Is SPF genoeg tegen vervalste e-mail?

Nee. SPF controleert de verborgen envelop-afzender, niet het Van-adres dat mensen zien. Je hebt ook DMARC nodig; dat koppelt SPF en DKIM aan het zichtbare Van-adres.

Hoe lang duurt een wijziging in mijn SPF-record?

Meestal minuten tot een paar uur, afhankelijk van de TTL van het record. Voer de check daarna opnieuw uit.

Heb ik SPF nodig op een domein dat nooit mail verstuurt?

Ja. Publiceer “v=spf1 -all” en een DMARC-record met p=reject, zodat niemand mail uit naam van dat domein kan versturen.

SPF-record checker

Controleer het SPF-record van elk domein. We testen de syntax, tellen de DNS-opvragingen tegen de grens van 10 en vertellen je precies wat je moet aanpassen. DKIM, DMARC en MTA-STS staan in hetzelfde rapport.

Wat is SPF?

SPF (Sender Policy Framework) is een TXT-record in je DNS met de servers die e-mail mogen versturen voor je domein. Ontvangende mailservers vergelijken de verzendende server met die lijst. Een record ziet er zo uit:

v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all

De meest gemaakte SPF-fouten

Twee SPF-records. Een domein mag maar één record hebben dat begint met v=spf1. Bij twee records zien ontvangers SPF als kapot. Voeg ze samen tot één.

Meer dan 10 DNS-opvragingen. Elke include, a, mx en redirect kost een opvraging, ook die binnen andere includes. Boven de 10 faalt SPF. Verwijder diensten die je niet meer gebruikt of vraag je provider om een platte include.

+all aan het eind. Daarmee mag elke server ter wereld mail versturen uit jouw naam. Gebruik -all (weigeren) of ~all (zacht falen).

Een afzender vergeten. Nieuwsbrieven, factuursoftware en het contactformulier van je website versturen vaak mail uit jouw naam. Voeg ze allemaal toe, anders belandt hun mail in de spam.

~all of -all?

~all vraagt ontvangers mail van andere servers te accepteren maar te markeren; -all vraagt ze die te weigeren. Met DMARC is het verschil klein, want DMARC beslist wat er gebeurt. Begin met ~all en stap over op -all zodra je al je afzenders kent.

Vragen

Is SPF genoeg tegen vervalste e-mail?: Nee. SPF controleert de verborgen envelop-afzender, niet het Van-adres dat mensen zien. Je hebt ook DMARC nodig; dat koppelt SPF en DKIM aan het zichtbare Van-adres.
Hoe lang duurt een wijziging in mijn SPF-record?: Meestal minuten tot een paar uur, afhankelijk van de TTL van het record. Voer de check daarna opnieuw uit.
Heb ik SPF nodig op een domein dat nooit mail verstuurt?: Ja. Publiceer “v=spf1 -all” en een DMARC-record met p=reject, zodat niemand mail uit naam van dat domein kan versturen.

OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com