SPF, DKIM en DMARC per verzendroute controleren
Controleer de werkelijke mailroute van uw toepassing. Een fictief voorbeeld scheidt DNS-toestemming, handtekening en afstemming op het afzenderdomein.
Als een toepassing e-mail via een externe dienst verstuurt, is kijken naar het bedrijfsadres in het mailprogramma niet genoeg. Leg de werkelijke verzendroute vast en controleer een goedgekeurd testbericht op het bedoelde ontvangstpunt. DNS-records en berichtcontrole beantwoorden verschillende vragen.
Begin met een concrete verzendroute
In het fictieve ontwerp verstuurt een klantportaal statusmeldingen. De zichtbare afzender is hinweis@firma.example; de externe dienst gebruikt versand.example als domein voor de SMTP-afzender en zijn handtekening. Deze namen dienen alleen voor dit ontwerp. Er is geen bericht verzonden en geen DNS-record opgevraagd.
Leg eerst vast welke toepassing de mail activeert, welke dienst hem overdraagt en wie de domeinconfiguratie van die dienst beheert. Registreer andere routes apart, zoals meldingen uit een supportsysteem. De configuratie van de ene dienst bewijst die van een andere niet.
Controleer DNS en het werkelijke bericht samen
SPF beschrijft toegestane servers voor SMTP-identiteiten. Koppel het gepubliceerde record aan het werkelijk gebruikte SMTP-domein. Alleen de aanwezigheid van een TXT-record is nog geen geslaagd resultaat voor de concrete verzendroute.
DKIM verbindt ondertekende berichtdelen met het ondertekenende domein. Controleer ook of de verzenddienst werkelijk ondertekent en of de handtekening op het bedoelde ontvangstpunt geldig is. Een openbare sleutel publiceren in DNS bevestigt dat op zichzelf niet. Houd rekening met diensten die het bericht na ondertekening verwerken.
DMARC vereist een geslaagde SPF- of DKIM-controle met de juiste domeinafstemming op de zichtbare afzender. Die afstemming heet alignment. Bepaal daarom ook het toepasselijke DMARC-record en de daarin vastgelegde afstemmingsvoorwaarden.
Beoordeel een afzonderlijk positief resultaat juist
De volgende tabel bevat bewust bedachte aannames voor hetzelfde ontwerp, geen gemeten resultaten.
Controle | Veronderstelde bevinding | Betekenis voor goedkeuring |
|---|---|---|
SPF | De verzendende server mag het SMTP-domein van de dienst gebruiken. | Bewijst die domeintoestemming, nog niet het zichtbare bedrijfsadres. |
DKIM | Het bericht heeft een geldige handtekening van het dienstdomein. | Bewijst die handtekening, nog niet de vereiste afstemming. |
DMARC | Er bestaat een toepasselijk record; noch het SPF- noch het DKIM-domein is juist afgestemd op het zichtbare afzenderdomein. | Onder deze aannames leveren de twee afzonderlijke positieve bevindingen geen geslaagd DMARC-resultaat op. |
Voor goedkeuring moet de concrete dienst een passende domeinconfiguratie en bijbehorende verzending ondersteunen. De nodige wijziging hangt van de dienst af. Een willekeurig bestaand DNS-record kopiëren of een beleidsinstelling overhaast op weigeren zetten lost het afstemmingsprobleem niet op.
Leg de gecontroleerde verzendtest als bewijs vast
Documenteer voor de test de route, gebruikte domeinen, het gecontroleerde bericht en de resultaten. Als verdere diensten het bericht verwerken, heeft ook die route een passend testgeval nodig. Herhaal de controle na wijzigingen aan dienst, domein of berichtverwerking.
Google behandelt authenticatie als onderdeel van zijn verzendvereisten. Ook een geslaagd technisch testgeval bewijst geen plaatsing in de inbox of lezen. Leg de ontvangstwaarneming apart vast en benoem wie mislukte controles en bezorgmeldingen afhandelt.
Bronnen
Verder lezen
Alle artikelen
Uw project met ASES
Beschrijf ons uw project. We nemen contact met u op met een eerste inschatting.