mark_email_read E-mail DNS-controle (SPF, DKIM, DMARC) star

Hoe E-mailauthenticatie Werkt

Drie DNS-records werken samen om te voorkomen dat iemand vervalste e-mail verstuurt die lijkt te komen van uw domein. SPF (Sender Policy Framework) publiceert een lijst van servers die expliciet gemachtigd zijn om mail voor het domein te versturen — een ontvangende server controleert het verbindende IP-adres tegen die lijst. DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan elk uitgaand bericht; de ontvangende server haalt uw publieke sleutel op uit DNS en verifieert dat de handtekening onderweg niet is gewijzigd — iets wat SPF alleen niet kan detecteren. DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindt de twee: het vertelt ontvangende servers wat te doen wanneer SPF of DKIM faalt — niets doen, naar spam sturen, of ronduit weigeren — en vraagt om geaggregeerde rapporten, zodat u kunt zien wie er daadwerkelijk mail verstuurt namens uw domein, imitators inbegrepen.

Concreet voorbeeld: zonder een van deze drie records kan een aanvaller een e-mail versturen die lijkt te komen van [email protected], en de meeste mailservers leveren deze zonder enige waarschuwing rechtstreeks af in de inbox van de ontvanger. Voer uw domein in bij de controle hierboven en deze bevraagt MX, SPF, DKIM (waarbij automatisch veelvoorkomende selectors worden geprobeerd) en DMARC via DNS-over-HTTPS, en markeert vervolgens precies wat ontbreekt: helemaal geen SPF-record, een DMARC-beleid dat is blijven steken op p=none (alleen monitoring, nul echte bescherming), twee concurrerende SPF-records (een schending van de standaard die validatie volledig breekt), of een ontbrekend all-mechanisme aan het einde van de SPF-string.

Wat U Moet Weten

Alle drie de records goed instellen is geen keuze voor wie geeft om merkreputatie of aflevering in de inbox — een domein met hiaten in SPF, DKIM of DMARC is zowel makkelijker te vervalsen als vatbaarder voor het routeren van eigen legitieme mail naar spam, omdat grote providers zoals Gmail, Yahoo en Outlook steeds vaker volledige authenticatie eisen voordat ze een afzender vertrouwen. De uitrol is veilig als u de volgorde aanhoudt: publiceer eerst SPF, voeg DKIM-ondertekening toe via uw mailprovider, voeg daarna DMARC toe beginnend op p=none zodat u de geaggregeerde rapporten kunt volgen zonder echte mail te riskeren — ga pas over naar quarantaine of weigeren zodra elke legitieme verzendbron, zoals marketingtools, een CRM of een ticketsysteem, bevestigd en uitgelijnd is.

• Eén domein kan maar één SPF TXT-record hebben — als u meerdere diensten gebruikt (Google Workspace, een marketingplatform, een CRM), voeg dan al hun include-mechanismen samen tot één string in plaats van aparte records te publiceren.
• DKIM-selectors zijn providerspecifiek: Google Workspace publiceert vaak onder "google", Microsoft 365 onder "selector1" of "selector2" — als de automatische controle niets vindt, zoek dan de exacte selectornaam van uw provider op en voer deze handmatig in.
• Deze tool controleert alleen de DNS-configuratie; hij controleert geen zwartelijststatus en scant geen berichtinhoud — dat zijn afzonderlijke lagen van e-mailaflevering die bovenop een correct geconfigureerde DNS-basis liggen.