Wat zijn SPF-records?

Mail ontvangen van Bill Gates, Steve Jobs of de Koning?

Het is eenvoudig om de afzender van een email zó in te stellen dat een ontvanger denkt dat hij eindelijk bevriend is met onze Koning. Of een rekening moet betalen aan de RDW. Je hebt dus een bericht namens een vervalst e-mailadres ontvangen. Dit vervalsen van een e-mailadres is mogelijk, doordat het e-mailprotocol niet standaard controleert of degene die de e-mail verzendt, dat wel namens dat domein mag doen. Maar wat zijn SPF-records en wat heeft dat hiermee te maken? Dat leg ik je in dit blog kraakhelder uit!

Spoofing

Spoofing is -om kort te gaan- het vervalsen van herkenbare kenmerken met als doel mensen te foppen. Dit kan bijvoorbeeld gaan om een e-mail (-adres), een look-alike website, IP-adres of een telefoonnummer.

Om dit soort spoofing te voorkomen voor je eigen domein (een domein waar jij controle over hebt, zoals wij over ‘kwaaijongens.nl’), zijn er technieken beschikbaar die dit voorkomen. Een van die technieken is het SPF. Geniaal in zijn eenvoud. Niet waterdicht, maar een belangrijk instrument in de email- en anti-spam strategie van een bedrijf.

SPF-record

SPF staat voor Sender Policy Framework. In een SPF-record omschrijf je welke servers namens de domeinnaam een e-mail mogen verzenden. Een ontvangende server kan op basis van dit SPF-record besluiten om een e-mail door te laten, te markeren als spam of helemaal te weigeren.

Voorbeeld: Kwaaijongens heeft een eigen mailserver die mails kan versturen. Deze server heet ‘mailserver.kwaaijongens.nl’. Een server kan een mail versturen met als afzender ‘wa@koninklijkhuis.nl’. Maar de ontvangende mailserver zal in het SPF van het domein koninklijkhuis.nl opzoeken of de verzendende mailserver (mailserver.kwaaijongens.nl) überhaupt mág mailen uit hun naam.

Spoiler alert: nee, dat mag Kwaaijongens niet.

In het SPF van ‘koninklijkhuis.nl’ staat dus NIET opgenomen dat deze mailserver mails mag versturen met een adres dat eindigt op @koninklijkhuis.nl.

Ander voorbeeld: wij gebruiken Exact Online als administratiepakket. Wij versturen onze facturen digitaal, dat doet Exact voor ons. Wij hebben in het SPF van ons domein een regel opgenomen  zodat Exact mails mag versturen als ‘kwaaijongens.nl’. In dit geval: administratie@kwaaijongens.nl’.

Technisch gezien hebben we aan ons SPF toegevoegd: ‘include:_spf.exactonline.nl’.

We gebruiken ook een CRM pakket, dat heet ‘Scoro’. Ook dát pakket kan mailen namens Kwaaijongens naar onze klanten (offertes, projectupdate’s etc.). Om dat mogelijk te maken hebben we ons SPF uitgebreid met: ‘include:_spf.scoro.com’.

Worden er dus bijvoorbeeld mails gestuurd vanaf een mailserver van Exact (‘exactonline.nl’) naar onze klanten, met als afzender ‘administratie@kwaaijongens.nl’ kan de ontvangende mailserver opzoeken én vooral bevestigen dat Exact dit inderdaad mag doen.

Laatste voorbeeld: wij maken gebruik van een anti-spamfilter. Alle mails die onze servers verzenden, laten wij via eerst controleren door een spamfilter. Dus verzonden mails gaan niet rechtstreeks naar de geadresseerde, maar eerst naar een spamfilter. Als de filter geen bezwaren ziet, gaat die de mail daadwerkelijk versturen. Dat is dus net zo goed een mailserver die – uit naam van anderen – mails verstuurd. Daarom hebben wij in het SPF van al onze klanten deze vermelding opgenomen: ‘include:_spf.onlinespamfilter.nl’.

Onlinespamfilter mag daardoor dus een email (door)sturen uit naam van onze klanten.

Is email met een correct ingesteld SPF record 100% veilig en spamvrij?

Nee. Een SPF-record draagt bij aan de juiste aflevering van een e-mailbericht, maar er zijn talloze factoren die ervoor zorgen dat een e-mail alsnog als spam tegengehouden kan worden. We gebruiken DKIM, DMARC en Reverse-lookup op IP adressen en nog een aantal om e-mails te valideren. Eigenlijk zijn dit allemaal technieken die je gewoon aan je provider moet kunnen overlaten.

Heb je vragen over SPF-records?

Is het voor jou duidelijk wat SPF-records zijn en doen? Anders: durf te vragen ;-). Of heb je andere vragen over een SPF-record? Neem dan contact met ons op, wij helpen je graag! Bel 085 – 330 7500 of mail naar dtv@kwaaijongens.nl

Kwaaijongens is gespecialiseerd in het bouwen en onderhouden van WordPress websites, hosting en online marketing. Kunnen wij je op een van deze gebieden helpen? Ook dan staan we graag voor je klaar!