Iedereen kan een mail versturen met uw adres als afzender. Zonder de juiste instellingen kan de ontvanger niet zien dat die mail niet van u komt. Dat is precies hoe veel factuurfraude werkt: een mail "van u" met een ander rekeningnummer. Met drie instellingen in uw domein, SPF, DKIM en DMARC, sluit u dat af. Dit artikel legt uit wat ze doen en hoe u ze stap voor stap aanzet.
Wat de drie doen
- SPF is een lijst van servers die namens uw domein mogen mailen. Een ontvanger kijkt of de mail van een server op die lijst komt.
- DKIM is een digitale handtekening op elke mail. Een ontvanger controleert of de mail onderweg niet is aangepast en echt van uw domein komt.
- DMARC vertelt ontvangers wat ze moeten doen met mail die niet door die controles komt: niets (
p=none), in de spam zetten (p=quarantine) of weigeren (p=reject). Daarnaast kunt u er rapporten mee laten opsturen.
Pas met DMARC op quarantine of reject worden nagemaakte mails ook echt tegengehouden.
Het veelvoorkomende misverstand: p=none
Veel bedrijven hebben een DMARC-record met p=none. Dat ziet er in een checklist uit als "DMARC aanwezig", maar het blokkeert niets. Het is een meetstand. Bij een klant die we overnamen stond p=none zonder rapportageadres: er werd dus ook niets gemeten. Zo'n record wekt de indruk dat er iets geregeld is, terwijl het niets doet.
Stap voor stap
- Zet DKIM aan in Microsoft 365, voor elk domein dat u gebruikt. Dat gaat via twee records bij uw domeinbeheerder en een schakelaar in het Defender-portaal.
- Controleer uw SPF-record. Eén record per domein, met daarin alle diensten die namens u mailen, en eindigend op
-all. - Zet DMARC op
p=nonemet een rapportageadres, bijvoorbeelddmarc@uwdomein.nlals gedeelde mailbox. Kies een adres op uw eigen domein; rapporten naar een ander domein vragen een extra instelling en komen anders vaak niet aan. - Zoek uit wie er namens u mailt. Zie hieronder.
- Ga naar
p=quarantine, en daarna naarp=reject, zodra alle legitieme afzenders goed staan.
Wie mailt er namens u?
Dit is de stap waar het misgaat. Naast Outlook mailen er vaak andere systemen met uw adres als afzender:
- het boekhoudpakket, voor facturen en aanmaningen;
- het contactformulier op uw website;
- een nieuwsbriefprogramma;
- een programma voor offertes of digitaal ondertekenen;
- de multifunctional die scans mailt.
Staat een van die systemen niet goed ingesteld en zet u DMARC op reject, dan komen uw eigen facturen niet meer aan. Zonder foutmelding.
Bij grotere bedrijven leest u dat af uit de DMARC-rapporten. Bij een klein bedrijf werkt dat vaak niet. Rapporten komen alleen binnen als er genoeg mail van u naar grote mailproviders gaat. Bij een kantoor met één gebruiker kwamen er na vier dagen nul rapporten binnen, terwijl er niets mis was. Langer wachten helpt dan niet. Daar was de snelste en betrouwbaarste route gewoon vragen: welke programma's versturen mail uit uw naam? Het antwoord was "alleen Outlook", en daarmee kon DMARC direct op reject.
Komt er later een nieuw systeem bij dat mailt, zoals een nieuw boekhoudpakket, denk dan aan SPF en DKIM vóór de eerste factuur de deur uitgaat.
Vergeet de domeinen die u niet gebruikt
Heeft u een oud domein of een tweede domeinnaam waar u niet vanaf mailt? Ook die kan misbruikt worden. Zet daar een SPF-record op dat alles weigert (v=spf1 -all) en DMARC op p=reject. Dat kost niets en sluit de deur.
Zelf controleren
Op internet.nl vult u uw domein in en ziet u in een minuut of SPF, DKIM en DMARC goed staan. Het is een onafhankelijke test van het Nederlandse Internet Standaarden Platform.
Wat wij doen
Bij elke klant zetten we SPF, DKIM en DMARC goed voor alle domeinen, met p=reject als doel. Daarnaast stellen we het mailfilter in, zodat phishing en verdachte bijlagen worden tegengehouden voordat iemand erop klikt. Meer daarover op Microsoft 365 beheer voor het MKB. Wilt u weten hoe uw medewerkers beter beschermd worden als een wachtwoord toch uitlekt? Lees dan MFA invoeren zonder gedoe.