Een klant belt: “Ik heb een factuur van jullie gekregen met een ander rekeningnummer, klopt dat?” U heeft niets gestuurd. Toch staat uw bedrijfsnaam en uw e-mailadres als afzender in het bericht. Dit is e-mailspoofing, en het is onthutsend eenvoudig. Het e-mailprotocol is ontworpen in een tijd waarin niemand loog over zijn afzender, en het controleert dus standaard helemaal niets.

Gelukkig zijn daar sindsdien drie aanvullingen op bedacht die samen wél werken. Deze SPF, DKIM en DMARC uitleg is bedoeld voor ondernemers die geen systeembeheerder zijn, maar wel willen begrijpen wat ze bij hun domein instellen en waarom. Aan het eind staat een stappenplan dat u zelf kunt uitvoeren of aan uw beheerder kunt doorgeven.

Waarom dit meer is dan een technisch detail

Spoofing heeft twee gevolgen. Het eerste is directe schade: klanten of leveranciers die een valse factuur betalen, medewerkers die op een “bericht van de directeur” een betaling uitvoeren, relaties die een besmette bijlage openen. Het tweede is sluipender: uw domein krijgt een slechte reputatie bij Gmail, Outlook en de zakelijke spamfilters. Uw échte mails, offertes en orderbevestigingen, komen steeds vaker in de spam terecht.

Sinds 2024 eisen Google en Yahoo bovendien van verzenders dat SPF en DKIM zijn ingesteld, en bij grotere volumes ook DMARC. Wie dat niet heeft, ziet zijn nieuwsbrieven en systeemmails steeds vaker geweigerd. Het is dus niet alleen bescherming, het is ook een voorwaarde om normaal te kunnen mailen.

SPF: wie mag namens u versturen

SPF (Sender Policy Framework) is een lijst in uw DNS met de servers die e-mail namens uw domein mogen versturen. Een ontvangende mailserver kijkt bij binnenkomst: komt dit bericht van een server op die lijst? Zo niet, dan is het verdacht.

Een SPF-record is één regel tekst. Een voorbeeld voor een bedrijf dat Microsoft 365 gebruikt en nieuwsbrieven via Laposta verstuurt:

v=spf1 include:spf.protection.outlook.com include:_spf.laposta.nl -all

Het slot “-all” betekent: alles wat niet op de lijst staat, afwijzen. De zachtere variant “~all” markeert alleen als verdacht. Twee valkuilen die wij vaak zien: er mag maar één SPF-record zijn per domein (twee records maken beide ongeldig), en het record mag hooguit tien “opzoekingen” bevatten. Wie veel diensten opneemt, komt daar snel overheen en dan werkt het hele record niet meer.

Vergeet ook uw website niet. Een WordPress-site die zelf mail verstuurt vanaf de hostingserver, moet in het SPF-record staan, anders komen contactformulieren en orderbevestigingen niet aan. Beter nog is het om de site via een echte mailserver te laten versturen; daarover leest u meer in ons artikel over SMTP instellen in WordPress.

DKIM: een handtekening onder elk bericht

SPF controleert de afzendserver, maar zegt niets over de inhoud. Daarvoor is DKIM (DomainKeys Identified Mail). Uw mailserver zet onder elk uitgaand bericht een digitale handtekening, gemaakt met een geheime sleutel. De bijbehorende openbare sleutel staat in uw DNS. De ontvanger controleert of de handtekening klopt. Is er onderweg iets aan het bericht veranderd of is het niet door uw server ondertekend, dan faalt de controle.

DKIM instellen is meestal een kwestie van twee stappen: in uw mailomgeving (Microsoft 365, Google Workspace, uw hostingpartij) de ondertekening aanzetten, en de records die u daar krijgt in uw DNS plaatsen. Elke dienst die namens u mailt, dus ook uw nieuwsbriefpakket, heeft een eigen DKIM-sleutel nodig. Het zijn vaak CNAME-records met een naam als selector1._domainkey.

DMARC: het beleid en de rapportage

SPF en DKIM zijn controles; DMARC (Domain-based Message Authentication, Reporting and Conformance) vertelt ontvangers wat ze met de uitkomst moeten doen én stuurt u rapporten. Ook dit is één DNS-record, op de naam _dmarc.uwdomein.nl:

v=DMARC1; p=none; rua=mailto:dmarc@uwdomein.nl

Het onderdeel “p=” is het beleid. Er zijn drie standen:

  • none: doe niets, stuur alleen rapporten. Hiermee begint u altijd.
  • quarantine: zet berichten die de controle niet halen in de spam.
  • reject: weiger ze helemaal. Dit is het doel.

De rapporten zijn XML-bestanden die dagelijks binnenkomen en voor een mens vrijwel onleesbaar zijn. Gebruik een gratis of goedkope dienst die ze voor u samenvat. Daarin ziet u precies welke servers namens uw domein mailen, ook de vergeten boekhoudkoppeling en het CRM-pakket dat niemand meer gebruikt. Pas als alles wat legitiem is, netjes slaagt, zet u het beleid strenger.

Stappenplan in de juiste volgorde

  1. Inventariseer alles wat namens uw domein mailt: kantoormail, website, nieuwsbrief, boekhouding, ticketsysteem, webshopkoppelingen.
  2. Zet SPF op met alle legitieme bronnen en eindig op ~all. Controleer met een online SPF-checker dat het record geldig is en onder de tien opzoekingen blijft.
  3. Schakel DKIM in bij elke bron en plaats de records.
  4. Plaats DMARC met p=none en een rapportadres.
  5. Wacht twee tot vier weken en lees de rapporten. Voeg vergeten bronnen toe aan SPF en DKIM.
  6. Verhoog naar quarantine, eventueel eerst voor een percentage (pct=25). Na een paar rustige weken naar reject en SPF naar -all.
  7. Beveilig ook domeinen die u niet gebruikt voor mail: een SPF met alleen “-all” en een DMARC met reject.

Een voorbeeld uit de praktijk

Een installatiebedrijf in Alkmaar kreeg in een week drie klanten aan de lijn over valse facturen “van de administratie”. Het domein had een SPF-record uit 2016 dat verwees naar een hostingpartij waar ze al jaren weg waren, geen DKIM en geen DMARC. Na het inventariseren bleken er zes legitieme afzenders te zijn, waarvan twee die niemand meer op het netvlies had. Binnen een maand stond het beleid op reject. De valse facturen kwamen daarna nog wel binnen bij de crimineel zijn eigen testadres, maar niet meer bij de klanten. Bijkomend voordeel: de orderbevestigingen vanuit de website, die bij Gmail-gebruikers geregeld in de spam belandden, kwamen weer gewoon aan.

Dat laatste is voor veel bedrijven de belangrijkste winst. Wie de website onderhoudt, moet daarom bij het inrichten van deze records betrokken zijn. Bij een beveiligingscontrole van uw website hoort wat ons betreft standaard een blik op de mailrecords, omdat een site die mails verstuurt zonder dat het domein daarop is ingericht, simpelweg niet goed werkt.

Tot slot

De drie records kosten samen misschien een dagdeel, verdeeld over een paar weken. Daarna is het voor een crimineel niet meer mogelijk om zomaar uw naam te lenen, en komt uw eigen post beter aan. Weet u niet waar uw DNS wordt beheerd of wie de inloggegevens heeft, begin dan daar; ons artikel met uitleg over DNS voor ondernemers helpt u op weg.