E-mail is ooit ontworpen zonder controle op de afzender. Iedereen kan een bericht versturen met jouw bedrijfsnaam en e-mailadres erboven. Criminelen gebruiken dat voor phishing en nep-facturen — gericht op jouw klanten en leveranciers. SPF, DKIM en DMARC zijn drie instellingen die dat lastig maken.
SPF: wie mag namens jou mailen?
Met SPF zet je in de DNS van je domein een lijst van servers die namens jou e-mail mogen versturen, bijvoorbeeld Microsoft 365 en je nieuwsbriefdienst. Een ontvangende mailserver kan zo controleren of een bericht van een toegestane server komt.
DKIM: een digitale handtekening
DKIM zet een handtekening op elke uitgaande mail. De ontvanger controleert die met een sleutel in jouw DNS. Klopt de handtekening, dan weet de ontvanger dat het bericht onderweg niet is aangepast en echt van jouw domein komt. In Microsoft 365 moet je DKIM per domein aanzetten.
DMARC: wat moet er gebeuren als het niet klopt?
DMARC verbindt SPF en DKIM en vertelt ontvangers wat ze moeten doen met mail die niet door de controle komt: niets doen (p=none), in de spam zetten (p=quarantine) of weigeren (p=reject). Daarnaast kun je rapporten ontvangen over wie er namens jouw domein mailt.
Veel bedrijven hebben DMARC op p=none staan. Dat is een goed begin om te meten, maar het beschermt nog niets: de nepmail komt gewoon aan.
Waarom dit ertoe doet
- Factuurfraude: een “gewijzigd rekeningnummer” dat van jouw domein lijkt te komen, wordt sneller vertrouwd.
- Bezorgbaarheid: grote mailproviders stellen steeds strengere eisen; zonder goede instellingen belandt je eigen mail vaker in de spam.
- Vertrouwen: klanten en ketenpartners vragen er steeds vaker naar.
Hoe controleer je het?
Of SPF, DKIM en DMARC goed staan, is van buitenaf te zien. In de M365-audit controleer ik ze voor al je domeinen — ook voor domeinen die je niet (meer) gebruikt om te mailen, want die worden ook misbruikt.