Iemand verstuurt mails uit jouw naam: SPF, DKIM en DMARC in mensentaal

Een klant belt: 'Ik heb een factuur van jullie gekregen met een ander rekeningnummer, klopt dat?' Je hebt niets verstuurd. Toch staat jouw naam en jouw e-mailadres als afzender. Dit overkomt KMO's elke week, en het vervelende is dat je het meestal pas hoort van de ontvanger. In dit artikel leggen we uit wat er gebeurt, waarom drie technische instellingen (SPF, DKIM en DMARC) dit grotendeels voorkomen, en hoe je nagaat of het bij jou goed staat. Zonder technische voorkennis.

Spoofing of gehackt? Twee verschillende problemen

Eerst het onderscheid, want de aanpak verschilt.

• Spoofing: iemand vervalst het afzenderadres. Zoals je op een brief eender welke naam als afzender kunt schrijven, kan een aanvaller een mail versturen met jouw adres erop, zonder ooit in je mailbox te zijn geweest. Jouw systemen zijn niet gehackt. De ontvangende mailserver moet dit tegenhouden, en dat kan alleen als jij die server verteld hebt wat wel en niet van jou komt.
• Gehackte mailbox: iemand heeft je wachtwoord en logt effectief in op je account. Dan vertrekken de mails echt vanuit jouw mailbox, vaak na weken stil meelezen. Dat is ernstiger. Lees in dat geval meteen phishing herkennen en wat als iemand geklikt heeft.

Zo zie je het verschil: kijk in je map 'Verzonden items' en in de aanmeldgeschiedenis van je account. Zie je daar niets vreemds, dan is het waarschijnlijk spoofing. Zie je onbekende aanmeldingen of regels die mail doorsturen, dan is het een hack en verander je onmiddellijk je wachtwoord.

SPF, DKIM en DMARC in mensentaal

Deze drie zijn instellingen op je domeinnaam, het stuk na de @. Ze werken samen, en elk doet één ding.

SPF is de lijst van wie post mag versturen namens jou. Je zegt aan de wereld: 'mails van mijnbedrijf.be komen uit Microsoft 365, uit onze nieuwsbrieftool en uit ons boekhoudpakket. Al de rest is niet van ons.' Een ontvangende server controleert die lijst.

DKIM is de handtekening op de brief. Elke mail die je verstuurt krijgt een digitale handtekening die alleen jouw mailsysteem kan zetten. De ontvanger controleert of de handtekening klopt en of er onderweg niets aan de mail veranderd is.

DMARC is de instructie voor de ontvanger: wat moet die doen als SPF of DKIM niet klopt? Niets (none), in de spam zetten (quarantine) of weigeren (reject). DMARC zegt ook waar de rapporten naartoe moeten, zodat jij ziet wie er allemaal namens jou probeert te mailen.

Waarom dit ook je eigen afleverbaarheid raakt

Dit gaat niet alleen over aanvallers. De grote mailproviders stellen steeds strengere eisen aan wie hen mail stuurt. Zonder correcte SPF, DKIM en DMARC belanden je eigen offertes en facturen vaker in de spam, of komen ze gewoon niet aan. Dat merk je niet, want niemand meldt je dat. Je merkt alleen dat klanten 'niets ontvangen hebben'. Verstuur je nieuwsbrieven of mails naar veel ontvangers tegelijk, dan is dit vandaag een voorwaarde, geen optie meer.

Zo controleer je of het bij jou goed staat

Je hoeft hier zelf niet in te duiken. Twee opties.

• Er bestaan gratis online checks waar je je domeinnaam invult en die meteen tonen of SPF, DKIM en DMARC aanwezig en correct zijn. Zoek op 'DMARC check' en je vindt er meerdere.
• Vraag het aan je IT-partner. Dit nakijken duurt tien minuten. Als je partner niet weet wat je bedoelt, is dat op zich al een antwoord.

Wat je wil zien: SPF aanwezig zonder fouten, DKIM actief voor je mailsysteem, en DMARC op minstens quarantine met een rapportadres dat ook effectief bekeken wordt.

Veelgemaakte fouten

• Een tool die namens jou mailt en niet in SPF staat. De nieuwsbrieftool, het boekhoudpakket dat facturen verstuurt, de webshop, het planningsprogramma. Elk daarvan moet in de lijst, anders wordt precies die mail geweigerd.
• DMARC op 'none' laten staan, jaren aan een stuk. Dan controleert de ontvanger wel, maar doet die er niets mee. Je bent even kwetsbaar als zonder DMARC.
• Rapporten die naar een mailbox gaan waar niemand naar kijkt.
• Meerdere domeinen vergeten. Het oude domein dat je nog bezit, het .com naast het .be, het domein van de vorige handelsnaam. Alles wat je bezit en waarvan je geen mail verstuurt, zet je expliciet op 'niemand mag hiermee mailen'.

Stappenplan

1. Inventariseer wie er namens jou mailt. Maak een lijstje van elke dienst die mail met jouw adres verstuurt. Vraag het na bij je boekhouder en wie de marketing doet, die weten er vaak meer van dan jij.
2. Zet SPF en DKIM correct voor elk van die diensten. Dit is een uur werk voor je IT-partner, op voorwaarde dat het lijstje volledig is.
3. Zet DMARC op monitoring (none) met een rapportadres. Enkele weken lang zie je wie er allemaal namens jou mailt, ook de diensten die je vergeten was.
4. Verstreng na enkele weken naar quarantine en daarna naar reject. Vanaf dan wordt een vervalste mail met jouw adres geweigerd bij elke ontvanger die DMARC respecteert.
5. Zet het rapportadres in de agenda: één keer per kwartaal bekijken.

Worden er vandaag al valse facturen met jouw naam verstuurd, lees dan ook factuurfraude: een valse rekening voorkomen. Spoofing is vaak de techniek achter de valse factuur.