Module 3 · 3.3
Nederlands
Afzender en headers lezen
Module 3: Phishing herkennen · Leestijd: 13 minuten
Leerdoel: Na deze les kun je de afzender van een mail beoordelen aan de hand van de weergavenaam, het From-adres, Reply-To, Return-Path, de Received-regels en de uitslag van SPF, DKIM en DMARC in Authentication-Results.
Kernbegrippen: weergavenaam, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC-uitslag, uitlijning
Wat je ziet en wat er echt staat
Een mailprogramma laat je meestal maar een klein deel van de afzender zien: een naam, soms een adres. Daarachter zit een blok technische regels dat je niet ziet, de headers. Daarin staat wie de mail zegt te zijn, waar hij antwoorden heen wil hebben, via welke servers hij is gekomen en wat jouw mailserver heeft gecontroleerd.
Je hoeft geen technicus te zijn om ze te lezen. Je hebt er zes nodig:
| Header | Wat het is | Wie het invult |
|---|---|---|
| Weergavenaam | De naam vóór het adres, bijvoorbeeld Mijnbank | De afzender, vrij te kiezen |
From | Het afzenderadres dat je ziet | De afzender |
Reply-To | Waar je antwoord heen gaat als je op Beantwoorden klikt | De afzender |
Return-Path | Het technische afzenderadres voor foutmeldingen (envelope-afzender) | Jouw mailserver, op basis van wat de verzender opgaf |
Received | Eén regel per server die de mail doorgaf | Elke server op de route |
Authentication-Results | De uitslag van SPF, DKIM en DMARC | Jouw mailserver |
De eerste drie kan een afzender opschrijven wat hij wil. Pas bij de laatste drie komt er controle bij kijken.
De weergavenaam zegt niets
De weergavenaam is gewoon tekst. Iedereen kan als naam "Mijnbank Klantenservice" of de naam van je directeur gebruiken. Veel mailprogramma's, vooral op de telefoon, tonen alleen die naam. Een bekende truc is een adres in de naam:
From: "info@mijnbank.example" <noreply@aanvaller.example>Je ziet info@mijnbank.example, maar het echte adres staat tussen de punthaken. Tik of klik dus altijd op de naam om het volledige adres te zien.
Ook het From-adres zelf kan worden vervalst: in het mailprotocol mag een server elk From-adres opgeven. Of dat lukt zonder in de spammap te belanden, hangt af van SPF, DKIM en DMARC van het domein dat wordt nagedaan. Daarover gaat de rest van deze les.
Reply-To: antwoorden naar iemand anders
Met Reply-To zegt een mail: "antwoord niet naar mij, maar naar dit adres". Nieuwsbrieven en webformulieren gebruiken dat normaal. Oplichters gebruiken het om een gesprek over te nemen. De mail komt van een echt of echt lijkend adres, maar je antwoord, met de gevraagde gegevens of de bevestiging van de betaling, gaat naar de aanvaller.
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>Let bij een verzoek om geld of gegevens altijd op het adres in het antwoordvenster, voordat je op Verzenden drukt.
Return-Path, Received en de route
Het Return-Path is het adres waar foutmeldingen heen gaan. Het wordt ook wel envelope-afzender genoemd: het adres op de buitenkant van de envelop, terwijl From op de brief zelf staat. Op dat domein controleert SPF. Bij nieuwsbrieven en facturen uit een boekhoudpakket is het Return-Path vaak een domein van de verzenddienst. Dat is normaal.
Elke server die de mail doorgeeft, zet er een Received-regel bovenop. Je leest ze dus van onder naar boven: de onderste is het begin van de route, de bovenste het laatste station (jouw eigen mailserver). Let op: alleen de bovenste regels, die jouw eigen provider heeft toegevoegd, kun je vertrouwen. Daaronder kan een afzender verzonnen regels meesturen.
Authentication-Results: de uitslag van de controle
Je eigen mailserver controleert bij binnenkomst drie dingen (meer uitleg in module 4 en de DNS-cursus):
- SPF: mocht deze server mailen voor het domein in het Return-Path?
- DKIM: klopt de digitale handtekening, en van welk domein is die (
d=ofheader.d=)? - DMARC: hoort minstens een van die twee geslaagde controles bij het domein in From? Dat heet uitlijning. "Hoort bij" betekent: hetzelfde registreerbaar domein (les 3.2).
mail.mijnbank.exampleis uitgelijnd metmijnbank.example(zelfde registreerbaar domein).
De uitslag staat in Authentication-Results. Vertrouw alleen de regel met de naam van je eigen mailserver vooraan; een afzender kan zelf ook zo'n regel meesturen.
| Uitslag | Betekenis |
|---|---|
pass | De controle is geslaagd |
fail | De controle is mislukt: niet toegestaan of handtekening klopt niet |
softfail (SPF) | Waarschijnlijk niet toegestaan, maar het domein wil niet hard weigeren (~all) |
none | Er was niets te controleren: geen record of geen handtekening |
De belangrijkste les: dmarc=pass betekent alleen "deze mail komt echt van het domein in From". Het zegt niets over de vraag of dat domein te vertrouwen is. Een aanvaller met zijn eigen lookalikedomein kan alles netjes op pass hebben.
In de praktijk: zo ziet het eruit
Drie nagebootste headerblokken, ingekort tot de regels die ertoe doen. De ontvanger is Bakkerij Example; de eigen mailserver heet mx1.example.com.
Voorbeeld 1: echt.
Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mail.mijnbank.example;
dkim=pass header.d=mijnbank.example header.s=sel2026;
dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaarHet From-domein is mijnbank.example en DKIM is getekend door mijnbank.example en het Return-Path valt eronder: beide uitgelijnd, DMARC slaagt. De mail komt echt van dat domein. Ga voor het jaaroverzicht toch via je eigen bladwijzer naar de bank.
Voorbeeld 2: vervalste afzender.
Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mailer.aanvaller.example;
dkim=none;
dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummerSPF slaagt, maar voor aanvaller.example, niet voor het From-domein. Er is geen handtekening. DMARC faalt dus. Omdat de leverancier p=none heeft, is de mail toch afgeleverd. Met p=reject was hij geweigerd. Daar komt de Reply-To naar een ander domein nog bij. Nep.
Voorbeeld 3: lookalike met alles op pass.
Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
spf=pass smtp.mailfrom=mijnbank-veilig.example;
dkim=pass header.d=mijnbank-veilig.example header.s=k1;
dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Bevestig je gegevens voor de nieuwe betaalpasAlles slaagt, want de aanvaller heeft voor zijn eigen domein alles goed ingesteld. Maar mijnbank-veilig.example is niet mijnbank.example van de echte bank. Nep.
Zelf de headers openen. In webmail gebaseerd op Roundcube (zoals bij WebOké) open je het bericht en kies je in het menu Meer (de drie puntjes) voor Bron tonen. Andere programma's noemen het bijvoorbeeld "Origineel weergeven" of "Berichtbron". Zoek in de tekst op Authentication-Results. Op de telefoon kan dat vaak niet; bekijk de mail dan in webmail op een computer.
Samenvatting
- Weergavenaam, From en Reply-To schrijft de afzender zelf op. Kijk altijd naar het echte adres en naar Reply-To voordat je antwoordt.
- Return-Path is het envelope-adres waarop SPF controleert. Received-regels lees je van onder naar boven; vertrouw alleen die van je eigen provider.
- Authentication-Results geeft de uitslag van SPF, DKIM en DMARC. DMARC kijkt of SPF of DKIM is uitgelijnd met het From-domein.
dmarc=failbij een bekend domein is een sterk signaal van vervalsing.dmarc=passbewijst alleen dat de mail van het From-domein komt. Controleer altijd of dat domein het echte is.
Quiz
Opdracht
Opdracht A3.3: Headers lezen. Je krijgt drie headerblokken. Vul per blok in: het domein in Return-Path, het domein van de DKIM-handtekening (d=), de DMARC-uitslag en of de mail echt of nep is. Het programma kijkt na en wijst bij een fout de regel aan waar het antwoord staat.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Wat is DMARC? Uitleg in gewone taal
- Mijn e-mail komt niet aan of belandt in de spam: zo zoek je het uit
- Openbare e-mailcheck (SPF, DMARC, MX) van een domein: https://www.weboke.nl/emailcheck, en de mailtest van internet.nl: https://internet.nl
- DNS-cursus, lessen 4.3 SPF, 4.4 DKIM en 4.5 DMARC: https://www.weboke.nl/dns-cursus
- RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601