Checklist: je e-mail op orde

Module 8: Verhuizen en je domein op orde · Leestijd: 13 minuten

Leerdoel: Na deze les kun je met een vaste checklist de e-mail van je eigen domein van begin tot eind controleren, de uitkomst verklaren en een actielijst maken in de goede volgorde.

Kernbegrippen: checklist, ontvangen (MX, mailserver, null MX), verbinden (TLS, certificaat, poorten 993/465/587), verzenden (SPF, DKIM, DMARC), de verzendserver (PTR, FCrDNS, blocklists), versleuteld afleveren (MTA-STS, TLS-RPT, DANE), mailboxen en adressen, beveiliging, actielijst, periodiek onderhoud

Waarom een vaste volgorde?

Je hebt in deze cursus veel losse onderdelen gezien. In de praktijk hangen ze aan elkaar: een DMARC-beleid heeft geen zin als SPF ongeldig is, en een mooi SPF-record helpt niet als de MX naar een server wijst die niet bestaat. Daarom loop je de checklist van onder naar boven in de keten: eerst of mail binnen kan komen, dan of je veilig verbinding maakt, dan of je verzonden mail te vertrouwen is, en pas daarna de verfijning.

De DNS-cursus heeft in les 8.5 een checklist voor het hele domein (registratie, nameservers, website). Deze checklist gaat dieper in op alleen de e-mail.

Voor elk punt staat erbij: wat je controleert, hoe (met een tool of een DNS-opvraging) en wanneer het goed is. In de eindopdracht doet het programma dezelfde controles automatisch en zet het de uitkomst naast wat jij vond.

Deel A: kan er mail binnenkomen?

A1. MX-records. Vraag MX <domein> op. Goed als er minstens één MX is, en de host met het laagste getal een A- of AAAA-record heeft. Een MX naar een naam zonder adres betekent dat mail niet aankomt.
Bijzonder geval: 0 . is een null MX (RFC 7505). Dat zegt "dit domein ontvangt geen mail". Dat is goed voor een domein dat nooit mail ontvangt, zoals example.com, en fout voor je zakelijke domein.

A2. De mailserver antwoordt. De eerste MX-host neemt verbindingen aan op poort 25. Thuis kun je dat vaak niet zelf testen, omdat veel internetproviders uitgaand verkeer op poort 25 blokkeren. Een online tool of de eindopdracht doet het voor je. Goed als de server een 220-begroeting geeft en STARTTLS aanbiedt.

A3. Testmail van buiten. Stuur een mail van een adres buiten je domein. Komt hij aan, en niet in je spammap?

Deel B: kun je veilig verbinden?

B1. IMAP op poort 993 met de servernaam die jij in je mailprogramma gebruikt. Goed als de TLS-verbinding lukt, het certificaat geldig is, de servernaam erin staat en het certificaat niet binnen 14 dagen verloopt.

B2. SMTP voor verzenden: poort 465 (direct TLS) en/of 587 (STARTTLS). Goed als minstens één van beide werkt met een geldig certificaat voor de servernaam, en de server inloggen (AUTH) pas aanbiedt nadat de verbinding versleuteld is.

Krijg je hier een fout, kijk dan eerst of je de servernaam van je aanbieder gebruikt en niet een eigen mail.<domein> zonder certificaat (les 2.1 en fout 9 in les 8.3).

Deel C: is je verzonden mail te vertrouwen?

C1. SPF. Vraag TXT <domein> op. Goed als:

• er precies één record met v=spf1 is;
• het eindigt op ~all of -all (nooit +all of ?all); voor beginners is ~all het advies, -all als je zeker weet dat alle verzenders erin staan;
• de recursieve telling van opzoekingen (include, a, mx, ptr, exists, redirect, ook binnen elke include) niet boven de 10 komt, en hoogstens 2 opzoekingen leeg terugkomen.

C2. DKIM. Per verzender (je mailserver, Microsoft 365, je nieuwsbriefdienst, je webwinkel) een selector. Je vindt hem in de kopregels van een mail van die verzender (s= en d= in de DKIM-Signature, les 1.5). Vraag TXT <selector>._domainkey.<domein> op (eventueel via een CNAME). Goed als er een niet-lege p= staat, met een sleutel van 2048 bit of meer voor RSA (of een ed25519-sleutel).

C3. DMARC. Vraag TXT _dmarc.<domein> op. Goed als er precies één record met v=DMARC1 is, met een geldige p= (none, quarantine of reject) en een rapportadres (rua=mailto:...). De advieslijn: begin met p=none en lees de rapporten; pas als alle verzenders uitgelijnd zijn, ga je naar quarantine en daarna reject (les 4.4). p=none zonder rapportadres is een gemiste kans: dan zie je niets.

C4. Uitlijning in de praktijk. Stuur een mail van elke verzender naar een eigen Gmail- of Outlook.com-adres en lees Authentication-Results: dmarc=pass?

Deel D: de verzendserver

D1. Reverse DNS. Zoek in de kopregels van een mail die je zelf verstuurde het IP-adres van de server die de mail aan de buitenwereld gaf (de onderste Received-regel die van buiten je eigen apparaat komt, les 1.5). Vraag de PTR op (dig -x <ip>). Goed als er een naam is, en die naam terug wijst naar hetzelfde IP (FCrDNS, les 5.1). Ook de MX-servers van je domein horen een nette PTR te hebben.

D2. Blocklists. Laat dat verzend-IP (en het IP van je MX) controleren op de bekende blocklists. Goed als het nergens op staat. Staat het er wel op: eerst de oorzaak vinden en oplossen, dan pas delisten (les 5.2). Bij gedeelde hosting is dat een taak voor je aanbieder: geef het IP en de foutmelding door.

Deel E: verfijning (optioneel)

E1. MTA-STS en TLS-RPT. TXT _mta-sts.<domein> en TXT _smtp._tls.<domein>. Niet verplicht. Heb je MTA-STS, dan moet het beleidsbestand op https://mta-sts.<domein>/.well-known/mta-sts.txt bereikbaar zijn en kloppen met je MX (les 5.4).

E2. DANE. Alleen als je domein en de MX met DNSSEC ondertekend zijn: TLSA-records op _25._tcp.<mx-host>. Meestal regelt je mailaanbieder dit voor zijn eigen MX.

Deel F: mailboxen, adressen en beveiliging

Dit kan geen programma voor je controleren, maar het hoort er wel bij:

• F1. Geen catch-all; alleen aliassen en doorsturingen die je bewust gebruikt; geen doorsturing naar Gmail of andere externe adressen (les 3.3).
• F2. Geen mailbox boven 80% van zijn quota (les 3.2).
• F3. Iedereen werkt met IMAP, niet POP3 op meerdere apparaten (les 1.3).
• F4. Sterke, unieke wachtwoorden in een wachtwoordmanager; geen oude apparaten met oude wachtwoorden; geen onbekende doorstuurregels in de mailboxen (les 3.4).
• F5. Websiteformulieren versturen via SMTP met je eigen adres als From (les 7.3); nieuwsbrieven via een dienst met eigen DKIM (les 7.1).

Van uitslag naar actielijst

Na de controle heb je groene, oranje en rode punten. Werk ze af in deze volgorde:

1. Rood in deel A of B: mail komt niet aan of je kunt niet veilig verbinden. Eerst oplossen.
2. Rood in deel C: SPF ongeldig (twee records, meer dan tien opzoekingen), DKIM ontbreekt voor een verzender, twee DMARC-records. Dit bepaalt of je mail aankomt.
3. Rood in deel D: geen PTR of een blocklistvermelding. Meestal een taak voor je aanbieder.
4. Oranje: p=none zonder rapporten, ?all, een sleutel van 1024 bit, een certificaat dat bijna verloopt.
5. Deel E en F: verbeteringen en onderhoud.

Plan daarna onderhoud: elk kwartaal de checklist opnieuw, en altijd na het koppelen van een nieuwe dienst of een verhuizing. Lees maandelijks je DMARC-rapporten, of laat een rapportdienst je waarschuwen als er een nieuwe bron opduikt.

In de praktijk: tools

Voor de controles kun je verschillende tools gebruiken. Bij WebOké zijn dat bijvoorbeeld de gratis E-mailcheck en Domein gezondheid (ook voor domeinen die niet bij WebOké staan); onafhankelijke tools zoals de e-mailtest van internet.nl en MXToolbox doen vergelijkbare controles. Geen enkele tool ziet alles: een DKIM-selector moet je bijna altijd zelf opgeven, en het verzend-IP haal je uit je eigen kopregels.

Samenvatting

• Controleer in de volgorde van de keten: binnenkomen, verbinden, vertrouwen, verzendserver, verfijning, beheer.
• Binnenkomen: MX met bestaande host, null MX alleen voor domeinen zonder mail.
• Verbinden: geldig certificaat op 993 en 465/587 voor de servernaam die je gebruikt.
• Vertrouwen: één SPF binnen tien opzoekingen met ~all/-all, DKIM per verzender, één DMARC met rua, en uitlijning in de praktijk.
• Verzendserver: PTR met FCrDNS en geen blocklists. Maak een actielijst op volgorde en herhaal de controle elk kwartaal.

Quiz

Opdracht

Opdracht Z8.4: Eindopdracht: je eigen domein. Vul je eigen domein in (heb je er geen, gebruik dan internet.nl als voorbeeld), de servernaam die je in je mailprogramma gebruikt, de DKIM-selector(s) die je in je kopregels vond en het IP-adres van je verzendserver. Vul per punt uit deel A tot en met E in wat je zelf vond. Het programma doet elke deelcontrole zelf en zet per punt groen, oranje of rood naast jouw antwoord, met een link naar de les. Daarna schrijf je je actielijst (maximaal vijf punten, in volgorde).

Opdracht O8.4: Deel F nalopen. Beantwoord de vijf vragen uit deel F voor je eigen mailboxen en noteer wat je gaat veranderen.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• WebOké handleiding 5.17: Domein en e-mail gezondheid: controleren en herstellen
• WebOké handleiding 6.7: De kaart E-mail instellen (MX, SPF, DKIM, DMARC)
• Internet.nl-checklist: 100% halen met je website en e-mail
• Website of e-mail werkt niet na een verhuizing of DNS-wijziging: controleer je domein
• Gratis DNS-cursus 8.5: Checklist voor je eigen domein
• Internet.nl, test je e-mail: https://internet.nl/test-mail/