E-mailauthenticatie van het domein

Hoe deze controle werkt

Deze controle raakt je website niet aan: hij bevraagt de DNS van je domein. En hij klimt de domeinketen op (scan je app.jouwdomein.nl, dan kijkt hij ook naar jouwdomein.nl), omdat e-mail op het registreerbare domein wordt geconfigureerd. Hij zoekt vijf dingen. SPF: een TXT-record dat met v=spf1 begint; ontbreekt het op elk niveau, gemiddelde ernst; eindigt het op +all, hoog; zijn er meerdere, gemiddeld. DMARC: een TXT op _dmarc. met v=DMARC1; ontbrekend, gemiddeld; aanwezig met p=none, laag. BIMI: alleen als je al DMARC hebt, en het ontbreken is informatief. Is er SPF of DMARC (een teken dat het domein e-mail gebruikt), dan controleert hij ook de MX-records (ontbrekend, laag) en DKIM, waarbij hij veertien gangbare selectors probeert (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); antwoordt er geen, laag, met de kanttekening dat je een andere selector kunt gebruiken. Tot slot MTA-STS op _mta-sts.; ontbrekend, laag. Mislukt een DNS-query, dan wordt de bevinding niet verzonnen.

Waarom dit belangrijk is

Zonder SPF of DMARC kan iedereen e-mails versturen die zogenaamd van support@jouwdomein.nl komen en hebben ontvangende servers geen manier om te weten dat ze vals zijn. Dat is de basis van phishing met jouw merk: tegen je klanten, je leveranciers of je eigen team. Bovendien eisen Gmail en Yahoo sinds 2024 SPF, DKIM en DMARC van iedereen die in volume verstuurt; zonder gaan je legitieme e-mails naar spam of worden ze geweigerd. DKIM ondertekent elk bericht zodat het onderweg niet kan worden gewijzigd. MTA-STS voorkomt dat een aanvaller op het netwerk je mail onversleuteld laat bezorgen. En BIMI zet, zodra al het bovenstaande staat, je logo naast je e-mails in Gmail en Apple Mail.

Hoe je het oplost

SPF

v=spf1 include:_spf.google.com ~all

Eén TXT-record op het domein, met één include: per dienst die namens jou mail verstuurt (Google Workspace, Microsoft 365 met spf.protection.outlook.com, je transactionele aanbieder). Eindig met ~all of -all, nooit +all. Heb je twee records, voeg ze dan samen tot één. Maximaal tien DNS-lookups in totaal; daarboven stopt SPF met valideren.

DKIM

Je schakelt het in bij de mailaanbieder (Google Workspace, Microsoft 365, Resend, SendGrid…), die je een TXT- of CNAME-record geeft om te publiceren op selector._domainkey.jouwdomein.nl. Om te weten welke selector je gebruikt, open je een e-mail die vanaf je domein is verstuurd, bekijk je de headers en zoek je DKIM-Signature: ... s=selector.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl

Op _dmarc.jouwdomein.nl. Begin met p=none om rapporten te ontvangen zonder iets te blokkeren, bekijk twee of drie weken welke diensten namens jou versturen, voeg ze toe aan SPF en DKIM, en ga dan naar p=quarantine en later naar p=reject.

MTA-STS en BIMI

MTA-STS bestaat uit twee delen: een TXT op _mta-sts.jouwdomein.nl met v=STSv1; id=2026100901 en een bestand op https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt met mode: enforce, je MX-servers en een max_age. BIMI vereist DMARC op quarantine of reject, een vierkant SVG-logo en een TXT op default._bimi; Gmail vraagt bovendien een Verified Mark Certificate (VMC), dat betaald is.

Controleer of het opgelost is

dig +short TXT jouwdomein.nl | grep spf1
dig +short TXT _dmarc.jouwdomein.nl
dig +short MX jouwdomein.nl
dig +short TXT google._domainkey.jouwdomein.nl
dig +short TXT _mta-sts.jouwdomein.nl

Vervang google door je selector. Op Windows doet nslookup -type=TXT _dmarc.jouwdomein.nl hetzelfde. DNS-wijzigingen doen er minuten tot enkele uren over om zichtbaar te worden.

Veelgestelde vragen

Mijn domein verstuurt geen mail. Heb ik dit allemaal nodig?

SPF en DMARC heb je toch nodig, maar in de versie "niemand verstuurt": v=spf1 -all en v=DMARC1; p=reject. Zo kan niemand zich als jou voordoen. MX, DKIM en de rest worden niet van je gevraagd, omdat die alleen worden gecontroleerd wanneer het domein mail gebruikt.

Ik heb DKIM, maar er staat "geen DKIM op gangbare selectors".

Je gebruikt een selector die niet in de lijst staat. De bevinding zegt dat, en heeft daarom juist lage ernst. Controleer het met het commando hierboven en je echte selector, en markeer het als geaccepteerd.

Is DMARC op p=none nutteloos?

Het is nuttig om te zien wie namens jou verstuurt, wat de onmisbare eerste stap is. Maar het blokkeert niets: een valse e-mail komt met DMARC op p=none gewoon aan. Bescherming begint bij quarantine. De rest van de domeingezondheid (CAA, DNSSEC, vervaldatum) bekijkt domeingezondheid.