E-maildomeinauthenticatie: SPF, DKIM en DMARC

Waarom e-maildomeinauthenticatie gebruiken?

Standaard worden e-mails die via Asset worden verzonden, verzonden via de mailserver van Spacewell. Het is echter vaak wenselijk om deze e-mails te laten lijken alsof ze vanaf het e-mailadres van de klant zijn verzonden*.

De e-mail wordt nog steeds via de e-mailserver van Spacewell verzonden, maar de e-mail lijkt afkomstig te zijn van het opgegeven e-mailadres van de klant. Hierdoor kunnen de e-mails door de ontvangende mailserver worden geweigerd. Als dit te vaak gebeurt, kan het IP-adres waarvan de e-mail wordt verzonden (de mailserver van Spacewell) worden geblokkeerd. Hierdoor worden er geen e-mails meer vanaf dit IP-adres geaccepteerd.

Om dit te voorkomen, moeten enkele systemen worden ingesteld: SPF, DKIM en DMARC.

*Waarschijnlijk moet een aannemer die een e-mail met een werkopdracht ontvangt, deze e-mail bijvoorbeeld ontvangen van ‘facilities@clientname.com’ in plaats van 'noreply@spacewell.com'. Raadpleeg het gedeelte over e-mailinstellingen in het artikel clientinstellingen voor informatie over hoe u dit instelt.

SPF (Sender Policy Framework)

Door het benodigde SPF-record aan de DNS toe te voegen, kan de ontvangende mailserver controleren of Asset gemachtigd is om namens het domein van de klant e-mails te verzenden. De volgende opname moet aan de DNS worden toegevoegd:

wide760

Het SPF-record testen

Als u wilt testen of het SPF-record correct is toegevoegd, kunt u een gratis online tool gebruiken om te controleren of het SPF-record beschikbaar is. Gebruiksvriendelijke tools zijn:

• https://www.dmarcanalyzer.com/nl/spf-2/checker/
• https://mxtoolbox.com/SuperTool.aspx

DKIM (Domain Keys Identified Mail)

Voor DKIM moet in Asset een sleutel worden gegenereerd, die ook aan de DNS moet worden toegevoegd.

De sleutel en het DNS-record genereren in Asset

1. Ga in Asset via de tegel op het dashboard naar de clientinstellingen.
2. Ga naar het tabblad “E-mail” en klik op het pictogram voor “Ondertekeningsdomeinen”

3. Klik op “nieuw”

4. Vul de volgende velden in:

   • Domeinnaam: de domeinnaam (bijvoorbeeld mycompany.com)

   • Actief: als het DKIM-record actief is, stelt u dit in op JA
   • DKIM-selector: We raden aan dit in te stellen op spacewell , zodat u het DNS-tekstrecord gemakkelijk kunt herkennen.

     • Het is mogelijk om meerdere domeinen te configureren met dezelfde specifieke selector voor het DKIM-record.

   5. Klik rechtsboven op het pictogram met de sleutel om een privésleutel en openbare sleutel te genereren
   6. Als de privésleutel extern is gegenereerd en versleuteld is, voert u het wachtwoord voor deze privésleutel in.
   • Open de DKIM-vermelding die u zojuist hebt ingesteld.
   • Klik rechtsboven op het pictogram 'DNS-record weergeven'.

   Voorbeeld van het DNS-record

   Als het domein waarvan u e-mails verzendt mycompany.com is en de selector spacewell is, is de naam van het DKIM-DNS-record: spacewell._domainkey.mycompany.com

Het DNS-record delen met uw IT-afdeling/partij

Achtergrondinformatie over de niet-bewerkbare velden in de DKIM-configuratie

• Hash-algoritme: het hash-algoritme dat voor de DKIM-handtekening wordt gebruikt. Momenteel is alleen SHA-256 toegestaan.
• Openbare sleutel in PEM-indeling: de openbare sleutel wordt uit de privésleutel gehaald en kan niet worden bewerkt.
• Privésleutel in PEM-indeling: de privésleutel moet de PEM-indeling hebben. Voor DKIM moet de privésleutel een RSA-sleutel zijn. U kunt een nieuw sleutelpaar genereren met de paginacunctie 'Sleutelpaar genereren'. Het is ook mogelijk om een privésleutel uit een externe bron in te voeren. Houd er rekening mee dat de privésleutel altijd versleuteld wordt opgeslagen met een nieuw gegenereerd sterk wachtwoord.
• Sleutellengte (bits): de lengte van de privésleutel is het aantal bits van de 'modulus' van de privésleutel. Momenteel is alleen een waarde van 2048 toegestaan.

Geavanceerde probleemoplossing voor DKIM

U kunt de mailclient 'thunderbird' met de extensie 'DKIM Verifier' gebruiken om de DKIM-handtekening te valideren:

1. Download thunderbird hier

2. Configureer uw e-mailaccount:

   1. Bewerken -> Accountinstellingen -> Accountacties -> E-mailaccount toevoegen

   2. Vul de POP3/IMAP-server en uw gebruikers-ID/wachtwoord in.
3. Installeer de add-on DKIM Validator:

   1. Extra -> Add-ons -> Add-ons downloaden

   2. Zoek naar 'DKIM' -> installeren
   3. U kunt 'DKIM Verifier' configureren via Extra -> Add-ons -> Extensies -> DKIM Verifier -> Voorkeuren

      1. Debugging inschakelen: Geavanceerd -> debugging en Gedetailleerde fouten weergeven inschakelen

4. Open de e-mail met de DKIM-handtekening
5. Open de foutconsole met: <ctrl> + <shift> + j Gedetailleerde informatie en foutmeldingen worden nu weergegeven.

Er moet een DMARC-record aan de DNS worden toegevoegd in de vorm van een TXT-record. Dit record moet minimaal p=none bevatten en moet overeenkomen met SPF of DKIM, bij voorkeur met beide.

Voorbeeld:

1. Ga naar https://mxtoolbox.com/SuperTool.aspx?action=dkim%3amycompany.com%3aspacewell&run=toolpage
2. Voer in het opzoekveld het domein en de DKIM-selector in, gescheiden door een dubbele punt (:)

   1. Bijvoorbeeld mycompany.com:spacewell

3. Klik op ‘DKIM lookup’

Als de bovenstaande opties niet voldoende zijn of de klant zijn eigen mailserver wil gebruiken, is dat ook mogelijk. Ga naar “Clientinstellingen > E-mail”. Vul de volgende velden in (let op: deze waarden moeten door de IT-afdeling van de klant worden verstrekt):

Bij gebruik van de eigen mailbox van de klant is er één belangrijke beperking ten opzichte van het gebruik van de native e-mailfunctie in Asset. Wanneer Asset een e-mail naar de server van de klant verzendt en dit mislukt, wordt deze e-mail niet opnieuw geprobeerd. De eenvoudige reden hiervoor is dat het systeem mogelijk wordt geblokkeerd omdat het wordt geïdentificeerd als een DDoS-aanval (“de server spammen” met verzoeken). Als de native e-mailfunctie wordt gebruikt, wordt een e-mail 24 uur lang opnieuw geprobeerd voordat de verzending mislukt.

Als u wilt testen of de bovenstaande instellingen van toepassing zijn op uw e-mail, kunt u deze al testen met behulp van de methoden die in de artikelen worden genoemd. Een specifieke manier die goed blijkt te werken, is het gebruik van mail-test.com. Hier krijgt u een e-mailadres waarnaar u een e-mail kunt sturen, waarna de spamwaardering van de e-mail wordt gecontroleerd. Voer dit e-mailadres dus op een willekeurige locatie in Asset in en zorg ervoor dat er een e-mail naar dat contact wordt verzonden. Klik daarna op “check your score” om een lijst met mogelijke problemen en oplossingen te zien die u kunt wijzigen. Let op: dit is een externe tool, dus zorg ervoor dat u geen gevoelige informatie in de test-e-mail verzendt. De tool wordt bovendien voornamelijk voor nieuwsbrieven gebruikt. Daarom controleert de tool bepaalde aspecten van de e-mail die niet relevant zijn voor applicatie-e-mails van een systeem zoals Asset.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)

De DKIM- en DMARC-configuratie valideren

Het gebruik van de eigen mailserver van de klant toestaan

Mailhost: vul de host voor de e-mail in Mailpoort: vul de vereiste poort in Gebruikersnaam: de gebruikersnaam waarmee toegang tot de mailserver moet worden verkregen Mailwachtwoord: het wachtwoord waarmee toegang tot de mailserver moet worden verkregen SSL-verbinding gebruiken: als u de SSL-variant van de verbinding met de mailbox wilt gebruiken TLS-modus: selecteer de TLS-modus die u wilt gebruiken (laat deze op “Standaard” staan als u dit niet weet)

Beperking

Instellingen testen