Als je ooit hebt opgezocht hoe je jouw e-mail kunt beveiligen, ben je ongetwijfeld gestuit op drie afkortingen: SPF, DKIM en DMARC. De meeste uitlegartikelen duiken meteen in de technische details, DNS-records, cryptografische sleutels, beleidsinstellingen. Na vijf minuten lezen ben je verder van huis dan je begon.
In dit artikel doen wij het anders. Wij leggen uit wat elk protocol doet in gewone taal, hoe de drie samenwerken, en wat er in de praktijk gebeurt als jij ze wél of níet hebt ingesteld. Technische details staan erbij voor wie ze wil maar je hebt ze niet nodig om te begrijpen waarom dit belangrijk is.
Waarom bestaan SPF, DKIM en DMARC?
E-mail is oud. Het protocol waarop e-mail werkt, SMTP, stamt uit 1982. In die tijd was het internet een besloten netwerk van universiteiten en overheidsinstanties. Beveiliging was geen prioriteit. Iedereen kende elkaar.
Het gevolg: SMTP controleert standaard niet of de afzender ook echt de eigenaar is van het opgegeven e-mailadres. Dat gat, veertig jaar later nog steeds aanwezig in de basis van e-mail, is de reden waarom criminelen zo eenvoudig e-mails kunnen versturen uit naam van jouw bedrijf.
SPF, DKIM en DMARC zijn de drie technische oplossingen die dit gat dichten. Ze zijn niet gebouwd in het SMTP-protocol zelf, maar als aanvullende laag eroverheen. Samen vormen ze het fundament van moderne e-mailauthenticatie.
SPF: de gastenlijst van jouw e-maildomein
Wat doet SPF?
Stel je voor dat jij een evenement organiseert. Aan de deur staat een beveiliger met een gastenlijst. Alleen mensen op die lijst mogen naar binnen. Iedereen die niet op de lijst staat, wordt geweigerd, ook al dragen ze een naamkaartje met jouw naam erop.
SPF werkt precies zo, maar dan voor e-mail.
SPF staat voor Sender Policy Framework. Het is een lijst, opgeslagen als DNS-record bij jouw domeinnaam, die bijhoudt welke mailservers officieel e-mails mogen versturen namens jouw domein.
Wanneer iemand een e-mail ontvangt die zegt van info@jouwnaam.nl te komen, controleert de ontvangende mailserver de SPF-lijst van jouw domein. Staat de verzendende server erop? Dan is de e-mail waarschijnlijk legitiem. Staat de server er niet op? Dan is dat een rood vlag.
Wat staat er in een SPF-record?
Een SPF-record ziet er technisch zo uit:
v=spf1 include:_spf.google.com include:mailchimp.com ~allVertaald naar gewone taal: “E-mails van dit domein mogen worden verstuurd via Google en Mailchimp. E-mails van andere servers zijn verdacht.”
Het ~all aan het einde is het softfail-beleid: verdachte e-mails worden gemarkeerd maar niet automatisch geweigerd. Een strenger alternatief is -all (hardfail): verdachte e-mails worden direct geweigerd.
Wat lost SPF niet op?
SPF heeft één belangrijke beperking: het controleert alleen de technische afzender, de server die de e-mail heeft verstuurd. Het controleert niet het zichtbare Van:-adres dat de ontvanger in zijn e-mailprogramma ziet.
Een crimineel kan dus een e-mail versturen via een eigen server die wél in de SPF-controle slaagt, maar in het Van:-veld toch jouw adres tonen. Dit heet display name spoofing. Daarvoor is DMARC nodig maar dat behandelen we verderop.
DKIM: de digitale handtekening op elke e-mail
Wat doet DKIM?
Stel je voor dat jij een brief verstuurt met een officieel lakzegel. De ontvanger kan het zegel controleren: is het authentiek? Is het ongeschonden? Als het zegel ontbreekt of beschadigd is, weet de ontvanger dat er met de brief is geknoeid.
DKIM doet hetzelfde voor e-mail maar dan digitaal en automatisch.
DKIM staat voor DomainKeys Identified Mail. Het plaatst een onzichtbare digitale handtekening in elke e-mail die via jouw server wordt verstuurd. Die handtekening is gebaseerd op een cryptografische sleutel die uniek is voor jouw domein.
Wanneer een ontvangende server de e-mail ontvangt, controleert hij de handtekening. Klopt die met de publieke sleutel die bij jouw domein hoort? Dan is de e-mail authentiek. Ontbreekt de handtekening of klopt die niet? Dan is er iets mis.
Hoe werkt DKIM technisch?
DKIM gebruikt een zogenaamd sleutelpaar: een privésleutel en een publieke sleutel.
De privésleutel staat op jouw mailserver en wordt gebruikt om elke uitgaande e-mail digitaal te ondertekenen. Deze sleutel is geheim, alleen jouw server heeft er toegang toe.
De publieke sleutel wordt gepubliceerd als DNS-record bij jouw domeinnaam. Iedereen kan hem opvragen. Ontvangende servers gebruiken deze sleutel om de handtekening in binnenkomende e-mails te verifiëren.
Omdat de privésleutel geheim is en nooit de server verlaat, kan een crimineel de handtekening niet namaken, ook al weet hij dat jouw domein DKIM gebruikt.
Wat beschermt DKIM extra ten opzichte van SPF?
Waar SPF controleert via welke server een e-mail is verstuurd, controleert DKIM of de inhoud van de e-mail onderweg niet is aangepast. Dit beschermt ook tegen man-in-the-middle-aanvallen, waarbij iemand onderweg de inhoud van een e-mail probeert te wijzigen.
SPF en DKIM vullen elkaar dus aan. Maar ze hebben allebei een beperking als het gaat om wat er met verdachte e-mails moet gebeuren. Dat is waar DMARC om de hoek komt.
DMARC: de dirigent die alles samenbrengt
Wat doet DMARC?
SPF en DKIM zijn controlemechanismen. Maar wat moet er gebeuren als een e-mail die controle niet doorstaat? Wordt die doorgelaten? Gemarkeerd als spam? Direct geweigerd?
Zonder DMARC beslist elke ontvangende mailserver dat zelf en die beslissing is niet altijd in jouw voordeel.
DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het is het protocol dat SPF en DKIM verbindt en jou als domeineigenaar de controle geeft over wat er gebeurt met e-mails die de authenticatiecontrole niet doorstaan.
De drie DMARC-beleidsopties
In jouw DMARC-record stel je een beleid in met de tag p=. Er zijn drie opties:
p=none, Alleen monitoren
E-mails die de controle niet doorstaan worden gewoon bezorgd. Jij ontvangt wel rapportages over wat er is gevonden. Dit is de startstand voor bedrijven die DMARC net implementeren, je wilt eerst zien wat er op jouw domein gebeurt voordat je gaat blokkeren.
p=quarantine, Verdachte e-mails naar spam
E-mails die SPF én DKIM niet doorstaan, worden in de spammap van de ontvanger geplaatst in plaats van in de inbox. Een tussenstap richting volledige blokkering.
p=reject, Direct weigeren
E-mails die de authenticatie niet doorstaan, worden door de ontvangende mailserver direct geweigerd. Ze komen nooit aan. Dit is het strengste en meest effectieve beleid, de eindbestemming voor elke goed geconfigureerde DMARC-instelling.
DMARC-rapportages: inzicht in misbruik
Een onderschat voordeel van DMARC zijn de rapportages. Zodra DMARC actief is, sturen ontvangende mailservers automatisch rapporten naar een door jou opgegeven e-mailadres. Daarin staat precies:
- Hoeveel e-mails er zijn verstuurd uit naam van jouw domein
- Via welke servers die e-mails zijn gestuurd
- Hoeveel e-mails de SPF- en DKIM-controle hebben doorstaan
- Hoeveel verdachte e-mails er zijn tegengehouden
Bij Orange Warriors analyseren wij deze rapportages voor jou en vertalen ze naar begrijpelijke overzichten zonder dat jij er technische kennis voor nodig hebt.
DMARC en het zichtbare afzenderadres
DMARC lost ook de beperking van SPF op die we eerder noemden. DMARC vereist dat het technische afzenderadres en het zichtbare Van:-adres overeenkomen, dit heet DMARC-uitlijning (alignment). Daardoor worden ook display name spoofing-aanvallen effectief geblokkeerd bij een strikt DMARC-beleid.
Hoe werken SPF, DKIM en DMARC samen?
Hier is wat er in de praktijk gebeurt wanneer een e-mail wordt verstuurd die zegt van jouw domein te komen:
1. De ontvangende mailserver ontvangt de e-mail.
2. SPF-controle: staat de verzendende server op de SPF-lijst van jouw domein? Ja of nee.
3. DKIM-controle: klopt de digitale handtekening in de e-mail met de publieke sleutel van jouw domein? Ja of nee.
4. DMARC-controle: heeft de e-mail minimaal één van beide controles doorstaan én klopt het zichtbare afzenderadres? Zo ja, wordt de e-mail bezorgd. Zo nee, geldt het DMARC-beleid, none, quarantine of reject.
5. De uitkomst wordt gerapporteerd aan jouw DMARC-rapportageadres.
Pas als alle drie correct zijn ingesteld, is jouw domein volledig beschermd. Twee van de drie is niet genoeg, een ontbrekend protocol is de opening die aanvallers nodig hebben.
Veelgemaakte fouten bij SPF, DKIM en DMARC
Het instellen van deze protocollen klinkt eenvoudiger dan het is. Dit zijn de meest voorkomende fouten die wij tegenkomen:
Te veel SPF-lookups. Een SPF-record mag maximaal 10 DNS-lookups bevatten. Veel bedrijven die meerdere e-maildiensten gebruiken, een nieuwsbriefdienst, een boekhoudpakket, een CRM, overschrijden dit limiet onbedoeld. Het gevolg: SPF-controles mislukken, ook voor legitieme e-mails.
DKIM niet ingesteld voor alle verzendkanalen. Als jij e-mails verstuurt via meerdere platforms, jouw eigen mailserver, Mailchimp, een facturatiesysteem, moet elk platform zijn eigen DKIM-handtekening gebruiken. Ontbreekt die bij één platform, dan falen DKIM-controles voor e-mails van dat platform.
DMARC blijft op p=none staan. Veel bedrijven stellen DMARC in op monitormodus en vergeten daarna door te schakelen naar quarantine of reject. In monitormodus biedt DMARC geen actieve bescherming, het kijkt alleen toe.
Onjuiste DMARC-uitlijning. Als het zichtbare Van:-adres en het technische afzenderadres niet overeenkomen, slaagt de DMARC-controle niet, ook als SPF en DKIM apart wél correct zijn ingesteld.
Geen monitoring na implementatie. Een correct ingestelde configuratie kan door wijzigingen in jouw e-mailomgeving, een nieuwe tool, een gewijzigde mailserver, alsnog fouten gaan geven. Zonder monitoring merk je dat niet.
