Beveiliging E-mail

SPF (Sender Policy Framework): Waarom het belangrijk is voor jouw e-mailbeveiliging.

In de introductie blogpost over e-mailbeveiliging, hebben we een overzicht gegeven van de verschillende methoden om jouw e-mails te beveiligen en je domein te beschermen tegen misbruik. In het onderstaande artikel, deel 1, duiken we dieper in op een van de meest cruciale maatregelen: SPF (Sender Policy Framework).

Wat is SPF en waarom is het belangrijk?

SPF is een techniek die voorkomt dat kwaadwillenden namens jouw domein e-mails kunnen versturen. Het is een soort ‘controlelijst’ die aangeeft welke servers toestemming hebben om namens jouw domein e-mails te verzenden. Hiermee bescherm je jouw domein tegen zogenaamde “spoofing” – waarbij iemand zich voordoet als jou om frauduleuze e-mails te versturen.

Voorbeeld: Stel dat iemand een e-mail verstuurt vanaf jouw domein zonder jouw toestemming. Zonder SPF zou de ontvangende server geen manier hebben om te controleren of die e-mail echt van jou komt. Met SPF kan de ontvangende server jouw domein raadplegen om te zien welke servers geautoriseerd zijn om e-mails te versturen. Als de e-mail van een ongeautoriseerde server komt, zal de ontvangende server de e-mail markeren als verdacht of spam.

Hoe werkt SPF?

SPF werkt door een zogenaamd SPF-record toe te voegen aan de DNS (Domain Name System) van je domein. Dit record bevat een lijst van IP-adressen en servers die gemachtigd zijn om namens jouw domein e-mails te verzenden.

  1. SPF-record instellen: Je voegt een SPF-record toe aan de DNS-instellingen van jouw domein. Dit record bevat een lijst van servers/IP-adressen die e-mails mogen versturen.
  2. Verificatie door de ontvanger: Wanneer een e-mailserver een e-mail ontvangt, controleert deze server of het IP-adres van de verzender voorkomt in het SPF-record van jouw domein.
  3. Behandeling door de ontvanger: Als het IP-adres in het SPF-record staat, wordt de e-mail als legitiem gezien. Zo niet, dan wordt de e-mail gemarkeerd als spam of geweigerd.

Waarom SPF essentieel is voor jouw e-mailbeveiliging

SPF is de eerste verdedigingslinie tegen het misbruik van jouw domein. Door SPF correct in te stellen, zorg je ervoor dat alleen geautoriseerde servers namens jouw domein mogen e-mailen. Dit voorkomt dat spammers jouw domein gebruiken om valse e-mails te versturen, wat schadelijk kan zijn voor jouw reputatie.

De voordelen van SPF op een rij

  • Bescherming tegen domeinmisbruik: Voorkom dat anderen e-mails versturen die van jouw domein lijken te komen.
  • Betere inboxlevering: Correct ingestelde SPF-records helpen om te voorkomen dat jouw legitieme e-mails in de spamfolder belanden.
  • Vertrouwen opbouwen bij ontvangers: Ontvangers zien dat je de juiste beveiligingsmaatregelen hebt genomen, wat helpt bij het opbouwen van vertrouwen.

Hoe controleer je of SPF correct is ingesteld?

Je kunt eenvoudig controleren of jouw domein een geldig SPF-record heeft. Dit kan met behulp van verschillende online tools, zoals:

  • MXToolbox: Voer jouw domeinnaam in om te zien of er een correct SPF-record is ingesteld. Je kunt dit doen op hun website.
  • SPF Record Checkers: Deze tools laten je zien welke servers geautoriseerd zijn om namens jouw domein e-mails te versturen en of er fouten in het record zitten.

Voorbeeld SPF record

Als je met de SPF check van MXToolbox een controle hebt uitgevoerd kan er iets uitkomen zoals v=spf1 include:spf.jouwprovider.nl include:spf.protection.outlook.com ip4:212.114.113.0 ip6:2001:67c:78:291:195:60:215:0 ~all"

Wat betekenen de verschillende onderdelen?

  1. v=spf1:
    Dit geeft de versie van het SPF-record aan. SPF1 is de huidige versie en moet altijd aan het begin van het record staan om aan te geven dat het een SPF-record is.

  2. include:spf.jouwprovider.nl:
    Het include-mechanisme betekent dat alle servers die geautoriseerd zijn in het SPF-record van spf.jouwprovider.nl ook namens jouw domein mogen e-mailen. Dit wordt vaak gebruikt wanneer je een derde partij of een hostingprovider gebruikt om e-mails te versturen. Hier wordt vertrouwd op de instellingen van dat platform.

    Een voorbeeld hiervan is ook include:spf.protection.outlook.com

    Dit betekent dat e-mails die via de servers van Outlook.com (in dit geval de Microsoft 365/Exchange servers) worden verstuurd, ook geautoriseerd zijn om namens jouw domein e-mails te versturen. Als je bijvoorbeeld Microsoft 365 voor e-mails gebruikt, moet dit worden opgenomen.

  3. ip4:212.114.113.0 en ip6:2001:67c:78:291:195:60:215:0:
    Dit zijn de IP-adressen van specifieke servers die geautoriseerd zijn om e-mails namens jouw domein te verzenden. In dit geval zijn zowel 212.114.113.0 als 2001:67c:78:291:195:60:215:0 toegevoegd als geautoriseerde afzenders. Als je eigen servers of die van een partner rechtstreeks e-mails versturen, moet je hun IP-adressen hier opnemen.

  4. ~all:
    Dit is het beleid dat wordt toegepast als een e-mail afkomstig is van een server die niet in het SPF-record staat. ~all (tilde all) betekent een “soft fail”. Dit houdt in dat e-mails van niet-geautoriseerde servers niet automatisch worden geweigerd, maar worden gemarkeerd als verdacht of minder betrouwbaar.

    Alternatieven voor ~all:

    • -all: Dit betekent een “hard fail”, waarbij e-mails die niet aan het SPF-record voldoen, direct worden geweigerd.
    • ?all: Dit is een “neutral” instelling, waarbij het SPF-record geen oordeel velt over de authenticiteit van de e-mail. Dit wordt meestal afgeraden.

Tips voor het instellen van een SPF-record

  • Zorg ervoor dat je alle e-mailservers en diensten die namens jou e-mails versturen in het SPF-record opneemt. Dit kan bijvoorbeeld de server van je website zijn, een e-mailmarketingplatform of een CRM-systeem.
  • Beperk het aantal DNS-lookups in je SPF-record om problemen met prestaties te voorkomen. De standaard schrijft voor dat er maximaal 10 DNS lookups gedaan mogen worden. Indien dit er meer zijn kan het zijn dat de ontvangende server het SPF record als ongeldig ziet en/of er vertraging in de aflevering ontstaat. 

Een DNS lookup is het proces waarbij een domeinnaam (zoals voorbeeld.com) wordt vertaald naar een IP-adres, zodat je computer weet waar hij de website kan vinden.

SPF alleen is niet genoeg

Hoewel SPF een belangrijke stap is in e-mailbeveiliging, is het niet voldoende om jouw e-mails volledig te beschermen. SPF werkt het beste in combinatie met andere technieken zoals DKIM en DMARC, die we in de volgende blogs zullen bespreken. Samen vormen deze maatregelen een krachtig verdedigingssysteem tegen e-mailfraude en misbruik.

Meer weten over e-mail beveiliging?

Deze blog is onderdeel van onze serie over e-mailbeveiliging, gebaseerd op de introductieblog “De basis van e-mailbeveiliging: Bescherm je domein en e-mails”. In deze serie behandelen we diverse essentiële onderwerpen om jouw e-mailverkeer veilig en betrouwbaar te houden.

Lees ook onze andere blogs:

Artikel delen