinds het verzenden en dat de mail echt via een systeem is gegaan dat de sleutel van jouw domein kent. Het zegt niets over wie er precies mocht versturen, dat is weer het domein van SPF.

DMARC: de instructie aan de receptie

DMARC voegt de laatste stap toe: het vertelt de ontvangende mailserver wat die moet doen als SPF of DKIM niet kloppen. Zie het als een instructie die je aan de receptie van je bedrijf geeft: als iemand zich voordoet als de directeur maar geen geldige pas kan laten zien, wat moet er dan gebeuren? Moet de bezoeker gewoon doorlopen, apart gezet worden, of de deur uit?

DMARC heeft drie standen: niets doen en alleen melden, in quarantaine zetten wat meestal betekent dat het in de spammap belandt, of helemaal weigeren. Daarnaast regelt DMARC dat je rapporten krijgt van grote mailproviders over wie er namens jouw domein mail probeert te versturen. Dat is vaak de eerste keer dat bedrijven zien hoeveel systemen er eigenlijk uit hun naam mailen.

Waarom je alle drie nodig hebt en niet één ervan

Met alleen SPF weet je of het verzendende systeem op de gastenlijst staat, maar niet of de inhoud onderweg is aangepast en er is geen instructie voor wat er moet gebeuren als het misgaat. Met alleen DKIM weet je dat de inhoud niet is gewijzigd, maar niet of de afzender wel bevoegd was. Beide zeggen dus iets anders en geen van beide vertelt de ontvangende server wat die met een mislukte controle aan moet.

DMARC is de schakel die SPF en DKIM verbindt en er een besluit aan koppelt. Zonder DMARC kunnen SPF en DKIM prima ingesteld staan, maar heeft niemand ooit besloten wat er gebeurt als een van de twee faalt, en krijg je ook geen rapportage om te zien of het systeem werkt. Daarom is het altijd alle drie, nooit een losse keuze.

De grens van tien opzoekacties bij SPF

SPF heeft een technische beperking die weinig mensen kennen tot ze er tegenaan lopen. Je SPF regel kan verwijzen naar andere domeinen, bijvoorbeeld omdat je nieuwsbriefdienst of je boekhoudpakket een eigen regel heeft die je moet opnemen. Elke zo'n verwijzing heet een opzoekactie, en daar mogen er maximaal tien van in je SPF regel staan.

Gebruik je meerdere diensten die allemaal mailen namens jouw domein, denk aan een nieuwsbrieftool, een factuursysteem, een helpdeskpakket en je eigen mailhosting, dan loop je dat aantal sneller vol dan je zou denken. Kom je boven de tien uit, dan werkt SPF voor je hele domein niet meer betrouwbaar, ook niet voor de mail die wel gewoon van jou komt. Dit is een van de weinige plekken waar minder diensten koppelen daadwerkelijk technisch voordeel oplevert.

Waarom p=none een startpunt is en geen eindpunt

Als je voor het eerst een DMARC regel instelt, begin je bijna altijd met de instelling p=none. Dat betekent dat er nog niets wordt tegengehouden of in de spammap gezet, je verzamelt alleen rapporten over wie er mail verstuurt namens jouw domein. Het is te vergelijken met een proefperiode waarin je observeert voordat je een regel echt gaat handhaven.

Het probleem is dat veel bedrijven bij p=none blijven hangen, vaak omdat het instellen ervan al als afgerond voelt. Zolang je op p=none staat, biedt DMARC geen enkele bescherming tegen misbruik van je domeinnaam, het geeft je alleen inzicht. Pas als je de rapporten hebt bekeken, weet welke systemen legitiem namens jou mailen, en die goed hebt opgenomen in SPF en DKIM, kun je veilig doorschakelen naar quarantine en uiteindelijk naar reject.

Hoe je dit zelf checkt en instelt, zonder betaalde hulp

Je kunt zelf controleren hoe het ervoor staat zonder technische achtergrond. Er bestaan gratis controletools waarin je alleen je domeinnaam hoeft in te typen, waarna je te zien krijgt of er een SPF regel, een DKIM sleutel en een DMARC regel actief zijn, en of ze goed zijn opgebouwd. Zoek op zulke tools met de term domeincheck e-mailbeveiliging, de meeste geven in gewone taal aan wat er ontbreekt.

Het instellen zelf gebeurt via de DNS instellingen van je domein, iets wat je meestal beheert bij de partij waar je je domeinnaam of hosting hebt afgenomen. Log in op dat beheerpaneel, zoek naar het onderdeel DNS of domeininstellingen, en daar kun je de tekstregels voor SPF, DKIM en DMARC toevoegen. De meeste hostingpartijen hebben hier een uitlegpagina voor of een helpdesk die je er kosteloos doorheen helpt, aangezien het om standaardwerk gaat en geen maatwerk.

Blijft het goed staan?

Als je dit hebt opgelost is het goed, maar het blijft niet vanzelf goed. Dit soort instellingen verschuift bij een providerwissel, een nieuwe tool of een verhuizing van je website, en omdat er geen foutmelding komt merk je het pas als iemand erover begint. Daarvoor is Wachter gemaakt: die kijkt elke dag of er iets verandert en stuurt een seintje.

Meer lezen: mail komt niet aan bij klanten en kan iemand mailen uit naam van je bedrijf.

Veelgestelde vragen