E-mailbeveiliging (SPF, DKIM, DMARC)
Controleer SPF, DKIM, DMARC en MTA-STS tegen spoofing en spam.
Over deze tool
Iedereen kan een e-mail versturen met jouw domeinnaam als afzender, tenzij je dat afschermt. Oplichters maken daar graag gebruik van, bijvoorbeeld met nepfacturen die van jouw bedrijf lijken te komen. Daarnaast kijken Gmail, Outlook en andere ontvangers steeds strenger of je mail goed is ingericht. Ontbreken SPF, DKIM of DMARC, dan belandt ook je echte mail sneller in de spam. Google en Yahoo eisen sinds 2024 zelfs DMARC voor iedereen die veel mail verstuurt.
Deze gratis check bekijkt de DNS-instellingen die bepalen of jouw mail te vertrouwen is. Per onderdeel zie je wat goed gaat, wat ontbreekt en welk record je precies moet toevoegen in je DNS-beheer. Zo kun je het zelf oplossen, of gericht doorgeven aan je hostingpartij of IT-beheerder.
Wat we controleren
- MX-records: ontvangt je domein mail, bestaan de mailservers en welke provider gebruik je
- SPF: precies één geldig record, de afsluitende all-regel en het aantal DNS-lookups (maximaal 10)
- Fouten in SPF-verwijzingen (include), lege verwijzingen en het afgeraden ptr
- DKIM: sleutels onder ruim 50 bekende selectors, en of de sleutel lang genoeg is
- DMARC: beleid (none, quarantine of reject), percentage en rapportadressen
- MTA-STS en TLS-rapportage voor versleutelde aflevering van mail
- BIMI, voor je logo naast je mail in de inbox
- Subdomeinen met eigen mailinstellingen, zoals nieuwsbrief.jouwdomein.nl: we controleren dan dat subdomein, met het DMARC-record van je hoofddomein als terugval
Veelgestelde vragen
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF is een lijst van servers die namens je domein mogen mailen. DKIM zet een digitale handtekening op elke mail, zodat de ontvanger ziet dat de mail echt van jou komt en onderweg niet is aangepast. DMARC koppelt die twee en vertelt ontvangers wat ze moeten doen met mail die niet klopt: doorlaten, in de spam zetten of weigeren.
Waarom vindt de check mijn DKIM niet, terwijl het wel aan staat?
Een DKIM-sleutel staat onder een naam (selector) die je provider kiest, en die is van buitenaf niet op te vragen. We proberen de selectors van alle bekende mailproviders, maar een eigen naam kunnen we missen. Controleer het in de berichtkop van een verstuurde mail: staat daar DKIM-Signature met d=jouwdomein.nl, dan werkt het.
Moet ik DMARC meteen op reject zetten?
Liever niet. Begin met p=none en een rua-adres, zodat je rapporten krijgt over wie er namens je domein mailt. Staan al je eigen verzenders, zoals je nieuwsbriefdienst en boekhoudpakket, goed in SPF of DKIM, ga dan via quarantine naar reject.
Wat betekent te veel DNS-lookups bij SPF?
Een ontvanger mag maximaal 10 extra DNS-vragen doen om je SPF te controleren. Elke include, a, mx en redirect telt mee, ook als die binnen een andere include staat. Ga je daarboven, dan faalt SPF voor al je mail. Haal verwijzingen weg naar diensten die je niet meer gebruikt, of vervang ze door vaste IP-adressen.
Mijn domein verstuurt geen mail. Moet ik dan toch iets doen?
Ja, juist dan. Oplichters zoeken domeinen zonder bescherming. Zet een SPF-record met v=spf1 -all, een DMARC-record met v=DMARC1; p=reject; en eventueel een null MX. Dan weet elke ontvanger dat mail van dit domein niet echt is.
Wat is MTA-STS?
MTA-STS zorgt ervoor dat andere mailservers alleen versleuteld mail aan jou afleveren, en alleen bij de mailservers die jij opgeeft. Het is een extra laag bovenop SPF, DKIM en DMARC. Wil je hulp bij het instellen van DMARC of MTA-STS, dan kan Held IT dat voor je regelen.