Stel: een klant krijgt een factuur die van jouw bedrijf lijkt te komen, met een gewijzigd rekeningnummer. Alleen heb jij die nooit verstuurd. Een oplichter deed zich voor als jouw domein. Dit heet e-mailspoofing, en het is verrassend makkelijk zolang je domein niet beveiligd is. De oplossing bestaat uit drie technische instellingen: SPF, DKIM en DMARC. Klinkt ingewikkeld, maar het komt neer op drie regels toevoegen aan je domein. In deze gids leggen we uit wat ze doen en hoe je ze instelt.
Waarom dit belangrijk is
Zonder deze beveiliging kan iedereen mails versturen met jouw domein als afzender. Dat wordt misbruikt voor:
- Factuurfraude: valse facturen namens jouw bedrijf naar je klanten. Lees hoe dat werkt in CEO-fraude en factuurfraude.
- Phishing: mails “van de directie” die medewerkers om geld of wachtwoorden vragen.
- Reputatieschade: je klanten wantrouwen voortaan élke mail van je.
De drie technieken samen zorgen ervoor dat ontvangende mailservers kunnen controleren of een mail écht van jou komt. Ze versterken elkaar en horen daarom samen ingesteld te worden.
Wat doen SPF, DKIM en DMARC?
SPF, wie mag versturen namens jou?
SPF (Sender Policy Framework) is een lijst van servers die officieel mails mogen versturen namens jouw domein. Denk aan je Microsoft 365- of Google Workspace-server, je nieuwsbriefdienst, je boekhoudpakket. Komt een mail van een server die níét op de lijst staat, dan is er iets mis.
Je zet SPF op als één DNS-record (een TXT-record) dat de toegelaten servers opsomt.
DKIM, een digitale handtekening
DKIM (DomainKeys Identified Mail) plakt een onzichtbare digitale handtekening op elke uitgaande mail. De ontvangende server controleert die handtekening tegen een sleutel die in jouw DNS staat. Klopt de handtekening, dan is de mail onderweg niet vervalst of aangepast. Je e-mailprovider genereert de sleutel; jij plaatst het bijhorende DNS-record.
DMARC, de regisseur
DMARC (Domain-based Message Authentication, Reporting and Conformance) bindt alles samen. Het vertelt ontvangende servers wat ze moeten doen als een mail zakt voor de SPF- of DKIM-controle: niets doen, in de spam zetten, of ronduit weigeren. Bovendien stuurt DMARC je rapporten over wie er allemaal mails verstuurt namens jouw domein, heel leerrijk.
Zo stel je het in, op hoofdlijnen
De instellingen gebeuren telkens in je DNS, de “adresboek”-instellingen van je domein, meestal beheerd bij de partij waar je je domeinnaam kocht (je registrar) of je hostingprovider.
- Inventariseer wie namens jou mailt. Je mailprovider, nieuwsbrieftool, CRM, boekhoudpakket, webshop. Alles wat mails in jouw naam verstuurt, moet je meenemen.
- Zet SPF op. Maak één TXT-record dat al die toegelaten diensten opsomt. Let op: je mag maar één SPF-record hebben, en het mag niet te veel opzoekingen bevatten (maximaal 10).
- Activeer DKIM. Schakel DKIM in bij je mailprovider (Microsoft 365 en Google Workspace hebben hier duidelijke instructies voor) en plaats de aangeleverde DNS-records.
- Voeg DMARC toe. Maak een DMARC-record en laat rapporten naar een mailadres van jou sturen, zodat je ziet wat er gebeurt.
DMARC gefaseerd invoeren, dit is cruciaal
Zet DMARC nooit meteen op de strengste stand. Doe je dat te vroeg, dan blokkeer je misschien je eigen legitieme mails (bijvoorbeeld die van een nieuwsbrieftool die je vergat). Bouw daarom in drie fasen op:
- Fase 1,
p=none(monitoren). Er wordt niets geblokkeerd; je verzamelt enkel rapporten. Laat dit een paar weken lopen tot je zeker weet dat alle legitieme verzenders correct door SPF en DKIM komen. - Fase 2,
p=quarantine(spam). Mails die zakken voor de controle, belanden in de spammap. Je vangt fraude af maar houdt een vangnet. - Fase 3,
p=reject(weigeren). Mails die zakken voor de controle worden geweigerd. Dit is het einddoel en biedt de sterkste bescherming.
Deze gefaseerde aanpak voorkomt dat je per ongeluk je eigen communicatie saboteert.
Gratis tools om te controleren
Je hoeft niet te gokken of het klopt. Deze gratis tools tonen je meteen de status:
- MXToolbox, controleer per domein of je SPF-, DKIM- en DMARC-records bestaan en correct zijn.
- dmarcian, leest je DMARC-rapporten uit en toont overzichtelijk wie er mailt namens jou (een gratis niveau volstaat om te starten).
- Google Admin Toolbox / de checkers van je eigen mailprovider, vaak zit er een ingebouwde controle in je beheerdersconsole.
Voer je domein in, en je ziet groen of rood. Simpel.
Veelgemaakte fouten
- Een verzender vergeten in je SPF-record, waardoor legitieme mails (nieuwsbrief, facturen uit je boekhoudpakket) plots wegvallen. Daarom die monitorfase.
- Meteen naar
p=rejectspringen zonder eerst te monitoren. - DKIM wel activeren maar het DNS-record vergeten plaatsen, de handtekening werkt dan niet.
- Twee SPF-records aanmaken; dat mag niet, het moet er precies één zijn.
Wat levert het op?
Als de drie samen goed staan, kan een oplichter niet langer geloofwaardig mailen namens jouw domein. Je beschermt je klanten, je medewerkers én je reputatie, en je verkleint de kans dat een phishingmail “van jou” iemand in de val lokt. Wil je je team leren hoe ze verdachte mails herkennen, lees dan ook Phishing herkennen.
Voor Belgische ondernemers is dit een van de meest kosteneffectieve maatregelen die er bestaan: het kost je geen licentie, enkel wat instelwerk. Twijfel je over de DNS-stappen, laat het dan eenmalig door je IT-partner instellen, daarna heb je er jaren plezier van.
Volgende stap: Doe de gratis cybersecurity-scan en krijg een persoonlijk actieplan voor jouw KMO.