Inet Mail

CONCEPT — Let op: Deze skill is geen officieel product van internet.nl. De beschrijvingen zijn informatieve samenvattingen — niet de officiële standaarden zelf. De testcriteria op internet.nl en de definities op forumstandaardisatie.nl zijn altijd leidend. Overheidsorganisaties die generatieve AI inzetten dienen te voldoen aan het Overheidsbreed standpunt voor de inzet van generatieve AI. Zie onze verantwoording en DISCLAIMER.md.

Gebruik deze skill wanneer een gebruiker vraagt over mailstandaarden die internet.nl test, zoals SPF, DKIM, DMARC, STARTTLS of DANE. Genereer correcte DNS-records en diagnostische commando's. Verwijs naar /inet-toolbox voor stap-voor-stap implementatiegidsen.

Overzicht

Internet.nl test e-maildomeinen op de volgende standaarden. Alle standaarden staan op de pas-toe-of-leg-uit-lijst van Forum Standaardisatie.

De SPF + DKIM + DMARC keten

Deze drie standaarden werken samen om e-mailspoofing tegen te gaan:

1. SPF - Welke servers mogen mail versturen namens jouw domein?
2. DKIM - Is de e-mail onderweg niet gewijzigd? (digitale handtekening)
3. DMARC - Wat moet de ontvanger doen als SPF of DKIM faalt? (beleid + rapportage)

Afzender -> SPF controle (IP-adres) ----+
         -> DKIM controle (handtekening) +-> DMARC beleid -> leveren / weigeren / quarantaine
                                              |
                                              +-> Rapportage naar domeineigenaar

Standaarden

1. SPF (Sender Policy Framework)

Wat: Een DNS TXT-record dat specificeert welke mailservers e-mail mogen versturen namens een domein.

Wat test internet.nl:

• SPF-record aanwezig als DNS TXT-record
• Correcte syntax
• Maximaal 10 DNS-lookups (include, a, mx, redirect)
• Eindigt op -all (fail) of ~all (softfail)

DNS-record formaat:

example.nl. IN TXT "v=spf1 mx a:mail.example.nl ip4:192.0.2.0/24 ip6:2001:db8::/32 include:_spf.google.com -all"

Mechanismen:

Qualifiers:

Testen:

# SPF-record opvragen
dig TXT example.nl +short | grep "v=spf1"

# SPF-validatie simuleren (aantal lookups tellen)
dig TXT example.nl +short
# Tel elke include, a, mx, redirect als 1 lookup (max 10)

2. DKIM (DomainKeys Identified Mail)

Wat: Een mechanisme dat e-mail voorziet van een cryptografische handtekening via een DNS-publicsleutel. De ontvangende mailserver verifieert de handtekening.

Wat test internet.nl:

• Minimaal 1 geldige DKIM-handtekening op testmail
• Publieke sleutel beschikbaar via DNS

Let op: Internet.nl controleert alleen of een DKIM-record bestaat; de sleutellengte wordt niet getest. Best practice is minimaal 2048-bit RSA.

DNS-record formaat:

selector._domainkey.example.nl. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhki..."

Selector: Een naam die de verzendende server meestuurt in de DKIM-Signature header (bijv. google, selector1, default). Hiermee kan de ontvanger de juiste publieke sleutel vinden in DNS.

Sleutel genereren:

# RSA 2048-bit sleutelpaar genereren
openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem

# Publieke sleutel voor DNS (zonder headers, op 1 regel)
openssl rsa -in dkim_private.pem -pubout -outform DER | base64 -w0

Testen:

# DKIM-sleutel opvragen (vervang 'selector' door de echte selector)
dig TXT selector._domainkey.example.nl +short

# Veelgebruikte selectors proberen
for sel in google default selector1 selector2 dkim mail; do
  echo "=== $sel ==="
  dig TXT "${sel}._domainkey.example.nl" +short
done

3. DMARC (Domain-based Message Authentication, Reporting and Conformance)

Wat: Een DNS TXT-record dat aangeeft wat ontvangers moeten doen als SPF en/of DKIM niet slagen, en waar rapportages naartoe moeten.

Wat test internet.nl:

• DMARC-record aanwezig op _dmarc.example.nl
• Beleid is quarantine of reject (niet none voor productie)
• Rapportage-adres geconfigureerd (rua)

Implementatiepad: Start met p=none om rapportages te verzamelen, schakel daarna over naar quarantine en uiteindelijk reject. Internet.nl scoort alleen quarantine of reject als voldoende.

DNS-record formaat:

_dmarc.example.nl. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.nl; ruf=mailto:dmarc-forensic@example.nl; adkim=s; aspf=s; pct=100"

Parameters:

Gefaseerde uitrol:

; Fase 1: Monitor (alleen rapportage, geen actie)
_dmarc.example.nl. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.nl"

; Fase 2: Quarantine op 10% (test impact)
_dmarc.example.nl. IN TXT "v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@example.nl"

; Fase 3: Quarantine op 100%
_dmarc.example.nl. IN TXT "v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@example.nl"

; Fase 4: Reject (volledige bescherming)
_dmarc.example.nl. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.nl; adkim=s; aspf=s"

Testen:

# DMARC-record opvragen
dig TXT _dmarc.example.nl +short

4. STARTTLS

Wat: STARTTLS versleutelt SMTP-verkeer tussen mailservers.

Wat test internet.nl:

• MX-servers ondersteunen STARTTLS
• TLS 1.2 of hoger (TLS 1.0/1.1 geeft een phase-out waarschuwing; SSL 2.0/3.0 is een harde fout)
• Geldig certificaat
• Geen terugval naar onversleuteld verkeer

Testen:

# MX-records opvragen
dig MX example.nl +short

# STARTTLS testen op MX-server
openssl s_client -connect mx.example.nl:25 -starttls smtp </dev/null 2>/dev/null | \
  grep -E '(Protocol|Cipher|Verify)'

5. DANE (DNS-based Authentication of Named Entities)

Wat: DANE koppelt TLS-certificaten aan DNS via TLSA-records, beveiligd met DNSSEC. Hiermee wordt de vertrouwensketen versterkt: niet alleen CA's, maar ook DNS verifieert het certificaat.

Vereist: DNSSEC moet actief zijn op het domein.

Wat test internet.nl:

• TLSA-records aanwezig voor MX-servers
• Correcte TLSA-parameters
• DNSSEC op het MX-domein

DNS-record formaat:

_25._tcp.mx.example.nl. IN TLSA 3 1 1 <sha256-hash-van-publieke-sleutel>

TLSA-parameters:

TLSA-hash genereren:

# Hash van het certificaat van de mailserver
openssl s_client -connect mx.example.nl:25 -starttls smtp </dev/null 2>/dev/null | \
  openssl x509 -pubkey -noout | \
  openssl pkey -pubin -outform DER | \
  openssl dgst -sha256 -binary | xxd -p -c 32

Testen:

# TLSA-record opvragen
dig TLSA _25._tcp.mx.example.nl +short

# Controleer DNSSEC op MX-domein
dig MX example.nl +dnssec +short

Repositories

Veelvoorkomende problemen

Achtergrondinfo

Zie reference.md voor server-specifieke configuratie (Postfix, Exchange), key rotation-procedures en DMARC-rapportage-analyse.