SPF, DKIM en DMARC: Zo Beveiligt u uw Bedrijfsmail
Twee pijnpunten herkent elke KMO: offertes die in de spam van klanten belanden, en criminelen die mails versturen 'uit naam van' uw bedrijf. Beide lost u op met drie DNS-records die de meeste KMO's nog niet goed hebben ingesteld. Ontdek hier stap voor stap hoe u DMARC instelt, en SPF en DKIM correct configureert.
1. Waarom e-mail van nature onveilig is
E-mail werd in de jaren '80 ontworpen om te werken, niet om veilig te zijn. Het oorspronkelijke SMTP-protocol laat iedereen toe om elk afzenderadres in te vullen. Net zoals u een brief kan posten met iemand anders' naam als afzender.
Dit heet e-mail spoofing: een aanvaller verstuurt mails die lijken afkomstig te zijn van uw domein (@uwbedrijf.be), terwijl ze dat niet zijn. Klanten betalen valse facturen. Leveranciers klikken op malicieuze links 'van u'. Uw reputatie daalt.
Belgische realiteit
In 2024 was 78% van alle Belgische bedrijven minstens één keer slachtoffer van phishing of CEO-fraude. E-mail spoofing is de goedkoopste en populairste ingang. Een correct ingestelde DMARC-instelling stopt het merendeel van deze aanvallen.
2. SPF: wie mag mailen namens uw domein?
SPF (Sender Policy Framework) is een SPF record in uw DNS — een tekstbestand dat exact oplijst welke servers namens uw domein mogen mailen. Ontvangende mailproviders controleren: komt deze mail van een goedgekeurde server? Zo niet → verdacht.
uwbedrijf.be. IN TXT "v=spf1 include:_spf.google.com include:spf.protection.outlook.com ip4:193.5.1.10 -all"
-all aan het einde betekent: alles wat niet expliciet is toegelaten, wordt geweigerd. Een ~all (softfail) is een tussenstap maar raadt Acom af voor productie-omgevingen.
Wat SPF doet
- Lijst goedgekeurde mailserver op
- Blokeert mail van onbekende servers
- Verhoogt leverbaarheid bij Gmail/Outlook
- Eerste verdedigingslinie tegen spoofing
Wat SPF niet doet
- Ondertekent de inhoud van uw mail niet
- Werkt niet voor doorgestuurde mails
- Bewijst niet dat u de afzender bent
- Geeft geen rapportage terug
3. DKIM: de digitale handtekening op elke mail
DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan elke mail die u verstuurt. De DKIM uitleg is eenvoudig: de ontvangende mailprovider controleert met een publieke sleutel (in uw DNS) of de handtekening klopt. Zo weet hij dat de mail niet onderweg is gewijzigd en effectief van uw server komt.
Privésleutel
Staat op uw mailserver en ondertekent elke uitgaande mail.
Publieke sleutel
Staat als TXT-record in uw DNS, controleerbaar door iedereen.
Verificatie
Ontvanger vergelijkt beide → mail is authentiek en ongewijzigd.
4. DMARC: wat moet er gebeuren met valse mails?
DMARC (Domain-based Message Authentication, Reporting & Conformance) is de regelaar bovenop SPF en DKIM. Het vertelt de ontvangende mailprovider wat hij moet doen als een mail de SPF- of DKIM-controle niet doorstaat.
DMARC kent drie beleidsniveaus:
p=noneMonitorGeen actie, maar u ontvangt rapporten over alle foute mails. De startfase.
p=quarantineQuarantaineFoute mails gaan naar de spamfolder van de ontvanger. Tussenstap richting reject.
p=rejectWeigerenFoute mails worden geweigerd op server-niveau. Het einddoel: maximale bescherming.
Voorbeeld DMARC-record
_dmarc.uwbedrijf.be. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@uwbedrijf.be; pct=100; adkim=s; aspf=s"
5. Van p=none naar p=reject: het stappenplan
DMARC instellen is geen knop die u omzet. Het is een traject in vier fases. Wie dit overslaat, blokkeert zijn eigen legitieme mail.
Inventariseer al uw verzenders
Mailserver, nieuwsbrieftool (Mailchimp, Sendinblue), facturatiesoftware, CRM, helpdesk. Elk systeem dat namens uw domein mailt, moet in SPF of DKIM worden opgenomen.
Activeer SPF en DKIM volledig
Publiceer een SPF-record met -all, activeer DKIM voor alle uitgaande mail en publiceer de publieke sleutel in uw DNS.
Start met p=none (minimum 2-4 weken)
Plaats het DMARC-record met p=none en een rua-mailadres. Verzamel de rapporten en identificeer elke verzender die faalt.
Naar p=quarantine en uiteindelijk p=reject
Zodra 0% van de legitieme mail faalt, gaat u naar p=quarantine. Na een nieuwe testperiode volgt p=reject — het einddoel.
6. DMARC-rapporten lezen en begrijpen
DMARC stuurt XML-rapporten (RUA) naar het e-mailadres dat u in het record opgeeft. Deze bevatten voor elke mail die uw domein vermeldt: het IP van de verzender, het resultaat (pass/fail) en het beleid dat werd toegepast.
Lees deze rapporten om te weten wie namens u mailt — legitiem of niet. Tools zoals DMARC Digests of de gratis DMARC-analyzer van dmarcian vertalen de ruwe XML naar leesbare grafieken.
Wat u in een rapport herkent
Bron-IP
Van waar werd de mail verstuurd
SPF-resultaat
pass of fail
DKIM-resultaat
pass of fail
Toegepaste actie
none, quarantine of reject
7. Nieuwe eisen van Google, Microsoft en Yahoo
Sinds februari 2024 hanteren Gmail, Outlook en Yahoo strengere regels voor bulkverzenders (meer dan 5.000 mails per dag). In de praktijk betekent dit dat ook KMO's met een nieuwsbrieftool aan de nieuwe eisen moeten voldoen:
SPF én DKIM verplicht
Beide authenticatiemethoden moeten correct geconfigureerd zijn.
DMARC-record vereist
Minimaal p=none volstaat, maar hoger is aanbevolen.
Eén-klik uitschrijving
Elke commerciële mail moet een werkende unsubscribe-link hebben.
Spamdrempel onder 0,10%
Uw spamklachtratio moet laag blijven — anders wordt u geblokkeerd.
8. Veelgemaakte fouten
Te veel SPF-lookups
Een SPF-record mag maximaal 10 DNS-lookups bevatten. Elke include telt als één. Overschrijdt u dit, faalt SPF volledig — en daarmee ook DMARC. Gebruik SPF-flattening-tools zoals Cloudflare SPF Flatten of Macro SPF als u veel includes nodig heeft.
Vergeten nieuwsbrieftools en SaaS-systemen
Mailchimp, Sendinblue, HubSpot, uw facturatiesoftware, het helpdesksysteem — elk verstuurt namens uw domein. Vergeet u er één in SPF of DKIM op te nemen, dan faalt DMARC en blokkeert u uw eigen mail.
Te snel naar p=reject
Beginnen met p=reject zonder monitor-fase is de meest voorkomende fout. Legitieme mail wordt geweigerd, klanten ontvangen niets, en u merkt het pas als het te laat is. Start altijd met p=none.
Geen rua-mailadres instellen
Zonder een rua-adres in uw DMARC-record ontvangt u geen rapporten. U vliegt blind — u weet niet wie namens u mailt of of er spoofing-pogingen zijn.
9. Zelf testen: gratis tools om uw domein te checken
Voordat u wijzigingen aanbrengt, controleert u gratis of uw huidige instellingen kloppen. Acom adviseert volgende tools:
MX Toolbox DMARC Lookup
Controleert SPF, DKIM en DMARC in één oogopslag. Toont ook het aantal SPF-lookups.
mxtoolbox.com/DMARC.aspx
Google Postmaster Tools
Geeft inzicht in uw afleverpercentage en spamklachten bij Gmail-gebruikers.
postmaster.google.com
dmarcian Domain Checker
Gratis scan met een duidelijk rapport van uw DMARC-status en ontbrekende verzenders.
dmarcian.com
Mail-Tester
Stuur een testmail naar een uniek adres en ontvang een score op 10 met concrete verbeterpunten.
mail-tester.com
Veelgestelde vragen over SPF, DKIM en DMARC
Komen uw mails in spam of wordt uw domein misbruikt?
Acom controleert gratis uw SPF, DKIM en DMARC-instellingen en begeleidt u stap voor stap naar p=reject. Geen verplichtingen, eerlijk advies. Reactie binnen 1 werkdag.
Geen verplichtingen. Eerlijk advies. Reactie binnen 1 werkdag.