Module 4 · 4.1
SPF, DKIM en DMARC: zo voorkom je nepmail uit jouw naam
Module 4: E-mail, website en domein · Leestijd: 9 minuten
Leerdoel: Na deze les kun je uitleggen hoe SPF, DKIM en DMARC samen misbruik van je domein tegengaan, waar hun grens ligt, en de stand van je eigen domein controleren en beoordelen.
Kernbegrippen: spoofing, SPF, DKIM, DMARC, uitlijning, beleid none / quarantine / reject, DMARC-rapporten, null MX, lookalike-domein
Waarom dit een beveiligingsonderwerp is
In module 1 zag je hoe factuurfraude werkt: een klant krijgt een mail "van" factuur@example.com met een nieuw IBAN. Als jouw domein niet beschermd is, hoeft een oplichter daarvoor niets te hacken. E-mail is in de jaren tachtig bedacht zonder controle op de afzender. Elke mailserver ter wereld kan een bericht versturen met jouw adres in het "Van:"-veld. Dat heet spoofing.
Het slachtoffer is dan niet jij, maar je klant of leverancier. Toch is het jouw naam die beschadigd raakt, en vaak jouw telefoon die gaat. Daarom hoort de bescherming van je maildomein in een beveiligingscursus, en niet alleen bij "zorgen dat mail aankomt".
Drie DNS-records zorgen er samen voor dat ontvangers nepmail uit jouw naam kunnen herkennen en weigeren: SPF, DKIM en DMARC. In deze les leer je wat ze samen doen, wat ze niet doen en hoe je je eigen domein beoordeelt. De technische details (de opbouw van elk record, de valkuilen bij het instellen) staan in de DNS-cursus, lessen 4.3, 4.4 en 4.5, en straks in de cursus E-mail op orde (in ontwikkeling).
Drie controles, één vraag
| Record | Wat het zegt | Waar het staat | Wat de ontvanger controleert |
|---|---|---|---|
| SPF | "Deze servers mogen namens mij mailen." | TXT-record op example.com, begint met v=spf1 | Komt de mail van een server die in de lijst staat? Gekeken wordt naar het technische envelope-adres (Return-Path), niet naar het "Van:"-adres. |
| DKIM | "Echte mail van mij draagt deze handtekening." | TXT- of CNAME-record op <selector>._domainkey.example.com | Klopt de digitale handtekening, en is de mail onderweg niet veranderd? |
| DMARC | "Hoort de geslaagde controle bij mijn domein? Zo niet, doe dan dit." | TXT-record op _dmarc.example.com, begint met v=DMARC1 | Slaagt SPF of DKIM voor het domein in het "Van:"-adres? Dat heet uitlijning. |
Het belangrijkste inzicht: SPF en DKIM alleen zijn niet genoeg. Een oplichter kan mail sturen die keurig door SPF komt voor zijn eigen domein en keurig getekend is door zijn eigen domein, terwijl in het "Van:"-veld info@example.com staat. Pas DMARC legt de koppeling met het adres dat jouw klant ziet. En pas DMARC vertelt de ontvanger wat hij moet doen als het niet klopt.
Een ontvanger noteert de uitslag in de kopregels van de mail. In les 3.3 leerde je die te lezen. Een nepmail uit jouw naam ziet er bij een ontvanger bijvoorbeeld zo uit:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF en DKIM slagen, maar voor een ander domein. DMARC faalt, en omdat het beleid van example.com op reject staat, weigert de ontvanger de mail.
De drie beleidsstanden van DMARC
| Beleid | Wat ontvangers doen met mail die niet klopt | Wat het je oplevert |
|---|---|---|
p=none | Niets, de mail wordt gewoon afgeleverd. | Rapporten (als je rua= invult) en zicht op wie namens je mailt. Nog geen bescherming. |
p=quarantine | In de spammap. | Nepmail valt minder op, maar staat er nog. |
p=reject | Weigeren. | De beste bescherming tegen misbruik van je domein. |
Veel bedrijven blijven jarenlang op p=none staan. Dat is begrijpelijk, want het is veilig voor je eigen mail, maar het is geen eindpunt. Met p=none heb je een alarmsysteem dat afgaat maar de deur niet op slot doet.
De goede volgorde
Een te streng beleid op een domein waarvan niet alle verzenders bekend zijn, laat je eigen facturen of nieuwsbrieven verdwijnen. Een te slap beleid laat oplichters hun gang gaan. De volgorde die voor bijna iedereen werkt:
- Maak een lijst van alles wat namens je domein mailt. Je mailprovider, maar ook je website (contactformulier, webwinkel), je boekhoudprogramma, je nieuwsbriefdienst, je afsprakensysteem. Dit vergeten mensen het vaakst.
- Zet SPF op orde: precies één record, alle verzenders erin, eindigend op
~all(veilige standaard) of-all(als je zeker weet dat de lijst klopt). Nooit+all. - Zet DKIM aan voor elke dienst die dat ondersteunt, met precies de records die de dienst opgeeft.
- Begin DMARC met
p=noneen een rapportadres (rua=mailto:dmarc@example.com). Kijk een paar weken in de rapporten welke diensten slagen en welke niet. - Ga naar
p=quarantineen daarna naarp=rejectals je geen eigen mail meer ziet falen.
Een domein dat nooit mailt (een merknaam die je alleen hebt vastgelegd, een oud domein) kun je meteen streng beveiligen. Oplichters zoeken juist zulke domeinen op, omdat niemand ze in de gaten houdt:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"De null MX (0 .) zegt "hier komt geen mail aan", -all zegt "niemand mag namens dit domein mailen", en p=reject vraagt ontvangers alles te weigeren.
Wat het niet tegenhoudt
SPF, DKIM en DMARC beschermen jouw exacte domeinnaam. Ze zijn geen phishingfilter. Drie dingen houden ze niet tegen:
- Lookalike-domeinen. Een oplichter registreert
examp1e.exampleofexample-facturen.exampleen zet daar zelf netjes SPF, DKIM en DMARC op. Die mail slaagt overal. Alleen het lezen van het domein (les 3.2) helpt, en eventueel het vastleggen van de meest voor de hand liggende varianten van je eigen naam. - Alleen de weergavenaam. Mail van
bakkerij.example.factuur@gratismail.examplemet als weergavenaam "Bakkerij Example" heeft met jouw domein niets te maken. DMARC kijkt naar het adres, niet naar de naam. - Een gehackte mailbox. Logt een aanvaller in op
info@example.com, dan verstuurt hij mail via jouw echte server. Die mail slaagt voor SPF, DKIM en DMARC, want technisch is hij echt. Daar beschermen sterke wachtwoorden en tweestapsverificatie tegen (module 2).
SPF, DKIM en DMARC bewijzen dat een mail van het domein komt. Ze bewijzen niet dat het domein te vertrouwen is, en ook niet dat de afzender is wie hij zegt.
Wat het jou en je klanten oplevert
- Bescherming van je klanten. Met
p=rejectworden nepfacturen uit jouw exacte naam bij de grote mailproviders geweigerd voordat je klant ze ziet. - Betere aflevering. Sinds februari 2024 eisen Gmail en Yahoo van wie meer dan zo'n 5.000 mails per dag stuurt SPF, DKIM en DMARC (minstens
p=none); Microsoft stelt die eis sinds mei 2025 voor Outlook.com en Hotmail. Ook voor kleine afzenders komt mail met goede authenticatie minder vaak in de spam. - Zicht op misbruik. De DMARC-rapporten laten zien als iemand probeert jouw domein te gebruiken. Gebruik er een apart adres voor; je krijgt al snel een paar rapporten per dag.
DMARC is in mei 2026 herzien als RFC 9989, die RFC 7489 vervangt. Bestaande records met v=DMARC1 blijven gewoon werken.
In de praktijk: zo ziet het eruit
Je kunt de stand van elk domein controleren zonder iets te installeren. Onafhankelijk kan dat met de mailtest van internet.nl. Ook de openbare e-mailcheck en de domeingezondheid van WebOké tonen SPF, DMARC en MX met een groen, oranje of rood puntje. Heb je je domein bij WebOké, dan staat dezelfde controle als kaart op de domeinpagina in Mijn WebOké, met een knop om een ontbrekend DMARC-record met p=none toe te voegen. Bij andere aanbieders werkt het vergelijkbaar: zoek naar "e-mailauthenticatie" of naar de DNS-instellingen van je domein.
Let bij elke tool op wat "groen" betekent. Sommige tools geven al groen bij p=none, omdat het record geldig is. Vanuit beveiliging is p=none oranje: het record is in orde, de bescherming nog niet.
Samenvatting
- Zonder bescherming kan iedereen mail versturen met jouw adres in het "Van:"-veld (spoofing).
- SPF zegt welke servers mogen mailen, DKIM zet een handtekening, DMARC controleert of een van beide slaagt voor het domein dat je klant ziet en zegt wat er moet gebeuren als dat niet zo is.
- Volgorde: verzenders inventariseren, SPF, DKIM, DMARC
p=nonemet rapporten, danquarantineenreject. Domeinen die niet mailen meteen dichtzetten. - Ze beschermen niet tegen lookalike-domeinen, misleidende weergavenamen of een gehackte mailbox.
p=noneis een begin, geen bescherming.
Quiz
Opdracht
Opdracht A4.1: De e-mailbescherming van je domein beoordelen. Vul je eigen domeinnaam in (heb je er geen, gebruik dan sidn.nl). Het programma vraagt MX, SPF en DMARC op en geeft per onderdeel groen, oranje of rood met uitleg. Vul daarna in welk DMARC-beleid er staat en wat je volgende stap zou zijn.
Opdracht D4.1: Wie mailt er namens jouw domein? Maak een lijst van alle diensten die mail versturen met een adres van je domein: mailprovider, website, webwinkel, boekhouding, nieuwsbrief, afsprakensysteem. Vink per dienst aan of hij in je SPF staat en of hij DKIM met je eigen domein gebruikt. Schrijf op welk DMARC-beleid je over drie maanden wilt hebben, en wat daarvoor nog moet gebeuren.
Opdracht D4.1: Wie mailt er namens jouw domein?
Zo pak je het aan: (1) Schrijf alle diensten op die mail versturen met een adres van je domein: mailprovider, website en contactformulier, webwinkel, boekhouding en facturen, nieuwsbrief, afspraken- of reserveringssysteem, CRM, printer of scanner die mailt. (2) Zoek per dienst in de instellingen of handleiding op hoe hij SPF en DKIM voor je domein regelt. (3) Stuur vanuit elke dienst een testmail naar jezelf en bekijk in de bron van het bericht de regel Authentication-Results (les 3.3). (4) Noteer per dienst: spf=, dkim= met header.d=, dmarc=.
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- DNS-cursus, lessen 4.3 (SPF), 4.4 (DKIM) en 4.5 (DMARC): https://www.weboke.nl/dns-cursus
- Wat is DMARC? Uitleg in gewone taal
- Hoe werkt het SPF-record in de DNS?
- DMARC-record aanmaken in DirectAdmin
- DirectAdmin handleiding 5.7: SPF instellen en aanvullen
- DirectAdmin handleiding 5.8: DKIM aanzetten en controleren
- DirectAdmin handleiding 5.9: DMARC instellen
- Openbare e-mailcheck: https://www.weboke.nl/emailcheck
- Internet.nl, mailtest (onafhankelijk): https://internet.nl