Krijgen klanten nepmail die van jouw adres lijkt te komen? Zo voorkom je e-mailspoofing met SPF, DKIM en DMARC, stap voor stap naar p=reject.
E-mailspoofing betekent dat iemand mail verstuurt met jouw domein als afzender, zonder toegang tot je mailbox. Je voorkomt het door drie DNS-records goed in te stellen: SPF (welke servers namens jou mogen mailen), DKIM (een digitale handtekening op je mail) en DMARC (wat ontvangers moeten doen met mail die niet klopt).
Zonder die records kan iedereen een mail sturen die lijkt te komen van info@jouwbedrijf.nl, bijvoorbeeld een nepfactuur aan je klanten. Met een strenge DMARC-instelling weigeren de grote mailproviders zulke mail. Doe het wel in stappen, anders blokkeer je per ongeluk je eigen nieuwsbrief of de mail van je boekhoudpakket.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Doe de gratis Mail-DNS-check op je domein. Je ziet dan of er een SPF-record is, of DKIM werkt en of er een DMARC-record staat.
Niet alleen je mailbox: ook je website (contactformulier, webshopmails), nieuwsbriefdienst, boekhoud- of factuurpakket, CRM, ticketsysteem en scanner. Elk van deze diensten moet in je SPF-record staan of zelf met DKIM ondertekenen.
Er mag maar één SPF-record zijn. Zet daarin de diensten die namens je mailen en sluit af met ~all of -all. Let op de limiet van tien DNS-opzoekingen. Krijg je een foutmelding, zie dan SPF-record fout.
Bij Microsoft 365, Google Workspace en de meeste nieuwsbriefdiensten zet je DKIM aan in het beheerscherm en voeg je één of twee CNAME- of TXT-records toe in je DNS. Werkt het niet, zie DKIM-fout.
Zet een DMARC-record met p=none en een adres voor rapporten (rua=). Je blokkeert dan nog niets, maar krijgt dagelijks rapporten over wie namens je domein mailt. Lees ze een paar weken en los op wat er nog niet klopt.
Klopt alles, zet DMARC dan op p=quarantine (verdachte mail gaat naar de spammap) en later op p=reject (verdachte mail wordt geweigerd). Meer uitleg: DMARC instellen.
Heb je extra domeinen die geen mail versturen? Geef ze een SPF-record v=spf1 -all en een DMARC-record met p=reject. Dan kunnen oplichters ook die niet misbruiken.
Let op: Spoofing is iets anders dan een gehackt account. Komt de nepmail echt uit je eigen mailbox (staat hij in Verzonden), dan is je account overgenomen. Volg dan Mailaccount gehackt.
Het lastigste deel is weten welke diensten allemaal namens je domein mailen. Dat zoeken we voor je uit.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
In de kopteksten van de mail staat bij ‘Authentication-Results’ of SPF, DKIM en DMARC geslaagd zijn. Staat daar ‘fail’ terwijl de afzender jouw domein is, dan is de mail niet van jou.
Het stopt mail die exact jouw domein als afzender gebruikt. Oplichters kunnen nog een lijkend domein gebruiken, zoals een extra letter. Daarom blijft alertheid in je team nodig.
Niet als je eerst met p=none alle diensten hebt gecontroleerd. Daarom de tussenstap met rapporten.
Dat zijn XML-bestanden die ontvangende mailservers dagelijks sturen. Ze laten zien welke servers mail met jouw domein verstuurden en of die door de controle kwamen.
Ja. We maken de lijst van verzenders, zetten de records goed en schakelen DMARC stap voor stap op naar reject.
Hulp nodig van een mens? Gratis Mail-DNS-check · Zakelijke e-mail in jouw plaats · IT-beveiliging in jouw plaats · Alle oplossingen
Website: IT Live