Het probleem: e-mail controleert de afzender niet uit zichzelf
Het e-mailprotocol stamt uit een tijd waarin vertrouwen vanzelfsprekend was. Iedereen kan een bericht versturen met een willekeurig afzenderadres. Zonder aanvullende maatregelen kan een cybercrimineel dus een e-mail sturen die op het oog afkomstig is van directeur@jouworganisatie.nl. Dit heet spoofing.
Drie standaarden, drie functies
SPF: wie mag namens jouw domein mailen?
Met Sender Policy Framework leg je in DNS vast welke mailservers e-mail mogen versturen namens jouw domein. De ontvangende server controleert of een bericht van een van die servers komt. Vergelijk het met een gastenlijst bij de ingang.
SPF heeft twee beperkingen. Het controleert het technische afzenderadres, niet het adres dat de ontvanger in zijn mailprogramma ziet. En bij doorgestuurde e-mail gaat SPF vaak mis, omdat de doorsturende server niet op je lijst staat.
DKIM: is het bericht echt en onveranderd?
DomainKeys Identified Mail zet een digitale handtekening op elk uitgaand bericht. De ontvanger haalt je publieke sleutel op uit DNS en controleert of de handtekening klopt. Zo is aantoonbaar dat het bericht namens jouw domein is verstuurd en onderweg niet is aangepast. Vergelijk het met een verzegelde envelop. DKIM blijft bij doorsturen meestal intact en vult SPF daarmee aan.
DMARC: wat gebeurt er als het niet klopt?
DMARC koppelt SPF en DKIM aan het afzenderadres dat de ontvanger daadwerkelijk ziet. Daarnaast geef je ontvangende servers een instructie voor berichten die de controle niet doorstaan:
- p=none: accepteren en alleen rapporteren
- p=quarantine: in de spammap plaatsen
- p=reject: weigeren
Ook ontvang je rapportages over wie namens jouw domein mailt. Pas met quarantine of reject heeft het geheel echt effect. Met p=none komen vervalste berichten gewoon aan.
| Standaard | Wat het doet | Vergelijking | Belangrijkste beperking |
|---|---|---|---|
| SPF | Legt vast welke servers namens jou mogen mailen | Gastenlijst | Kijkt niet naar het zichtbare afzenderadres, breekt bij doorsturen |
| DKIM | Ondertekent berichten digitaal | Verzegelde envelop | Zegt niets over wat er met een mislukte controle moet gebeuren |
| DMARC | Koppelt beide aan het zichtbare adres en geeft een instructie | Portier met huisregels | Beschermt alleen je exacte domeinnaam |
Wat het oplevert tegen spearphishing
- Directe spoofing van je domein wordt lastig. Een cybercrimineel kan bij ontvangers die DMARC controleren niet meer ongemerkt mailen als iemand@jouwdomein.nl. Dat telt bij CEO-fraude binnen je organisatie, maar ook richting klanten en leveranciers.
- Zicht op misbruik. DMARC-rapportages laten zien welke diensten namens jou mailen, inclusief pogingen die je niet kende.
- Bescherming aan de ontvangende kant. Je eigen DMARC beschermt vooral anderen tegen misbruik van je domein. Je medewerkers profiteren pas als je mailomgeving ook inkomende berichten op SPF, DKIM en DMARC controleert en het beleid van de afzender respecteert. Controleer beide kanten.
Waar het ophoudt
DMARC beschermt je exacte domeinnaam. Niet meer en niet minder. Bij gerichte aanvallen zijn dit de gebruikelijke routes eromheen:
- Lookalike-domeinen. Een aanvaller registreert jouw0rganisatie.nl of jouworganisatie-betalingen.nl en stelt daar zelf SPF, DKIM en DMARC keurig op in. Het bericht doorstaat alle controles.
- Overgenomen mailboxen. Bij business email compromise via een overgenomen account komt het bericht echt van het juiste domein. De authenticatie klopt, de inhoud is vals.
- Misbruik van de weergavenaam. "Directeur Jansen" met een willekeurig Gmail-adres erachter. Op een telefoon ziet de ontvanger vaak alleen de naam.
- Legitieme diensten. Gedeelde documenten, agenda-uitnodigingen en OAuth-toestemmingsverzoeken komen van betrouwbare platforms en slagen dus voor elke controle.
- Andere kanalen. Telefoon, Teams, WhatsApp, QR-codes en deepfakes vallen volledig buiten e-mailauthenticatie.
"Een geslaagde DMARC-controle zegt dat een bericht van dat domein komt. Het zegt niet dat de afzender te vertrouwen is."
Wat je ernaast nodig hebt
- Domeinmonitoring op registraties die op jouw naam lijken.
- Markering van externe e-mail, bijvoorbeeld met een label of waarschuwing bij een eerste contact met een nieuwe afzender.
- Phishingresistente MFA om accountovername lastiger te maken.
- Een vaste verificatieprocedure voor betaalverzoeken en wijzigingen van bankgegevens, via een tweede, bekend kanaal.
- Medewerkers die weten waar ze op letten en een verdacht bericht zonder drempel melden.
In zeven stappen naar p=reject
- Inventariseer al je domeinen, ook de domeinen waarvan je niet mailt.
- Breng alle diensten in kaart die namens jou mailen: nieuwsbrief, CRM, facturatie, HR-systemen, ticketing.
- Stel SPF en DKIM in voor elke verzendende dienst. Gebruik DKIM-sleutels van minimaal 2048 bit.
- Start met DMARC op p=none met rapportage en analyseer wat er binnenkomt.
- Schaal op naar p=quarantine en daarna naar p=reject zodra alle legitieme stromen slagen.
- Geef domeinen waarvan je niet mailt direct
v=spf1 -allenp=reject. Vergeet je subdomeinen niet. - Test met internet.nl en blijf rapportages volgen. Er komen altijd nieuwe diensten bij.
Wie direct naar reject gaat zonder inventarisatie, loopt het risico dat legitieme e-mail wordt geweigerd. Neem daarom de tijd voor stap 2 tot en met 4.
Verplicht of vrijwillig?
Voor Nederlandse overheidsorganisaties is het gebruik van SPF, DKIM en DMARC verplicht via de 'pas toe of leg uit'-lijst van Forum Standaardisatie. Voor alle andere organisaties geldt een dringend advies van het NCSC.
Daarnaast eisen Google en Yahoo sinds februari 2024 dat organisaties die grote volumes versturen SPF, DKIM en minimaal DMARC p=none hebben ingesteld. Microsoft volgde in mei 2025 voor Outlook.com. Voor veel organisaties is e-mailauthenticatie daarmee ook een kwestie van afleverbaarheid geworden.
Vragen voor bestuurders
- Staan al onze domeinen, ook de ongebruikte, op p=reject?
- Wie leest de DMARC-rapportages en wat gebeurt er bij afwijkingen?
- Welke externe diensten mailen namens ons, en wie keurt een nieuwe dienst goed?
- Controleert onze eigen mailomgeving inkomende berichten op DMARC?
- Hoe beschermen we ons tegen lookalike-domeinen en overgenomen accounts, waar DMARC niet helpt?
Bronnen
Deze pagina bevat algemene informatie en is geen persoonlijk advies. Leading Digital is niet aansprakelijk voor schade die voortvloeit uit het gebruik van deze informatie. Volg bij een incident altijd de procedures van je eigen organisatie.