SPF, DKIM en DMARC uitgelegd

Iedereen kan in een e-mail ieder afzendadres invullen. Dat is hoe phishing werkt: een mail die lijkt te komen van jouw bank, of van jouw domein. SPF, DKIM en DMARC zijn drie instellingen in je DNS waarmee een ontvanger kan controleren of een mail echt namens jouw domein is verstuurd. Heb je een eigen domein, dan wil je ze alle drie goed hebben, ook als je er zelf bijna geen mail mee stuurt.

Je controleert ze in één keer met onze E-mailcheck. Hieronder lees je wat elk onderdeel doet.

SPF: welke servers mogen mail sturen?

SPF (Sender Policy Framework) is een TXT-record op je domein met een lijst van de servers die namens jou mogen mailen. Een ontvanger kijkt of de server die de mail aflevert op die lijst staat.

voorbeeld.nl.  TXT  "v=spf1 mx include:spf.mijnmailprovider.nl -all"

Zo lees je het:

v=spf1: dit is een SPF-record.
mx: de mailservers van het domein zelf mogen sturen.
ip4:203.0.113.10: een vast IP-adres mag sturen (die wordt hier niet gebruikt, maar zie je vaak).
include:...: de lijst van een andere partij telt ook mee, bijvoorbeeld je mailprovider of nieuwsbriefdienst.
-all: alles wat er niet in staat, wijs af. Met ~all (softfail) markeert de ontvanger het als verdacht maar wijst het niet per se af. ?all betekent “geen mening”.

Let op:

Je mag maar één SPF-record per domein hebben. Twee records geven een fout, dan werkt SPF helemaal niet.
Een SPF-controle mag maximaal 10 DNS-opzoekingen doen (via include, a, mx en dergelijke). Stapel je te veel diensten, dan faalt de controle.
SPF kijkt naar het technische afzendadres (de envelope sender), niet naar het adres dat de lezer als “Van” ziet.
Bij doorsturen gaat SPF vaak stuk: de doorsturende server staat niet in jouw lijst.

DKIM: een handtekening onder de mail

Bij DKIM (DomainKeys Identified Mail) zet de verzendende server een digitale handtekening in de kop van elke mail. Die maakt hij met een privésleutel die alleen hij heeft. De bijbehorende publieke sleutel staat in je DNS. De ontvanger haalt die op en controleert of de mail onderweg niet is aangepast en echt van jouw domein komt.

De sleutel staat onder een naam met een selector, die je mailprovider kiest:

selector1._domainkey.voorbeeld.nl.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

Je zet DKIM meestal aan in het beheer van je mailprovider, die vertelt welk record je moet aanmaken. In de mailkop zie je het terug als DKIM-Signature: ... d=voorbeeld.nl; s=selector1; .... Het voordeel ten opzichte van SPF: een DKIM-handtekening blijft bij doorsturen meestal geldig.

DMARC: wat moet de ontvanger doen bij een mislukte controle?

DMARC (Domain-based Message Authentication, Reporting and Conformance) bouwt op SPF en DKIM voort. Het doet twee dingen:

Het eist dat SPF of DKIM niet alleen slaagt, maar ook past bij het “Van”-adres dat de lezer ziet (alignment).
Het vertelt de ontvanger wat hij met mislukte mail moet doen, en waar hij een rapport naartoe stuurt.

Het record staat op _dmarc:

_dmarc.voorbeeld.nl.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@voorbeeld.nl"

p=none: doe niets, stuur alleen rapporten. Hier begin je.
p=quarantine: zet mislukte mail in de spam.
p=reject: weiger mislukte mail.
rua=mailto:...: het adres waar dagelijkse samenvattingen heen gaan.

In welke volgorde zet je het aan?

Inventariseer wie er mail stuurt namens je domein: je mailprovider, een nieuwsbriefdienst, je website, een printer, Home Assistant of een andere server.
Zet SPF en DKIM goed voor al die afzenders.
Zet DMARC aan met p=none en lees een paar weken de rapporten. Je ziet dan welke afzenders nog niet kloppen.
Verscherp naar quarantine, en als alles klopt naar reject.

Als je die volgorde omdraait, loop je het risico dat je eigen, echte mail ineens wordt geweigerd.

Zelf controleren

De snelste manier is de E-mailcheck. Wil je de records zelf zien, dan kan dat met de DNS-lookup (kies TXT) of op de opdrachtregel:

dig +short TXT voorbeeld.nl
dig +short TXT _dmarc.voorbeeld.nl
dig +short TXT selector1._domainkey.voorbeeld.nl

Wil je weten bij wie een domein is geregistreerd of waar de nameservers staan, kijk dan bij Whois en domein-info.

Veelgemaakte fouten

Twee SPF-records na het toevoegen van een nieuwe dienst. Voeg de include toe aan het bestaande record.
Een afzender vergeten (de nieuwsbrief, de factuursoftware). Hun mail wordt dan als verdacht gezien.
Meteen p=reject zetten zonder eerst rapporten te lezen.
Het DKIM-record niet publiceren na het aanzetten bij de provider.
Verwachten dat dit spam tegenhoudt. Het beschermt tegen misbruik van jouw domein, het filtert geen binnenkomende spam.

Grote mailproviders zoals Google en Yahoo vragen sinds 2024 van wie veel mail verstuurt dat SPF, DKIM en DMARC kloppen. Ook als je weinig mail stuurt, helpt het dat je mail minder snel in de spam belandt.