Kort antwoord: SPF geeft aan welke mailservers namens uw domein mogen versturen, DKIM ondertekent uw e-mail cryptografisch zodat de ontvanger kan controleren dat het bericht onderweg niet is aangepast, en DMARC koppelt die twee aan een beleid: wat moet een ontvangende server doen met mail die de check niet haalt — en naar wie rapporteert ze dat. Samen bestrijden ze spoofing: mail die doet alsof die van uw domein komt.
Het probleem dat ze oplossen
E-mail is van oorsprong een vertrouwensprotocol: wie zich als afzender voordoet, wordt standaard geloofd. Een aanvaller hoeft uw mailsysteem dus niet te hacken — het volstaat uw domeinnaam in een afzenderadres te zetten. Dat wordt gebruikt voor factuurfraude, phishing op uw klanten en reputatieschade aan uw domein. Het NCSC adviseert daarom elke organisatie — en niet alleen overheden, voor wie het verplicht is — om alle domeinnamen te beschermen met deze drie standaarden, óók domeinen waarvandaan nooit e-mail wordt verzonden.
Wat elke standaard doet
SPF — wie mag er versturen? In een DNS-record legt u vast welke servers namens uw domein mogen mailen. De ontvangende server controleert daar de verbinding tegen. Beperking: SPF kijkt naar het technische afzenderadres dat gebruikers niet zien, en gaat kapot bij doorsturen. Voor verzendende domeinen heeft een softfail (~all) meestal de voorkeur boven een hardfail, zodat een SPF-mislukking niet direct tot blokkade leidt voordat DKIM en DMARC zijn geëvalueerd.
DKIM — is de mail intact? Uw mailserver ondertekent elk bericht; de publieke sleutel staat in DNS. De ontvanger controleert de handtekening: het bericht komt echt van uw organisatie en is onderweg niet gewijzigd. Het NCSC adviseert RSA-SHA256 met 2048-bits sleutels (eventueel naast Ed25519), geen RSA-SHA1, en periodieke sleutelrotatie. Let op: een aanvaller kan een handtekening gewoon weglaten — DKIM alleen is dus geen bescherming.
DMARC — wat gebeurt er bij een mislukking? Uw DMARC-beleid vertelt ontvangende servers wat ze moeten doen met mail die noch aan SPF, noch aan DKIM met correcte alignment voldoet: none (alleen rapporteren), quarantine (als spam behandelen) of reject (weigeren). Voor een geslaagde DMARC-validatie is minimaal één van de twee mechanismen vereist mét geldige alignment — een SPF-pass zonder alignment faalt dus alsnog. De rapportagefunctie (rua) geeft u wekelijks inzicht in wat er allemaal namens uw domein verstuurd wordt.
Wat ze níet oplossen
Ze voorkomen niet dat aanvallers vergelijkbare domeinen registreren (intunes0lutions.nl met een nul) — leg uw klanten uit hoe u communiceert.
Ze maken uw medewerkers niet alert op phishing die via andere domeinen komt — awareness-training blijft nodig.
Ze verhogen geen beveiliging van de mailserver zelf; TLS-transport (STARTTLS/DANE) en DNSSEC zijn aparte, aanvullende maatregelen.
Waarom dit nu urgent is
Deliverability: grote providers als Gmail en Yahoo eisen sinds 2024 dat bulkverzenders SPF, DKIM én een geldige DMARC-policy hebben; Microsoft heeft de controles in 2025 verder aangescherpt. Ontbrekende of foutieve configuratie leidt tot weigering of agressieve filtering van uw eigen mail. Uw facturen en offertes komen dus niet aan.
Stappenplan
Test uw huidige status op internet.nl — de officiële Nederlandse test die ook DNSSEC en TLS meeneemt.
Inventariseer álle systemen die namens uw domein mailen: mailserver, CRM, nieuwsbrief, facturatie, monitoring. Iedereen die u vergeet, veroorzaakt later vals-positieve blokkades.
Publiceer SPF en DKIM; laat DKIM daadwerkelijk ondertekenen (sleutels in DNS alleen is onvoldoende).
Start DMARC met p=none en een rapportageadres; lees 2–4 weken de rapporten en corrigeer ontbrekende verzenders.
Schuif op naar quarantine (bijv. pct=25 → 100) en uiteindelijk p=reject, zoals het NCSC aanbeveelt.
Herhaal de internet.nl-test en plan jaarlijkse sleutelrotatie in.
Hulp bij de implementatie
Intune Solutions controleert en ingericht e-mailbeveiliging voor uw domeinen — van de scan van uw huidige e-mailbeveiliging tot volledige SPF/DKIM/DMARC-implementatie met begeleide overstap naar reject. Vraag een scan aan.
Bronnen: NCSC, “Bescherm je domeinen tegen phishing” (ncsc.nl); NCSC, “E-mail beveiligingsstandaarden” (ncsc.nl).
SPF, DKIM en DMARC: welke problemen lossen ze op?
Kort antwoord: SPF geeft aan welke mailservers namens uw domein mogen versturen, DKIM ondertekent uw e-mail cryptografisch zodat de ontvanger kan controleren dat het bericht onderweg niet is aangepast, en DMARC koppelt die twee aan een beleid: wat moet een ontvangende server doen met mail die de check niet haalt — en naar wie rapporteert ze dat. Samen bestrijden ze spoofing: mail die doet alsof die van uw domein komt.
Het probleem dat ze oplossen
E-mail is van oorsprong een vertrouwensprotocol: wie zich als afzender voordoet, wordt standaard geloofd. Een aanvaller hoeft uw mailsysteem dus niet te hacken — het volstaat uw domeinnaam in een afzenderadres te zetten. Dat wordt gebruikt voor factuurfraude, phishing op uw klanten en reputatieschade aan uw domein. Het NCSC adviseert daarom elke organisatie — en niet alleen overheden, voor wie het verplicht is — om alle domeinnamen te beschermen met deze drie standaarden, óók domeinen waarvandaan nooit e-mail wordt verzonden.
Wat elke standaard doet
SPF — wie mag er versturen? In een DNS-record legt u vast welke servers namens uw domein mogen mailen. De ontvangende server controleert daar de verbinding tegen. Beperking: SPF kijkt naar het technische afzenderadres dat gebruikers niet zien, en gaat kapot bij doorsturen. Voor verzendende domeinen heeft een softfail (~all) meestal de voorkeur boven een hardfail, zodat een SPF-mislukking niet direct tot blokkade leidt voordat DKIM en DMARC zijn geëvalueerd.
DKIM — is de mail intact? Uw mailserver ondertekent elk bericht; de publieke sleutel staat in DNS. De ontvanger controleert de handtekening: het bericht komt echt van uw organisatie en is onderweg niet gewijzigd. Het NCSC adviseert RSA-SHA256 met 2048-bits sleutels (eventueel naast Ed25519), geen RSA-SHA1, en periodieke sleutelrotatie. Let op: een aanvaller kan een handtekening gewoon weglaten — DKIM alleen is dus geen bescherming.
DMARC — wat gebeurt er bij een mislukking? Uw DMARC-beleid vertelt ontvangende servers wat ze moeten doen met mail die noch aan SPF, noch aan DKIM met correcte alignment voldoet: none (alleen rapporteren), quarantine (als spam behandelen) of reject (weigeren). Voor een geslaagde DMARC-validatie is minimaal één van de twee mechanismen vereist mét geldige alignment — een SPF-pass zonder alignment faalt dus alsnog. De rapportagefunctie (rua) geeft u wekelijks inzicht in wat er allemaal namens uw domein verstuurd wordt.
Wat ze níet oplossen
Waarom dit nu urgent is
Deliverability: grote providers als Gmail en Yahoo eisen sinds 2024 dat bulkverzenders SPF, DKIM én een geldige DMARC-policy hebben; Microsoft heeft de controles in 2025 verder aangescherpt. Ontbrekende of foutieve configuratie leidt tot weigering of agressieve filtering van uw eigen mail. Uw facturen en offertes komen dus niet aan.
Stappenplan
Hulp bij de implementatie
Intune Solutions controleert en ingericht e-mailbeveiliging voor uw domeinen — van de scan van uw huidige e-mailbeveiliging tot volledige SPF/DKIM/DMARC-implementatie met begeleide overstap naar reject. Vraag een scan aan.
Bronnen: NCSC, “Bescherm je domeinen tegen phishing” (ncsc.nl); NCSC, “E-mail beveiligingsstandaarden” (ncsc.nl).
Categorieën
Tags
Recente berichten