SPF, DKIM en DMARC uitgelegd
SPF, DKIM en DMARC zijn drie aparte DNS-teksten die één vraag gezamenlijk beantwoorden: mag dit bericht namens jouw domein staan? SPF zegt wie er namens je domein mag versturen, DKIM bewijst dat het bericht werkelijk van die afzender kwam, en DMARC koppelt de twee en bepaalt wat er moet gebeuren als ze falen.
Verwar de lagen niet: een SPF die alles toestaat maakt DKIM niet overbodig, en een DMARC op p=reject redt geen bericht waarvan de handtekening niet uitkomt. Élke laag meet iets anders, en de Mailbeveiliging-tool meet ze allen — MX, SPF, DMARC, DKIM-sleutels en hun bits, BIMI, MTA-STS, TLS-RPT en DANE in één beeld, met een cijfer dat alleen gemeten lagen telt.
Dit artikel legt uit wat élke laag beantwoordt, in welke volgorde je ze praktisch zet, en welke meting je bij de hand moet hebben voordat je DMARC dichtzet.
SPF: wie er mag versturen
Een SPF-tekst is een lijst van partijen die post mogen versturen namens je domein, met als grens het lookup-limiet van RFC 7208: tien navragen, dan is het klaar. Een include die je niet meer kent — van een oude maildienst, een CRM, een facturatiesysteem — is het meest voorkomende lek. Of een specifiek IP-adres erdoor heen komt, rekent de SPF-naberekening na, include-keten voor include-keten; Hoe check je of een IP in je SPF staat is daar de practical uitwerking.
DKIM: de handtekening op het bericht
DKIM plakt een cryptische handtekening op het bericht zelf; de ontvanger haalt de publieke sleutel op bij de selector in je DNS en meet de body-hash na. Waar SPF een adres controleert, controleert DKIM de inhoud — en een selector met een 512-bit sleutel is tegenwoordig zwak materiaal. De DKIM-verificatie doet dezelfde herberekening in jouw browser: plak de brontekst van een bericht en de signature komt uit of niet.
DMARC: de beslissing bij falen
DMARC is de baas boven SPF en DKIM: het zegt welke alignment vereist is, wat er moet gebeuren bij falen (none, quarantine, reject), en waar rapportage heen gaat. Zet het nooit direct op p=reject zonder meetdata: begin op p=none, lees een paar weken de aggregaatroofs, en verzwaar naar reject op grond van wat de roof laat zien — het lezen ervan leer je in DMARC-aggregaatroof lezen.
Meet voor je dichtzet
De volgorde die werkt: meet eerst wat er al namens je domein onderweg is (roof), check wie er nu door je SPF heen komt (SPF-naberekening), en kijk of je DKIM-selectors uitkomen voordat je iets dichtzet. Mailbeveiliging geeft het hele beeld van één domein in één keer — inclusief BIMI en MTA-STS, wat later pas relevant wordt als de basis staat.