Wat is SPF?
Sender Policy Framework is een DNS-record van het type TXT waarin u vastlegt welke mailservers e-mail mogen versturen voor uw domein. Een ontvangende server controleert bij binnenkomst of het verzendende IP-adres in dat record voorkomt. Is dat niet zo, dan kan de mail als verdacht worden gemarkeerd of geweigerd.
Een voorbeeldrecord
Een organisatie die alleen via Microsoft 365 mailt, publiceert bij het hoofddomein een record als v=spf1 include:spf.protection.outlook.com -all. Het deel v=spf1 geeft aan dat het om SPF gaat. Met include verwijst u naar de servers van Microsoft. Het slot -all betekent dat alle andere servers niet zijn toegestaan.
Verstuurt u ook mail via een nieuwsbriefdienst, boekhoudpakket of ticketsysteem, dan voegt u ook hun include of IP-adressen toe. De leverancier vermeldt in zijn documentatie welke waarde u moet opnemen.
Let op de limiet van tien lookups
Bij het controleren van SPF mag een ontvanger maximaal tien DNS-opvragingen doen. Elke include telt mee, en ook de includes binnen die includes. Wie veel diensten toevoegt, overschrijdt die grens snel. Het gevolg is een permanente fout, waardoor SPF voor uw domein niet meer werkt. Verwijder diensten die u niet meer gebruikt en vraag bij nieuwe leveranciers of zij vanaf een eigen subdomein kunnen versturen.
Veelvoorkomende fouten
Deze fouten zien we in de praktijk het vaakst bij een controle van mailinstellingen.
- Twee SPF-records voor hetzelfde domein. Dat is ongeldig; voeg ze samen tot één record.
- Het mechanisme +all, waarmee iedere server namens u mag mailen.
- Oude includes van een vorige provider die nooit zijn verwijderd.
- Geen SPF op domeinen die niet mailen. Publiceer daar v=spf1 -all.
SPF alleen is niet genoeg
SPF controleert het technische afzenderadres uit de envelop van een bericht, niet het adres dat de ontvanger in zijn mailprogramma ziet. Een aanvaller kan daardoor nog steeds een vertrouwd ogend afzenderadres tonen. Pas in combinatie met DKIM en DMARC kunt u ontvangers laten controleren of het zichtbare afzenderdomein echt van u is.