SPF zegt welke servers namens u mogen mailen. DKIM zet een digitale stempel op elk bericht. DMARC vertelt de ontvanger wat te doen als die twee niet kloppen. Begin met DMARC op "alleen rapporteren", kijk een maand wat er binnenkomt, en verscherp daarna pas. Direct op de strengste stand zetten is de manier om uw eigen nieuwsbrief te laten verdwijnen.
Het probleem dat ze oplossen
E-mail is ooit ontworpen zonder controle op de afzender. U kunt vandaag een bericht versturen met eender welk afzenderadres erin, net zoals u een envelop kunt posten met de naam van iemand anders erop. Daar maken oplichters gebruik van: ze sturen een factuur die van uw bedrijf lijkt te komen, naar uw eigen klanten.
Met deze drie instellingen legt u in uw domeinnaam vast wie er namens u mag mailen. Ontvangende partijen als Microsoft en Google kijken daar naar en gooien de rest weg.
SPF: wie mag er namens u mailen
SPF is een regel in uw domeinnaam waarin staat welke systemen mail mogen versturen met uw adres erop. Denk aan uw mailomgeving, maar ook aan uw boekhoudpakket dat facturen stuurt, uw webshop, en een nieuwsbriefdienst.
De klassieke fout is dat er één ding vergeten wordt. Uw facturen komen dan ineens niet meer aan, en niemand legt het verband met een instelling die twee weken eerder is gewijzigd. Maak daarom eerst een lijstje van alles wat namens uw bedrijf mail verstuurt, voordat u iets aanpast.
Let ook op de limiet: SPF staat maximaal tien opzoekingen toe. Bedrijven met veel losse diensten lopen daar tegenaan, en dan werkt de hele regel niet meer.
DKIM: een stempel op elk bericht
DKIM zet een digitale handtekening op elk bericht dat u verstuurt. De ontvanger kan die controleren tegen een sleutel die in uw domein staat. Klopt de handtekening, dan staat vast dat het bericht echt via uw omgeving is verstuurd en onderweg niet is aangepast.
In Microsoft 365 en Google Workspace is DKIM met een paar klikken aan te zetten. Vergeet niet om het ook te regelen voor de andere diensten die namens u mailen; ieder daarvan heeft zijn eigen sleutel.
DMARC: wat er moet gebeuren als het niet klopt
SPF en DKIM zeggen alleen of iets klopt. DMARC bepaalt wat de ontvanger dan doet. Er zijn drie standen:
- none — niets doen, alleen rapporteren. Hier begint u.
- quarantine — twijfelgevallen in de spammap.
- reject — weigeren. Dit is waar u naartoe wilt.
Bij DMARC krijgt u rapportages toegestuurd. Daarin ziet u welke systemen er namens uw domein mailen. Vrijwel elk bedrijf ontdekt daar iets dat het vergeten was, en vaak ook pogingen tot misbruik.
De volgorde waarin u het invoert
- Inventariseer alles dat namens uw bedrijf mail verstuurt.
- Zet SPF goed, met alle bekende afzenders erin.
- Zet DKIM aan voor uw mailomgeving en voor elke andere verzender.
- Zet DMARC op none met een rapportageadres.
- Lees vier weken de rapportages. Vul aan wat u vergeten was.
- Ga naar quarantine. Wacht opnieuw een maand.
- Ga naar reject.
Dit duurt een paar maanden, en dat is de bedoeling. Wie de stappen overslaat, ontdekt het probleem pas als een klant belt dat hij de offerte nooit heeft ontvangen.
Hoe u controleert of het goed staat
Stuur een bericht naar een eigen adres bij een andere aanbieder en bekijk de berichtkoppen: daar staat of SPF, DKIM en DMARC geslaagd zijn. Er zijn ook gratis controlediensten waar u uw domeinnaam invult. Zet een herinnering om dit één keer per jaar na te lopen, want er komt altijd een nieuwe dienst bij.