Berichten

E-mail verificatie standaarden: SPF, DKIM en DMARC zijn veelbelovend in het terugdringen van pogingen om e-mail te spoofen en het verbeteren van de bezorgbaarheid van e-mail. E-mailverificatiestandaarden onderscheiden gespoofde (nep) e-mails van legitieme, maar gaan verder door na te gaan of een e-mail legitiem is door de identiteit van de afzender te verifiëren.

Naarmate meer organisaties deze normen overnemen, zal de algemene boodschap van vertrouwen en autoriteit in e-mailcommunicatie zich opnieuw beginnen af te tekenen. Elk bedrijf dat afhankelijk is van e-mailmarketing, projectaanvragen, financiële transacties en de algemene uitwisseling van informatie binnen of tussen bedrijven, moet de basisprincipes begrijpen van wat deze oplossingen moeten bewerkstelligen en welke voordelen zij eruit kunnen halen.

Wat is e-mail Spoofing?

E-mail spoofing is een veelvoorkomend cyberbeveiligingsprobleem waar bedrijven tegenwoordig mee te maken hebben. In dit artikel zullen we begrijpen hoe spoofing werkt en de verschillende methoden om het te bestrijden. We leren meer over de drie verificatiestandaarden die door e-mailproviders worden gebruikt - SPF, DKIM en DMARC - om dit te voorkomen.

Email spoofing kan worden geclassificeerd als een geavanceerde social engineering-aanval waarbij gebruik wordt gemaakt van een combinatie van geavanceerde technieken om de berichtenomgeving te manipuleren en de legitieme kenmerken van e-mail te misbruiken. Deze e-mails zien er vaak volkomen legitiem uit, maar zijn ontworpen met de bedoeling toegang te krijgen tot uw informatie en/of bronnen. Email spoofing wordt gebruikt voor uiteenlopende doeleinden, variërend van pogingen om fraude te plegen, de beveiliging te doorbreken en zelfs om te proberen toegang te krijgen tot vertrouwelijke bedrijfsinformatie. Spoofing-aanvallen zijn een zeer populaire vorm van e-mailvervalsing en hebben tot doel ontvangers te laten geloven dat een e-mail is verzonden door een bedrijf dat zij gebruiken en kunnen vertrouwen, in plaats van de eigenlijke afzender. Aangezien e-mails steeds vaker in bulk worden verzonden en ontvangen, is deze kwaadaardige vorm van e-maildiefstal de laatste jaren sterk toegenomen.

Hoe kan e-mailauthenticatie spoofing voorkomen?

E-mailverificatie helpt u bij het verifiëren van e-mailverzendbronnen met protocollen als SPF, DKIM en DMARC om te voorkomen dat aanvallers domeinnamen vervalsen en spoofingaanvallen uitvoeren om nietsvermoedende gebruikers voor de gek te houden. Het biedt verifieerbare informatie over e-mailverzenders die kan worden gebruikt om hun legitimiteit aan te tonen en aan ontvangende MTA's aan te geven wat te doen met e-mails die niet kunnen worden geverifieerd.

Om de verschillende voordelen van e-mailverificatie op een rijtje te zetten, kunnen we dus bevestigen dat SPF, DKIM en DMARC daarbij helpen:

  • Uw domein beschermen tegen phishing-aanvallen, domein-spoofing en BEC
  • verstrekken van granulaire informatie en inzichten over e-mailverzendbronnen
  • Verbetering van domeinreputatie en e-mail deliverability rates
  • Voorkomen dat uw legitieme e-mails als spam worden aangemerkt

Hoe werken SPF, DKIM, en DMARC samen om Spoofing tegen te gaan?

Beleidskader afzender

SPF is een e-mailverificatietechniek die wordt gebruikt om te voorkomen dat spammers namens uw domein berichten verzenden. Hiermee kunt u geautoriseerde mailservers publiceren, zodat u kunt aangeven welke mailservers namens uw domein e-mails mogen verzenden. Een SPF record wordt opgeslagen in de DNS, met een lijst van alle IP adressen die gemachtigd zijn om mail te versturen voor uw organisatie.

Als je SPF wil gebruiken op een manier die de goede werking ervan verzekert, moet je ervoor zorgen dat SPF niet stuk gaat voor je emails. Dit kan gebeuren als je de 10 DNS lookup limiet overschrijdt, waardoor SPF permerror wordt. SPF flattening kan u helpen onder de limiet te blijven en uw emails naadloos te authenticeren.

DomainKeys Geïdentificeerde Mail

Door u voor te doen als een vertrouwde afzender kunt u uw ontvanger overhalen niet op zijn hoede te zijn. DKIM is een oplossing voor e-mailbeveiliging die een digitale handtekening toevoegt aan elk bericht dat uit de inbox van uw klant komt, zodat de ontvanger kan verifiëren of het bericht inderdaad door uw domein is geautoriseerd en in de vertrouwde lijst van afzenders van uw site is opgenomen.

DKIM voegt een unieke hashwaarde, gekoppeld aan een domeinnaam, toe aan elk uitgaand e-mailbericht, zodat de ontvanger kan controleren of een e-mail die beweert van een bepaald domein afkomstig te zijn, inderdaad door de eigenaar van dat domein is geautoriseerd of niet. Dit helpt uiteindelijk om pogingen tot spoofing op te sporen.

Domeingebaseerde berichtauthenticatie, -rapportage en -conformiteit

Het simpelweg implementeren van SPF en DKIM kan helpen bij het verifiëren van verzendbronnen, maar is niet effectief genoeg om spoofing tegen te gaan. Om te voorkomen dat cybercriminelen uw ontvangers nep-e-mails sturen, moet u DMARC vandaag nog implementeren. DMARC helpt u e-mailheaders op elkaar af te stemmen om e-mailadressen van herkomst te verifiëren, waardoor pogingen tot spoofing en frauduleus gebruik van domeinnamen worden ontmaskerd. Bovendien geeft het domeineigenaren de macht om aan te geven hoe e-mail ontvangende servers moeten reageren op e-mails die niet voldoen aan SPF en DKIM verificatie. Domeineigenaren kunnen kiezen om nep-e-mails af te leveren, in quarantaine te plaatsen of te weigeren op basis van de mate van DMARC handhaving die zij nodig hebben.

Opmerking: Alleen met een DMARC beleid van reject kunt u spoofing stoppen.

Daarnaast biedt DMARC ook een rapportagemechanisme om domeineigenaren inzicht te geven in hun e-mailkanalen en verificatieresultaten. Door uw DMARC-rapportanalyser te configureren, kunt u uw e-maildomeinen op regelmatige basis controleren met gedetailleerde informatie over e-mailverzendbronnen, e-mailverificatieresultaten, geolocaties van frauduleuze IP-adressen en de algemene prestaties van uw e-mails. Het helpt u uw DMARC-gegevens in een georganiseerd en leesbaar formaat te ontleden, en sneller actie te ondernemen tegen aanvallers.

Uiteindelijk kunnen SPF, DKIM en DMARC samenwerken om de e-mailbeveiliging van uw organisatie naar nieuwe hoogten te tillen en aanvallers ervan te weerhouden uw domeinnaam te spoofen om de reputatie en geloofwaardigheid van uw organisatie te beschermen.

Als u op deze pagina bent en deze blog leest, is de kans groot dat u een van de volgende vragen bent tegengekomen:

  • Geen SPF record gevonden
  • SPF record ontbreekt
  • Geen SPF record
  • SPF record niet gevonden
  • Geen SPF record gepubliceerd
  • Kan SPF record niet vinden

De prompt betekent simpelweg dat uw domein niet is geconfigureerd met SPF e-mail authenticatie standaard. Een SPF record is een DNS TXT record dat wordt gepubliceerd in de DNS van uw domein om berichten te authenticeren door ze te vergelijken met de geautoriseerde IP adressen die namens uw domein e-mails mogen versturen, opgenomen in uw SPF record. Dus als uw domein niet is geauthenticeerd met het SPF protocol kunt u natuurlijk een "Geen SPF record gevonden" bericht tegenkomen.

Wat is Sender Policy Framework (SPF)?

SPF e-mailverificatiestandaard is een mechanisme dat wordt gebruikt om te voorkomen dat spammers e-mails vervalsen. Het gebruikt DNS records om te verifiëren dat de verzendende server toestemming heeft om emails van de domeinnaam te verzenden. SPF, wat staat voor Sender Policy Framework, maakt het mogelijk om toegestane verzenders van emails op uw domein te identificeren.

SPF is een "pad-gebaseerd" authenticatiesysteem, wat betekent dat het gerelateerd is aan het pad dat de e-mail aflegt van de oorspronkelijke verzendende server naar de ontvangende server. SPF stelt organisaties niet alleen in staat IP-adressen te machtigen hun domeinnamen te gebruiken bij het verzenden van e-mails, maar biedt ook een manier waarop een ontvangende e-mailserver die machtiging kan controleren.

Moet ik SPF configureren?

Er is u waarschijnlijk verteld dat u SPF (Sender Policy Framework) e-mailverificatie nodig hebt. Maar heeft een bedrijf dit echt nodig? En zo ja, zijn er nog andere voordelen? Die vraag wordt meestal begrepen als de onderneming een grote e-mail uitwisselaar wordt voor hun organisatie. Met SPF kunt u e-mailgedrag volgen om frauduleuze berichten op te sporen en uw bedrijf te beschermen tegen spam-gerelateerde problemen, spoofing en phishing-aanvallen. SPF helpt u maximale deliverability en merkbescherming te bereiken door de identiteit van de afzenders te verifiëren.

Hoe werkt SPF?

  • SPF-records zijn speciaal geformatteerde DNS-records (Domain Name System) die door domeinbeheerders worden gepubliceerd en die bepalen welke mailservers gemachtigd zijn om namens dat domein mail te verzenden.
  • Als SPF voor uw domein is geconfigureerd, zoekt de mailserver van de ontvanger, telkens wanneer een e-mail vanaf uw domein wordt verzonden, de specificaties voor het retourpaddomein op in het
  • DNS. Vervolgens wordt geprobeerd het IP-adres van de afzender te koppelen aan de geautoriseerde adressen die in uw SPF-record zijn gedefinieerd.
  • Volgens de SPF-beleidsspecificaties beslist de ontvangende server dan of de e-mail moet worden afgeleverd, geweigerd of gemarkeerd indien de authenticatie mislukt.

De syntax van een SPF record uitsplitsen

Laten we het voorbeeld nemen van een SPF record voor een dummy domein met de correcte syntax:

v=spf1 ip4:29.337.148 include:domain.com -all

 

Het bericht "Geen SPF record gevonden" stoppen

Als u niet langer de vervelende melding "Geen SPF record gevonden" wilt krijgen, hoeft u alleen maar SPF voor uw domein te configureren door een DNS TXT record te publiceren. U kunt onze gratis SPF record generator gebruiken om direct een record met de juiste syntaxis te maken, om in uw DNS te publiceren.

Alles wat je hoeft te doen is:

  • Kies of u wilt toestaan dat als MX vermelde servers e-mails voor uw domein verzenden
  • Kies of u wilt toestaan dat het huidige IP-adres van het domein e-mail verstuurt voor dit domein
  • Vul de IP adressen in die gemachtigd zijn om emails te versturen vanaf uw domein
  • Voeg alle andere server hostnamen of domeinen toe die mail kunnen afleveren of doorsturen voor uw domein
  • Kies uw SPF beleid modus of het niveau van strengheid van de ontvangende server uit Fail (niet-conforme emails worden geweigerd), Soft-fail (niet-conforme emails worden geaccepteerd maar gemarkeerd), en Neutral (Mails worden waarschijnlijk wel geaccepteerd)
  • Klik op SPF-record genereren om onmiddellijk uw record aan te maken

Indien u SPF al heeft geconfigureerd voor uw domein, kunt u ook onze gratis SPF record checker gebruiken om uw SPF record op te zoeken, te valideren en problemen op te sporen.

Is het publiceren van een SPF Record voldoende?

Het antwoord is nee. SPF alleen kan niet voorkomen dat uw merk wordt nagebootst. Voor optimale bescherming tegen direct-domain spoofing, phishing aanvallen en BEC, moet u DKIM en DMARC configureren voor uw domein.

Bovendien heeft SPF een limiet van 10 DNS lookups. Als je deze limiet overschrijdt zal je SPF breken en zal de authenticatie falen voor zelfs legitieme emails. Daarom heb je een dynamische SPF flattener nodig die je helpt onder de 10 DNS lookup limiet te blijven, en die je op de hoogte houdt van wijzigingen die door je e-mail exchange providers worden gemaakt.

Hopelijk heeft deze blog u geholpen uw probleem op te lossen en hoeft u zich nooit meer zorgen te maken dat u last heeft van de melding "Geen SPF record gevonden". Meld u vandaag nog aan voor een gratis proefversie van e-mailverificatie om uw e-maildeliverability en e-mailbeveiliging te verbeteren!

 

Redenen om SPF afvlakking te vermijden

Sender Policy Framework, of SPF is een alom geprezen e-mail authenticatie protocol dat uw berichten valideert door ze te vergelijken met alle geautoriseerde IP adressen die voor uw domein in uw SPF record zijn geregistreerd. Om emails te valideren, specificeert SPF aan de ontvangende mail server om DNS queries uit te voeren om te controleren op geautoriseerde IP's, wat resulteert in DNS lookups.

Uw SPF record bestaat als een DNS TXT record dat gevormd wordt uit een assemblage van verschillende mechanismen. De meeste van deze mechanismen (zoals include, a, mx, redirect, exists, ptr) genereren DNS lookups. Het maximum aantal DNS-lookups voor SPF-authenticatie is echter beperkt tot 10. Als u verschillende derde partijen gebruikt om emails te versturen met uw domein, kunt u gemakkelijk de harde limiet van SPF overschrijden.

U vraagt zich misschien af wat er gebeurt als u deze limiet overschrijdt? Het overschrijden van de 10 DNS lookup limiet zal leiden tot SPF mislukking en zelfs legitieme berichten verzonden vanaf uw domein ongeldig maken. In zulke gevallen stuurt de ontvangende mail server een SPF PermError rapport terug naar uw domein als u DMARC monitoring heeft ingeschakeld. Dit brengt ons bij het primaire onderwerp van discussie voor deze blog: SPF flattening.

Wat is SPF afvlakking?

SPF record flattening is één van de populaire methodes die gebruikt wordt door industrie experten om uw SPF record te optimaliseren en te vermijden dat de SPF harde limiet overschreden wordt. De procedure voor SPF flattening is vrij eenvoudig. Het flatten van uw SPF record is het proces van het vervangen van alle include mechanismen door hun respectievelijke IP adressen om de noodzaak voor het uitvoeren van DNS lookups te elimineren.

Bijvoorbeeld, als uw SPF record er oorspronkelijk zo uitzag:

v=spf1 include:spf.domain.com -all

Een afgevlakt SPF record ziet er ongeveer zo uit:

v=spf1 ip4:168.191.1.1 ip6:3a02:8c7:aaca:645::1 -all

Dit afgevlakte record genereert slechts één DNS lookup, in plaats van meerdere lookups uit te voeren. Het verminderen van het aantal DNS-queries dat door de ontvangende server wordt uitgevoerd tijdens e-mailauthenticatie helpt om onder de limiet van 10 DNS-lookups te blijven, maar heeft zo zijn eigen problemen.

Het probleem met SPF afvlakking

Afgezien van het feit dat uw handmatig afgevlakte SPF record te lang kan worden om te publiceren op de DNS van uw domein (het overschrijden van de 255 karakter limiet), moet u er rekening mee houden dat uw email service provider zijn IP adressen kan wijzigen of toevoegen zonder u als gebruiker daarvan op de hoogte te stellen. Wanneer uw provider af en toe wijzigingen aanbrengt aan hun infrastructuur, worden deze wijzigingen niet weerspiegeld in uw SPF record. Wanneer deze gewijzigde of nieuwe IP adressen dus door uw mail server worden gebruikt, zal de e-mail SPF aan de kant van de ontvanger falen.

PowerSPF: Uw dynamische SPF Record Generator

Het uiteindelijke doel van PowerDMARC was om met een oplossing te komen die kan voorkomen dat domeineigenaren tegen de 10 DNS lookup limiet aanlopen, alsmede het optimaliseren van uw SPF record om altijd op de hoogte te blijven van de laatste IP adressen die uw email service providers gebruiken. PowerSPF is uw geautomatiseerde SPF flattening oplossing die uw SPF record doorzoekt om een enkele include verklaring te genereren. PowerSPF helpt u:

  • Gemakkelijk IP's en mechanismen toevoegen of verwijderen
  • Automatische update van netblokkades om ervoor te zorgen dat uw geautoriseerde IP's altijd up-to-date zijn
  • Blijf met gemak onder de 10 DNS lookup limiet
  • Verkrijg een geoptimaliseerd SPF-record met een enkele klik
  • Permerror' permanent verslaan
  • Foutloze SPF implementeren

Meld u vandaag nog aan bij PowerDMARC voor een betere bezorgbaarheid en authenticatie van e-mail, terwijl u onder de limiet van 10 DNS SPF-lookups blijft.

In dit artikel zullen we onderzoeken hoe u eenvoudig SPF record kunt optimaliseren voor uw domein. Voor ondernemingen en kleine bedrijven die in het bezit zijn van een email domein voor het verzenden en ontvangen van berichten onder hun klanten, partners en werknemers, is het zeer waarschijnlijk dat er standaard een SPF record bestaat, welke is ingesteld door uw inbox service provider. Het maakt niet uit of u een reeds bestaand SPF record heeft of dat u een nieuwe moet aanmaken, u moet uw SPF record correct optimaliseren voor uw domein om er zeker van te zijn dat het geen e-mail afleveringsproblemen veroorzaakt.

Sommige e-mailontvangers vereisen SPF, wat betekent dat als u geen SPF-record voor uw domein hebt gepubliceerd, uw e-mails als spam kunnen worden gemarkeerd in de inbox van uw ontvanger. Bovendien helpt SPF bij het opsporen van niet-geautoriseerde bronnen die e-mails verzenden uit naam van uw domein.

Laten we eerst eens begrijpen wat SPF is en waarom je het nodig hebt.

Sender Policy Framework (SPF)

SPF is in wezen een standaard e-mailverificatieprotocol dat de IP-adressen specificeert die gemachtigd zijn om e-mails van uw domein te verzenden. Het werkt door afzenderadressen te vergelijken met de lijst van geautoriseerde verzendende hosts en IP-adressen voor een specifiek domein die is gepubliceerd in de DNS voor dat domein.

SPF is samen met DMARC (Domain-based Message Authentication, Reporting and Conformance) ontworpen om vervalste afzenderadressen tijdens de aflevering van e-mail op te sporen en spoofing-aanvallen, phishing en oplichting via e-mail te voorkomen.

Het is belangrijk te weten dat hoewel de standaard SPF die door uw hostingprovider in uw domein is geïntegreerd, ervoor zorgt dat e-mails die vanaf uw domein worden verzonden, worden geverifieerd aan de hand van SPF als u meerdere externe leveranciers hebt om e-mails vanaf uw domein te verzenden, dit reeds bestaande SPF-record moet worden aangepast en gewijzigd om aan uw vereisten te voldoen. Hoe kunt u dat doen? Laten we eens kijken naar twee van de meest voorkomende manieren:

  • Een gloednieuw SPF record aanmaken
  • Optimaliseren van een bestaand SPF record

Instructies over hoe SPF record te optimaliseren

Maak een gloednieuw SPF-record

Het aanmaken van een SPF record is simpelweg het publiceren van een TXT record in de DNS van uw domein om SPF voor uw domein te configureren. Dit is een verplichte stap die komt voordat u begint met hoe u SPF record te optimaliseren. Als u net begint met authenticatie en onzeker bent over de syntax, kunt u onze gratis online SPF record generator gebruiken om een SPF record voor uw domein aan te maken.

Een SPF record entry met een correcte syntax ziet er ongeveer zo uit:

v=spf1 ip4:38.146.237 include:example.com -all

v=spf1Specificeert de versie van SPF die wordt gebruikt
ip4/ip6Dit mechanisme specificeert de geldige IP adressen die geauthoriseerd zijn om emails te versturen vanaf uw domein.
omvattenDit mechanisme vertelt de ontvangende servers om de waarden voor het SPF record van het gespecificeerde domein op te nemen.
-alleDit mechanisme specificeert dat emails die niet SPF compliant zijn, geweigerd worden. Dit is de aanbevolen tag die je kunt gebruiken bij het publiceren van je SPF record. Het kan echter vervangen worden door ~ voor SPF Soft Fail (niet-conforme emails worden gemarkeerd als soft fail maar worden nog steeds geaccepteerd) of + wat aangeeft dat elke server toegestaan wordt emails te versturen in naam van je domein, wat sterk afgeraden wordt.

Als u SPF al heeft geconfigureerd voor uw domein, kunt u ook onze gratis SPF record checker gebruiken om uw SPF record op te zoeken, te valideren en problemen op te sporen.

Veel voorkomende uitdagingen en fouten bij het configureren van SPF

1) 10 DNS-opzoeklimiet 

De meest voorkomende uitdaging waar domeineigenaren tegenaan lopen bij het configureren en gebruiken van SPF authenticatie protocol voor hun domein, is dat SPF een limiet heeft op het aantal DNS lookups, dat niet hoger mag zijn dan 10. Voor domeinen die afhankelijk zijn van meerdere leveranciers van derde partijen, wordt de limiet van 10 DNS lookups gemakkelijk overschreden, waardoor SPF wordt verbroken en een SPF PermError wordt geretourneerd. De ontvangende server maakt in zo'n geval automatisch je SPF record ongeldig en blokkeert het.

Mechanismen die DNS-lookups initiëren: MX, A, INCLUDE, REDIRECT modifier

2) SPF Leegte Opzoeken 

Ongeldige lookups verwijzen naar DNS lookups die ofwel een NOERROR antwoord of een NXDOMAIN antwoord (ongeldig antwoord) teruggeven. Bij het implementeren van SPF is het aanbevolen ervoor te zorgen dat DNS lookups in de eerste plaats geen ongeldig antwoord teruggeven.

3) SPF recursieve lus

Deze fout geeft aan dat het SPF-record voor het opgegeven domein recursieve problemen bevat met een of meer van de INCLUDE-mechanismen. Dit gebeurt wanneer een van de domeinen die in de INCLUDE tag zijn gespecificeerd een domein bevat waarvan het SPF record de INCLUDE tag van het oorspronkelijke domein bevat. Dit leidt tot een oneindige lus waardoor e-mailservers voortdurend DNS-lookups moeten uitvoeren voor de SPF-records. Dit leidt uiteindelijk tot het overschrijden van de 10 DNS lookup limiet, wat resulteert in emails die SPF niet halen.

4) Syntaxisfouten 

Een SPF record kan bestaan in de DNS van uw domein, maar het is van geen nut als het syntaxfouten bevat. Als uw SPF TXT record onnodige spaties bevat bij het typen van de domeinnaam of mechanisme naam, zal de string die voorafgaat aan de extra spatie volledig genegeerd worden door de ontvangende server bij het uitvoeren van een lookup, waardoor het SPF record ongeldig wordt.

5) Meerdere SPF records voor hetzelfde domein

Een enkel domein kan slechts één SPF TXT entry in de DNS hebben. Als uw domein meer dan één SPF record bevat, maakt de ontvangende server ze allemaal ongeldig, waardoor e-mails SPF niet halen.

6) Lengte van het SPF-record 

De maximumlengte van een SPF-record in de DNS is beperkt tot 255 tekens. Deze limiet kan echter worden overschreden en een TXT-record voor SPF kan meerdere strings bevatten die aan elkaar zijn gekoppeld, maar niet langer dan 512 tekens, om in het DNS-antwoord op een zoekopdracht te passen (volgens RFC 4408). Hoewel dit later werd herzien, zouden ontvangers die op oudere DNS-versies vertrouwen, niet in staat zijn e-mails te valideren die afkomstig zijn van domeinen die een lang SPF-record bevatten.

Uw SPF-record optimaliseren

Om uw SPF record snel aan te passen kunt u de volgende SPF best practices gebruiken:

  • Probeer uw e-mailbronnen in aflopende volgorde van belangrijkheid van links naar rechts in uw SPF-record te typen
  • Verwijder verouderde e-mailbronnen uit uw DNS
  • Gebruik IP4/IP6-mechanismen in plaats van A en MX
  • Hou het aantal INCLUDE mechanismen zo laag mogelijk en vermijd geneste includes
  • Publiceer niet meer dan één SPF record voor hetzelfde domein in uw DNS
  • Zorg ervoor dat uw SPF-record geen overbodige spaties of syntaxisfouten bevat

Opmerking: SPF flattening wordt niet aangeraden omdat het niet eenmalig is. Als je email service provider zijn infrastructuur wijzigt, zul je elke keer je SPF records overeenkomstig moeten wijzigen.

Uw SPF-record optimaliseren gemakkelijk gemaakt met PowerSPF

U kunt doorgaan en proberen om al die bovengenoemde wijzigingen om uw SPF record te optimaliseren handmatig uit te voeren, of u kunt het gedoe vergeten en vertrouwen op onze dynamische PowerSPF om dat allemaal automatisch voor u te doen! PowerSPF helpt u om uw SPF record met een enkele klik te optimaliseren, waarin u kunt:

  • Eenvoudig verzendende bronnen toevoegen of verwijderen
  • Eenvoudig records bijwerken zonder uw DNS handmatig te moeten wijzigen
  • Krijg een geoptimaliseerd auto SPF record met één klik op de knop
  • Blijf altijd onder de 10 DNS lookup limiet
  • Succesvol verzachten PermError
  • Vergeet syntaxisfouten in SPF-records en configuratieproblemen
  • Wij nemen u de last van het oplossen van SPF-beperkingen uit handen

Meld u vandaag nog aan bij PowerDMARC en zeg voor altijd vaarwel tegen de SPF beperkingen!  

Als DMARC dienstverlener, krijgen we deze vraag vaak gesteld: "Als DMARC gewoon SPF en DKIM authenticatie gebruikt, waarom zouden we ons dan druk maken om DMARC? Is dat niet gewoon overbodig?"

Aan de oppervlakte lijkt het misschien weinig verschil te maken, maar de realiteit is heel anders. DMARC is niet zomaar een combinatie van SPF en DKIM technologieën, het is een geheel nieuw protocol op zich. Het heeft verschillende kenmerken die het tot een van de meest geavanceerde e-mail authenticatie standaarden ter wereld maken, en een absolute noodzaak voor bedrijven.

Maar wacht eens even. We hebben nog geen antwoord gegeven op de vraag waarom je DMARC nodig hebt. Wat heeft het te bieden dat SPF en DKIM niet hebben? Nou, dat is een nogal lang antwoord; te lang voor slechts één blog post. Dus laten we het opsplitsen en het eerst over SPF hebben. Voor het geval u er niet mee bekend bent, hier een korte introductie.

Wat is SPF?

SPF, of Sender Policy Framework, is een e-mail authenticatieprotocol dat de e-mailontvanger beschermt tegen gespoofde e-mails. Het is in wezen een lijst van alle IP-adressen die toestemming hebben om e-mail te verzenden via uw kanalen (de eigenaar van het domein). Wanneer de ontvangende server een bericht van uw domein ziet, controleert hij uw SPF-record dat in uw DNS is gepubliceerd. Als het IP-adres van de afzender in deze 'lijst' staat, wordt de e-mail afgeleverd. Zo niet, dan weigert de server de e-mail.

Zoals u ziet, houdt SPF heel goed een heleboel ongewenste e-mails buiten die uw apparaat zouden kunnen beschadigen of de beveiligingssystemen van uw organisatie in gevaar zouden kunnen brengen. Maar SPF is lang niet zo goed als sommige mensen misschien denken. Dat komt omdat het een aantal zeer grote nadelen heeft. Laten we een paar van deze problemen eens bespreken.

Beperkingen van SPF

SPF records zijn niet van toepassing op het Van adres

E-mails hebben meerdere adressen om hun afzender te identificeren: het Van-adres dat u normaal ziet, en het Return Path-adres dat verborgen is en één of twee klikken vereist om het te zien. Als SPF is ingeschakeld, kijkt de ontvangende e-mailserver naar het Return Path en controleert de SPF records van het domein van dat adres.

Het probleem is dat aanvallers hier misbruik van kunnen maken door een vals domein te gebruiken in hun Return Path adres en een legitiem (of legitiem uitziend) e-mailadres in het From gedeelte. Zelfs als de ontvanger de e-mail-ID van de afzender controleert, ziet hij eerst het Van-adres en neemt hij meestal niet de moeite om het Return Path te controleren. De meeste mensen weten niet eens dat er zoiets bestaat als een Return Path-adres.

SPF kan vrij gemakkelijk worden omzeild door deze eenvoudige truc toe te passen, en zelfs domeinen die met SPF zijn beveiligd, worden hierdoor grotendeels kwetsbaar.

SPF records hebben een DNS lookup limiet

SPF records bevatten een lijst van alle IP-adressen die door de eigenaar van het domein gemachtigd zijn om e-mails te verzenden. Zij hebben echter een belangrijk nadeel. De ontvangende server moet het record controleren om te zien of de afzender gemachtigd is, en om de belasting van de server te verminderen, hebben SPF records een limiet van 10 DNS lookups.

Dit betekent dat als uw organisatie gebruik maakt van meerdere derde partijen die emails versturen via uw domein, het SPF record uiteindelijk die limiet kan overschrijden. Tenzij goed geoptimaliseerd (wat niet eenvoudig is om zelf te doen), zullen SPF records een zeer beperkende limiet hebben. Wanneer u deze limiet overschrijdt, wordt de SPF implementatie als ongeldig beschouwd en zal uw e-mail SPF niet halen. Dit kan schadelijk zijn voor de afleveringspercentages van uw e-mail.

 

SPF werkt niet altijd wanneer de e-mail wordt doorgestuurd

SPF heeft nog een kritisch foutpunt dat de bezorgbaarheid van uw e-mail kan schaden. Wanneer u SPF op uw domein hebt geïmplementeerd en iemand stuurt uw e-mail door, kan de doorgestuurde e-mail worden geweigerd vanwege uw SPF-beleid.

Dat komt omdat het doorgestuurde bericht de ontvanger van de e-mail heeft veranderd, maar het adres van de e-mailafzender blijft hetzelfde. Dit wordt een probleem omdat het bericht het Van-adres van de oorspronkelijke afzender bevat, maar de ontvangende server een ander IP ziet. Het IP-adres van de doorsturende e-mailserver is niet opgenomen in het SPF-record van het domein van de oorspronkelijke afzender. Dit kan ertoe leiden dat de e-mail door de ontvangende server wordt geweigerd.

Hoe lost DMARC deze problemen op?

DMARC gebruikt een combinatie van SPF en DKIM om e-mail te authenticeren. Een e-mail moet of SPF of DKIM passeren om DMARC te passeren en succesvol te worden afgeleverd. En het voegt ook een belangrijke functie toe die het veel effectiever maakt dan SPF of DKIM alleen: Rapportage.

Met DMARC-rapportage krijgt u dagelijks feedback over de status van uw e-mailkanalen. Dit omvat informatie over uw DMARC afstemming, gegevens over e-mails die niet geauthenticeerd zijn, en details over mogelijke spoofing pogingen.

Als u zich afvraagt wat u kunt doen om niet gespooft te worden, bekijk dan onze handige gids met de top 5 manieren om e-mail spoofing te vermijden.