SPF, DKIM en DMARC: e-mailauthenticatie uitgelegd

SPF, DKIM en DMARC zijn de drie DNS-records die samen bepalen of uitgaande e-mail vanaf jouw domein als betrouwbaar wordt gezien. Mist er één of staat hij verkeerd, dan belandt je mail sneller in de spambox van Gmail of Outlook, of wordt hij meteen geweigerd. Hieronder lees je per record wat het doet, met een voorbeeld voor jouw-website.nl, en in welke volgorde je ze het beste instelt.

Waarom drie records voor e-mail-authenticatie

SPF, DKIM en DMARC pakken elk een ander deel van spam en vervalste afzenders aan. Ze vullen elkaar aan, dus je hebt ze alle drie nodig.

• SPF (Sender Policy Framework) bepaalt welke verzendservers mail mogen versturen namens jouw domein. Het is een lijst met toegestane IP-adressen en hostnames.
• DKIM (DomainKeys Identified Mail) zet een cryptografische handtekening in elke uitgaande mail. De ontvanger haalt de publieke sleutel op via DNS en controleert of de mail onderweg niet is aangepast.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) vertelt de ontvangende mailserver wat hij moet doen als SPF of DKIM niet klopt: niets, naar de spambox of weigeren. Daarnaast stuurt DMARC rapporten over wie er namens jouw domein verzendt.

Sinds 2024 hanteren grote providers zoals Google en Yahoo strengere eisen. Zonder geldige SPF, DKIM en DMARC komt er merkbaar minder mail aan.

SPF, de lijst met toegestane verzenders

Een SPF-record is een TXT-record op de root van het domein. Het beschrijft welke mailservers namens dat domein mogen verzenden. De ontvangende server vergelijkt het IP-adres van de verzender met die lijst. Klopt het, dan is SPF pass; klopt het niet, dan kan de mail worden afgewezen of in de spambox belanden.

Bij zakelijke e-mail van Chessweb is SPF standaard ingericht. Verstuur je mail via de mailservers van Chessweb, dan staat er automatisch een record in DNS dat onze mailservers toestaat. Het ziet er voor jouw-website.nl uit als:

v=spf1 a mx include:_spf.chessweb.eu ~all

De onderdelen kort:

• v=spf1: dit is een SPF-record, versie 1.
• include:_spf.chessweb.eu: neem de toegestane IP-adressen van Chessweb-mailservers over. Voor domeinen die bij Chessweb gehost worden voegen we hier ook a en mx aan toe, zodat jouw eigen webserver en MX-record automatisch zijn toegestaan.
• ~all: alle overige afzenders zijn niet geautoriseerd en mogen door de ontvanger als softfail worden behandeld.

Verstuur je ook via een andere dienst, zoals Mailchimp, Microsoft 365, Google Workspace of SendGrid, dan voeg je hun include-mechanisme toe aan dezelfde regel. Er mag maar één SPF-record op een domein staan. Mail het gewenste record naar support@chessweb.eu, dan passen wij het aan.

DKIM, de cryptografische handtekening

DKIM voegt aan elke uitgaande mail een digitale handtekening toe in de header. De verzendende server ondertekent met een privé-sleutel; de ontvangende server haalt de bijbehorende publieke sleutel op via een TXT-record in DNS en controleert of de handtekening klopt. Komt de inhoud niet overeen met de handtekening, dan is DKIM fail.

DKIM stel je per verzendprovider in. Elke provider maakt een eigen sleutelpaar aan onder een eigen selector. De DNS-naam volgt het patroon <selector>._domainkey.jouw-website.nl. Een paar voorbeelden:

• Mailchimp publiceert CNAME-records met eigen selectors; je ziet ze in je Mailchimp-account.
• Microsoft 365 gebruikt selector1 en selector2.
• Google Workspace gebruikt standaard google.
• SendGrid publiceert drie CNAME-records die naar SendGrid-hosts wijzen.

De sleutel genereer je per provider in hun dashboard. Daar krijg je een TXT- of CNAME-record dat in DNS gepubliceerd moet worden op jouw-website.nl. Wijzig de waarde niet zelf, kopieer hem precies zoals de provider hem aanlevert. Mail het record naar support@chessweb.eu met domeinnaam, type, hostname en exacte waarde. Resellers met eigen DNS-beheer plaatsen het record zelf.

De stappen per provider en de checktools staan in DKIM-record instellen voor jouw domein.

DMARC, de policy voor de ontvanger

DMARC bouwt voort op SPF en DKIM. Het record vertelt de ontvangende mailserver wat hij moet doen als beide niet kloppen, en zorgt dat er rapporten naar een adres van jou gaan. Zo zie je wie er namens jouw domein verzendt en kun je gericht ontbrekende records toevoegen voordat je strenger wordt.

Het record staat op _dmarc.jouw-website.nl als TXT-record. Een veilige beginwaarde is:

v=DMARC1; p=none; rua=mailto:postmaster@jouw-website.nl

De belangrijkste parameters:

• p=none: alleen meekijken. De ontvanger weigert niets, maar stuurt wel rapportages. Dit is de aanbevolen startwaarde.
• p=quarantine: mail die faalt op SPF en DKIM mag naar de spambox.
• p=reject: mail die faalt wordt direct geweigerd. Strengste stand, alleen aanzetten wanneer rapportages volledig schoon zijn.
• rua=mailto:: het adres waar de verzamelrapporten naartoe gaan. Vaak postmaster@ op het eigen domein.

In welke volgorde stel je ze in?

SPF, DKIM en DMARC bouwen op elkaar voort. Stel ze in deze volgorde in:

1. Controleer eerst dat het SPF-record klopt. Zoek uit via welke kanalen jouw domein mail verstuurt: Chessweb-mail, een nieuwsbrieftool, Microsoft 365, een webformulier. Voeg alle benodigde include-mechanismen toe in één SPF-regel.
2. Voeg vervolgens per verzendprovider de DKIM-records toe. Genereer per kanaal de sleutel in het provider-dashboard en laat het bijbehorende DNS-record plaatsen.
3. Publiceer dan het DMARC-record met p=none en een rua-adres. Verzamel enkele weken rapportages om te zien of er onverwachte afzenders namens jouw domein verzenden.
4. Zijn de rapportages schoon en zit elke legitieme verzender in SPF en DKIM, zet dan p=quarantine en later eventueel p=reject.

Meer over mail die in de spambox belandt, lees je in Mijn e-mail komt in de spambox.