Zo gebruik je het
- Voer een domein of e-mailadres in.
- Laat de checker MX, SPF en DMARC ophalen en vul eventueel een DKIM-selector in.
- Lees de records, DNS-lookup-teller en aanbevolen verbeteringen.
Opties uitgelegd
- SPF
- SPF beschrijft welke servers namens het domein mogen mailen en moet eindigen met een passend all-mechanisme.
- DMARC
- DMARC koppelt SPF en DKIM aan een beleid voor berichten die niet slagen.
- DKIM
- Een DKIM-selector wijst naar de publieke sleutel waarmee een verzonden bericht kan worden gecontroleerd.
De records lezen
Een SPF-record is een lijst met termen. Elke term kan beginnen met een kwalificator die zegt wat er gebeurt als hij overeenkomt (RFC 7208):
| Kwalificator | Betekenis | Voorbeeld |
|---|---|---|
+ (standaard) |
Pass | a of +a |
- |
Fail: weigeren | -all |
~ |
Softfail: accepteren maar markeren | ~all |
? |
Neutral: geen uitspraak | ?all |
De checker meldt +all (of een kale all) als een toestemming voor elke server om te versturen, ?all als niets doend tegen spoofing, en een record zonder all of redirect= als onvoltooid. Hij waarschuwt ook voor het mechanisme ptr en voor een tweede SPF-record.
Een DMARC-record is een verzameling tag=waarde-paren gescheiden door puntkomma’s (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Tag | Betekenis |
|---|---|
v |
Versie, altijd DMARC1 en als eerste in het record |
p |
Beleid voor het domein: none, quarantine of reject |
sp |
Beleid voor subdomeinen; als het ontbreekt, geldt p |
rua |
Waarheen geaggregeerde rapporten worden gestuurd |
ruf |
Waarheen foutrapporten worden gestuurd |
pct |
Aandeel van de mislukkende mail waarop het beleid van toepassing is; 100 als het ontbreekt |
adkim, aspf |
DKIM- en SPF-uitlijning: r relaxed (standaard) of s strict |
fo |
Opties voor foutrapporten; 0 als het ontbreekt |
Een DMARC-record zonder rua wordt gemarkeerd, omdat je dan geen rapporten zou krijgen. Aan de DKIM-kant wordt een RSA-sleutel korter dan 2048 bits als zwak gemarkeerd, en een sleutel waarvan de waarde p= leeg is, wordt getoond als Ingetrokken.
Veelgestelde vragen
Waarom is één SPF-record nodig?
Meerdere SPF-records maken de controle ongeldig. Voeg mechanismen samen in één TXT-record.
Wat betekent DMARC p=none?
De ontvanger controleert en rapporteert, maar vraagt nog niet om berichten af te wijzen of naar spam te sturen.
Waarom is een DKIM-sleutel van 2048 bit aanbevolen?
Een langere RSA-sleutel biedt meer cryptografische marge dan een korte sleutel.
Privacy
Bestanden worden via HTTPS geüpload om te verwerken en binnen een uur automatisch verwijderd.