SPF, DKIM en DMARC uitgelegd: waarom zakelijke e-mail soms niet aankomt

Bij gewone e-mail staat een zichtbaar From-adres, maar alleen dat adres bewijst niet dat het bericht daadwerkelijk via de mailservers van dat domein is verzonden. Aanvallers kunnen proberen een vertrouwd bedrijfsadres na te bootsen om een betaalverzoek of phishingbericht geloofwaardig te laten lijken.

SPF, DKIM en DMARC geven ontvangende mailservers extra signalen. Microsoft beschrijft SPF als een manier om toegestane verzendbronnen voor een domein vast te leggen, DKIM als een digitale handtekening op onderdelen van het bericht en DMARC als een beleid dat de resultaten van SPF en DKIM koppelt aan het zichtbare afzenderdomein.

Geen van de drie is op zichzelf een garantie dat ieder goed bericht in de inbox komt. Spamfilters kijken naar veel meer signalen. Een correcte inrichting voorkomt wel een groot deel van de technische onduidelijkheid rond domeinauthenticatie.

SPF staat voor Sender Policy Framework. In DNS publiceert een domein welke mailservers of diensten namens dat domein mogen verzenden. De ontvangende server vergelijkt de technische verzendbron met dat SPF-record.

Een veelgemaakte fout is meerdere losse SPF-records publiceren. Een domein hoort één samenhangend SPF-beleid te hebben waarin de benodigde bronnen zijn opgenomen. Als Microsoft 365, een nieuwsbriefdienst en een website allemaal mail verzenden, moeten die bronnen logisch in dezelfde configuratie passen.

SPF heeft bovendien technische grenzen. Doorsturen van e-mail kan bijvoorbeeld invloed hebben op de oorspronkelijke verzendroute. Daarom is SPF slechts één deel van de oplossing.

DKIM staat voor DomainKeys Identified Mail. De verzendende dienst plaatst een cryptografische handtekening in het bericht. De publieke sleutel staat in DNS, zodat een ontvanger kan controleren of bepaalde onderdelen van het bericht onderweg niet zijn gewijzigd en welke domeinnaam de handtekening gebruikt.

Bij Microsoft 365 en veel andere zakelijke maildiensten activeer je DKIM voor het eigen domein en publiceer je de gevraagde DNS-records. Controleer daarna niet alleen of de DNS-records bestaan, maar ook of uitgaande berichten daadwerkelijk een geldige DKIM-handtekening krijgen.

Een fout ontstaat soms na een domeinmigratie of wissel van mailprovider: oude DNS-records blijven staan terwijl de nieuwe verzenddienst andere sleutels gebruikt. Documenteer daarom welke maildiensten actief namens het domein mogen verzenden.

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het kijkt niet alleen of SPF of DKIM technisch slaagt, maar ook of het gebruikte domein aansluit op het domein dat de ontvanger in het zichtbare From-adres ziet. Dat heet alignment.

In het DMARC-record staat daarnaast een beleid voor berichten die niet aan de vereisten voldoen. Veel organisaties beginnen met monitoring en rapportage en scherpen het beleid daarna stapsgewijs aan. Direct een streng reject-beleid publiceren zonder alle verzendbronnen in beeld te hebben kan legitieme mail blokkeren.

DMARC-rapportages kunnen helpen onbekende of verkeerd geconfigureerde verzenders te vinden. Ze zijn technisch en bevatten veel data, maar geven waardevolle informatie voordat een beleid strenger wordt gemaakt.

Een WordPress-formulier kan technisch mail versturen vanaf de webserver, via een SMTP-dienst of via een API. Als het formulier doet alsof het verzendt vanaf het e-mailadres dat de bezoeker invult, kan dat botsen met domeinauthenticatie. Gebruik daarom een betrouwbaar afzenderadres op een domein dat je zelf beheert en plaats het adres van de bezoeker waar nodig als Reply-To.

Ook nieuwsbrieven, CRM-systemen, facturatieplatforms en supporttools kunnen namens je domein mail sturen. Voeg niet blind iedere leverancier aan SPF toe. Controleer eerst welke authenticatiemethode de leverancier ondersteunt en of DKIM via een eigen subdomein of sleutel kan worden ingericht.

Een perfect geauthenticeerd bericht kan nog steeds in spam terechtkomen door reputatie, inhoud, verzendvolume, klachten of andere signalen. Andersom kan een technisch zwak geauthenticeerd bericht soms toch aankomen. Zie de drie technieken daarom als basisvoorwaarden voor betrouwbare domeinidentiteit, niet als knop waarmee je afleverbaarheid gegarandeerd maakt.

Als problemen alleen bij één ontvanger optreden, onderzoek ook blokkades, mailboxregels, reputatie en fouten aan de ontvangende kant. Bij problemen met alle ontvangers ligt het eerder voor de hand om verzendlogs, DNS en authenticatieresultaten systematisch te controleren.

Een e-mailomgeving verandert door de jaren heen. Er komt een nieuwsbriefplatform bij, een CRM gaat namens het domein verzenden of een facturatiedienst gebruikt een eigen mailroute. Iedere nieuwe verzender kan invloed hebben op SPF, DKIM en DMARC.

Neem daarom domeinauthenticatie mee wanneer een nieuwe dienst wordt gekoppeld. Vraag welke afzenderdomeinen, return-paths en DKIM-records worden gebruikt en test een echt bericht voordat de dienst breed wordt ingezet.

Ruim oude bronnen ook op. Een SPF-include van een leverancier die al jaren niet meer wordt gebruikt vergroot de configuratie zonder voordeel. Hetzelfde geldt voor oude DKIM-selectors en vergeten subdomeinen. Een kleinere, gedocumenteerde set actieve verzenders is eenvoudiger te controleren en verkleint de kans dat een toekomstige wijziging onverwacht legitieme mail raakt.