SPF, DKIM en DMARC goed instellen

Een professioneel e-mailadres is pas echt betrouwbaar als ontvangende mailservers kunnen controleren dat berichten daadwerkelijk namens jouw domein mogen worden verzonden. SPF, DKIM en DMARC zijn de drie belangrijkste technieken daarvoor. Ze lossen niet ieder afleverprobleem op, maar zonder goede authenticatie is de kans op blokkades en spamplaatsing duidelijk groter, vooral bij grote providers zoals Gmail en Microsoft.

SPF: welke servers mogen namens je domein verzenden?

SPF staat voor Sender Policy Framework. Via een TXT-record in DNS geef je aan welke servers of diensten e-mail namens je domein mogen versturen. Een ontvangende mailserver vergelijkt het verzendende IP-adres met dat beleid.

Gebruik in principe één SPF-record per domein. Als je zowel je eigen mailserver als een externe nieuwsbriefdienst gebruikt, moeten die in hetzelfde beleid worden gecombineerd. Twee losse SPF-records kunnen een permanente fout veroorzaken waardoor SPF niet betrouwbaar kan worden beoordeeld.

DKIM: een digitale handtekening op je bericht

DKIM staat voor DomainKeys Identified Mail. De verzendende mailserver ondertekent ieder bericht cryptografisch met een private sleutel. De bijbehorende publieke sleutel staat in DNS onder een selector, bijvoorbeeld hostey1._domainkey. De ontvangende server kan daarmee controleren of de handtekening geldig is en of belangrijke delen van het bericht onderweg niet zijn gewijzigd.

De private sleutel hoort uitsluitend op de verzendende mailomgeving te staan. Publiceer alleen de publieke sleutel in DNS. Gebruik bij voorkeur moderne sleutellengtes en roteer sleutels periodiek wanneer je mailplatform dat ondersteunt.

DMARC brengt SPF en DKIM samen

DMARC controleert niet alleen of SPF of DKIM technisch slaagt, maar ook of het gecontroleerde domein aansluit bij het domein dat de ontvanger in de zichtbare afzender ziet. Dat heet alignment. Daarmee wordt het moeilijker voor iemand om een bericht te laten lijken alsof het van jouw domein komt terwijl de authenticatie op een ander domein plaatsvindt.

Een DMARC-record kan daarnaast aangeven wat ontvangende servers mogen doen als controles mislukken. Veel organisaties starten met p=none om te monitoren. Daarna kan beleid worden aangescherpt naar quarantine en uiteindelijk reject, maar pas wanneer alle legitieme verzendbronnen correct zijn ingericht.

Waarom alleen SPF niet genoeg is

SPF controleert de verzendende infrastructuur, maar kan problemen krijgen bij forwarding omdat het uiteindelijke doorstuur-IP niet in jouw SPF-record staat. DKIM reist als handtekening met het bericht mee en kan zo’n doorsturing vaak beter overleven. DMARC accepteert vervolgens een geldig aligned resultaat van SPF of DKIM.

Daarom werkt de combinatie sterker dan één techniek afzonderlijk.

Een veilige implementatievolgorde

1. Maak een lijst van alle systemen die namens je domein e-mail verzenden.
2. Maak één correct SPF-record voor die verzendbronnen.
3. Activeer DKIM op iedere maildienst en publiceer de juiste publieke sleutels.
4. Controleer of SPF en DKIM bij echte testmails slagen.
5. Start DMARC met monitoring en controleer rapportages.
6. Scherp beleid pas aan als legitieme mailstromen correct aligned zijn.

Veelgemaakte fouten

Een klassieke fout is een nieuw mailsysteem toevoegen zonder SPF aan te passen. Het bericht wordt dan wel verzonden, maar de ontvangende server ziet een IP-adres dat niet is toegestaan. Een andere fout is een DKIM-record op de verkeerde selector plaatsen of een sleutel met extra aanhalingstekens of regelafbrekingen opslaan die de DNS-provider anders interpreteert.

Ook een streng DMARC-beleid te vroeg activeren kan legitieme mail blokkeren. Controleer daarom eerst nieuwsbrieven, factuursystemen, formulieren, supportsoftware en applicaties die zelfstandig mail versturen.

PTR en reputatie blijven ook belangrijk

Voor een eigen mailserver zijn SPF, DKIM en DMARC niet de enige factoren. Het verzendende IP-adres hoort een passende reverse DNS/PTR te hebben. De hostname moet logisch aansluiten op de mailserver en voorwaarts weer naar hetzelfde IP kunnen verwijzen. Daarnaast spelen IP-reputatie, verzendvolume, klachten en berichtinhoud een rol.

Een nieuw IP-adres zonder historie moet je niet meteen gebruiken voor grote hoeveelheden mail. Bouw volume rustig op en voorkom onnodige bulkmail vanaf dezelfde infrastructuur als transactionele account- en 2FA-mails.

Hoe controleer je of het goed werkt?

Stuur een testbericht naar verschillende providers en bekijk de originele headers. Daarin zie je meestal resultaten voor SPF, DKIM en DMARC. Zoek naar PASS en controleer welk domein aligned is. Kijk bij problemen ook naar de SMTP-response: een foutcode van de ontvangende server geeft vaak veel concretere informatie dan alleen “mail niet aangekomen”.

Van monitoring naar streng beleid

Begin met DMARC-monitoring wanneer je nog niet zeker weet welke diensten mail verzenden. Zodra je rapportages stabiel zijn en alle legitieme bronnen goed staan, kun je een percentage van mislukte mail in quarantaine laten plaatsen. Daarna kun je naar reject. Zo bouw je bescherming gecontroleerd op zonder onbedoeld je eigen berichten te blokkeren.

Goed ingestelde e-mailauthenticatie maakt spoofing moeilijker en geeft ontvangende providers meer vertrouwen in je berichten. Combineer SPF, DKIM en DMARC daarom altijd met goed serverbeheer, een correcte PTR en nette verzendpraktijken. Dan ontstaat een solide basis voor zakelijke e-mail die betrouwbaar kan worden gecontroleerd.