E-mailbeveiligingsmethoden als SPF, DKIM en DMARC

[stefantriep]

Ik vind dat er nog te weinig gesproken wordt over implementatie van e-mailbeveiligingsmethoden als SPF, DKIM en DMARC. Eigenlijk zou hier de plek moeten zijn waar je praat over hobbels die je had tijdens je implementatie en best practices deelt zodat iedereen die hosting levert in Nederland, Belgie en nog veel verder de wereld die beveiliging op orde heeft.

Laat ik dan maar het voortouw nemen en wat delen over SPF en DMARC voor geparkeerde domeinnamen en wat vragen over DKIM bij geparkeerde domeinnamen.

Wanneer een domeinnaam geparkeerd is, zal die doorgaans niet gebruikt worden voor e-mail (tenzij de klant er alleen mee mailt en geen website heeft).

In dat geval kan je de SPF instellen op:
v=spf1 -all

Voor DMARC kan je het instellen op:
v=DMARC1; p=reject; rua=; ruf=;

Je kan het jezelf nog makkelijker maken door het volgende te implementeren met een CNAME naar een DMARC-record van je eigen domeinnaam:
https://www.dmarcanalyzer.com/nl/hoe-moet-ik-actieve-of-geparkeerde-domeinen-instellen/

Hoe zouden jullie DKIM bij een geparkeerde domeinnaam instellen? Tenslotte heb je geen mailserver die een DKIM record voor je DNS kan aanmaken.

[CharlieRoot]

Hoe zouden jullie DKIM bij een geparkeerde domeinnaam instellen? Tenslotte heb je geen mailserver die een DKIM record voor je DNS kan aanmaken.

Heel goed initiatief! Ik ben zelf al +/- 2 jaar hier vaak mee bezig in o.a. de zorg (hot topic, en zo). Voor de meeste partijen is uitvoering niet zo zeer het probleem maar wel er mee leren werken. Men moet leren headers/foutmeldingen analyseren en overweg leren gaan met de rapportages. Daar zit het meeste werk in (nazorg).

Voor wat betreft de geparkeerde domeinen, in mijn optiek zou er (als er geen mail dienst bij hoort) geen mail verzonden moeten worden en dus geen DKIM record horen te bestaan. Als het een domein zonder website maar mét actieve mail dienst is zoals jij beschrijft moet er toch een mailserver zijn die kan signen.

Zelf heb ik voor al mijn mailservers een relay server neergezet die alle DKIM zaken regelt. Alle outbound mail gaat dus áltijd over die relayhost en ook alleen die staat in de DNS records.