DNS als routekaart
DNS koppelt je domein aan de servers voor je website en e-mail.
Kennisbank zakelijke e-mail
DNS, SPF, DKIM en DMARC begrijpelijk uitgelegd
Betrouwbare zakelijke e-mail begint bij correcte DNS-records. SPF, DKIM en DMARC helpen ontvangende mailservers controleren of berichten namens jouw domein legitiem zijn.
Afzenders controleren
SPF en DKIM leveren signalen waarmee ontvangers e-mail kunnen beoordelen.
Beleid met DMARC
DMARC koppelt controles aan een beleid en kan rapportages ontvangen.
De basis
Wat DNS en SPF ieder doen
DNS bevat openbare verwijzingen voor je domein. MX-records geven aan waar inkomende e-mail moet worden afgeleverd. Andere records kunnen een website, verificatie of beveiligingsinstelling vastleggen.
SPF staat in een TXT-record en beschrijft welke verzendende systemen namens je domein e-mail mogen versturen. Publiceer niet meerdere losse SPF-records voor hetzelfde domein, maar combineer alle legitieme verzenders in één zorgvuldig opgebouwd record.
- MX voor inkomende e-mail
- SPF voor toegestane verzenders
- Alle verzenddiensten vooraf inventariseren
Digitale handtekening
DKIM ondertekent uitgaande e-mail
DKIM voegt bij het verzenden een digitale handtekening aan een bericht toe. De ontvangende mailserver gebruikt de openbare sleutel in DNS om te controleren of de handtekening klopt en de ondertekende inhoud onderweg niet is gewijzigd.
DKIM versleutelt de inhoud van je e-mail niet. De verzendende maildienst moet DKIM ondersteunen en voor iedere gebruikte dienst moet de juiste selector in DNS staan.
- Activeren bij de maildienst
- Openbare sleutel publiceren in DNS
- Iedere verzenddienst afzonderlijk controleren
Beleid en rapportage
DMARC bouwt voort op SPF en DKIM
DMARC controleert of het zichtbare afzenderdomein aansluit bij een geslaagde SPF- of DKIM-controle. Het record geeft daarnaast aan hoe een ontvanger moet omgaan met berichten die niet aan het beleid voldoen.
Begin met rapporteren en controleer eerst of alle legitieme verzendstromen goed staan. Voer een strenger beleid pas in nadat nieuwsbrieven, facturatie, formulieren en andere verzenders zijn getest.
- Domeinafstemming controleren
- Rapportages eerst beoordelen
- Beleid gecontroleerd aanscherpen
Praktische volgorde
Zo richt je e-mailauthenticatie zorgvuldig in
- 1
Inventariseer verzenders
Noteer Microsoft 365, mailboxservers, websites, nieuwsbrieven en facturatiesystemen die mail verzenden.
- 2
Controleer SPF en DKIM
Maak één correct SPF-record en activeer DKIM bij iedere dienst die dit ondersteunt.
- 3
Start DMARC met rapportage
Verzamel eerst inzicht in legitieme en onbekende verzendstromen.
- 4
Test en beheer wijzigingen
Controleer mailstromen en werk de records bij wanneer je een dienst toevoegt of verwijdert.
Duidelijk vooraf
Veelgestelde vragen
Staat je vraag er niet bij? Neem gerust contact op.
Mag ik meerdere SPF-records voor één domein hebben?
Nee. Meerdere SPF-records voor hetzelfde domein kunnen de controle ongeldig maken. Neem alle toegestane verzenders op in één correct record.
Versleutelt DKIM mijn e-mail?
Nee. DKIM plaatst een digitale handtekening waarmee een ontvanger de herkomst en integriteit van de ondertekende inhoud kan controleren.
Blokkeert DMARC alle phishing?
Nee. DMARC helpt tegen misbruik van jouw exacte domein in het zichtbare afzenderadres, maar voorkomt niet iedere vorm van phishing of lookalike-domeinen.
Heeft een DNS-wijziging direct effect?
Niet altijd. DNS-antwoorden kunnen tijdelijk in caches staan. De ingestelde TTL en caches van providers bepalen hoe snel een wijziging overal zichtbaar wordt.
Volgende stap
Hulp nodig bij DNS en zakelijke e-mail?
Laat weten welke diensten namens je domein e-mail versturen. Dan kunnen we gericht naar de benodigde records kijken.