Wat is e-mailauthenticatie?

Definitie

E-mailauthenticatie is een groep technische standaarden, gepubliceerd als records in de DNS van je domein, die de herkomst en integriteit van een e-mailbericht verifieren. E-mail is niet ontworpen met afzenderverificatie in gedachten, dus standaard kan iedereen elk willekeurig adres in het From-veld zetten. Authenticatie dicht dat gat door ontvangende servers een manier te geven om te controleren of een bericht dat beweert van jouw domein te komen daar daadwerkelijk door is geautoriseerd.

Drie protocollen doen het werk. SPF, het Sender Policy Framework, verklaart welke mailservers namens je domein mogen versturen. DKIM, DomainKeys Identified Mail, voegt een cryptografische handtekening aan elk bericht toe zodat de ontvanger kan bevestigen dat er niet mee is geknoeid en dat het van jouw domein afkomstig is. DMARC, Domain-based Message Authentication, Reporting and Conformance, koppelt die controles aan het adres dat ontvangers daadwerkelijk zien en vertelt ontvangers hoe ze moeten omgaan met mail die niet slaagt. Een gerelateerde standaard, BIMI, kan een geverifieerd merklogo tonen zodra DMARC wordt afgedwongen, maar het bouwt voort op deze stack in plaats van die te vervangen.

Authenticatie is een eigenschap van het verzenddomein, geconfigureerd door de domeineigenaar in DNS. Het is niet iets dat een ontvanger instelt, en het staat los van de vraag of de ontvangers op je lijst echt zijn. Die tweede vraag is de taak van e-mailverificatie, en daarom worden de twee vaak naast elkaar besproken.

Hoe het werkt

Elk protocol draait op het moment dat een ontvangende server een bericht accepteert. SPF werkt via een DNS-record dat de IP-adressen en servers vermeldt die geautoriseerd zijn om mail voor je domein te versturen. Wanneer een bericht binnenkomt, kijkt de ontvangende server naar het IP-adres van de verzendende server en controleert het tegen je gepubliceerde SPF-record. Als het IP is vermeld, slaagt SPF; zo niet, dan faalt het.

DKIM werkt via public-key-cryptografie. Je verzendsysteem ondertekent uitgaande berichten met een privesleutel, voegt een handtekening toe in de berichtheader, en publiceert de bijbehorende publieke sleutel in DNS. De ontvangende server haalt de publieke sleutel op, valideert de handtekening, en bevestigt twee dingen tegelijk: het bericht is ondertekend door jouw domein, en de ondertekende delen van het bericht zijn onderweg niet gewijzigd.

DMARC ligt erbovenop en voegt het concept alignment toe. SPF en DKIM authenticeren elk een domein, maar dat domein is niet altijd het domein dat iemand in de From-regel ziet. DMARC vereist dat het geauthenticeerde domein aligned is met het zichtbare From-domein, en dat is wat een aanvaller belet om authenticatie te doorstaan op een domein dat hij beheert terwijl hij het jouwe spooft in het zichtbare adres. Een DMARC-record publiceert ook een beleid: p=none vraagt ontvangers alleen te monitoren en rapporteren, p=quarantine vraagt ze mail die niet slaagt met argwaan te behandelen, en p=reject vraagt ze die te blokkeren. DMARC genereert daarnaast aggregatierapporten die je laten zien wie mail verstuurt onder je domein, wat van onschatbare waarde is voor het opsporen van misconfiguraties en misbruik.

Waarom het belangrijk is voor e-mailbezorgbaarheid

E-mailauthenticatie is van best practice naar harde eis verschoven. Gmail en Yahoo handhaven afzenderseisen die authenticatie tot voorwaarde voor aflevering maken. Elke afzender heeft SPF of DKIM nodig, samen met geldige reverse DNS, een correct geconfigureerd PTR-record, en TLS-versleutelde verzending. Bulkverzenders, degenen die ruwweg 5,000 of meer berichten per dag naar Gmail-adressen sturen, hebben aanvullende plichten: ze moeten een DMARC-record publiceren, domain alignment doorstaan, en one-click unsubscribe aanbieden op marketingmail. Yahoo past nauw overeenkomende regels toe en verwacht dat bulkverzenders hun spamklachtpercentages onder de 0,30 procent houden. Een DMARC-beleid van p=none voldoet momenteel aan de DMARC-eis, hoewel het opschuiven richting handhaving sterkere bescherming biedt tegen spoofing.

De reden dat providers op authenticatie aandringen is vertrouwen. Authenticatie laat een ontvanger erop vertrouwen dat mail die beweert van jouw domein te komen dat ook echt is, wat de exacte-domeinspoofing blokkeert die wordt gebruikt bij phishing en business email compromise. Mail die niet door authenticatie komt, of die van een domein zonder enige authenticatie komt, wordt veel waarschijnlijker naar spam gefilterd of regelrecht geweigerd.

Het is belangrijk om precies te zijn over wat authenticatie wel en niet doet. Het bewijst identiteit; het staat niet in voor inhoud. Een spammer kan een domein authenticeren dat hij bezit. Authenticatie is dus noodzakelijk voor goede afleverbaarheid maar op zichzelf niet voldoende. Mailboxproviders combineren het met verzendreputatie, ontvangersbetrokkenheid en inhoudsanalyse. Authenticatie brengt je door de deur; reputatie en betrokkenheid bepalen in welke map je belandt.

Hoe VeriMails hiermee omgaat

E-mailauthenticatie en e-mailverificatie zijn de twee helften van betrouwbaar verzenden, en ze dekken tegenovergestelde uiteinden van de pijplijn. Authenticatie gaat over het domein waarvandaan je verstuurt en wordt geconfigureerd in DNS. Verificatie gaat over de adressen waar je naartoe verstuurt en is het deel dat VeriMails rechtstreeks afhandelt. Beide moeten op orde zijn: een perfect geauthenticeerd domein verliest nog steeds inboxplaatsing als het een lijst vol dode adressen mailt, omdat de resulterende bounces en klachten de verzendreputatie vernietigen die providers naast authenticatie meewegen.

VeriMails verifieert je ontvangerslijst zodat authenticatie niet wordt ondermijnd door slechte lijstkwaliteit. Elk adres gaat door een volledige meerlaagse controle: syntaxisvalidatie, MX- en DNS-bevestiging, een live SMTP-handshake met de ontvangende mailserver, en detectie van catch-all-domeinen, wegwerpadressen en rolgebaseerde adressen. Het verwijderen van ongeldige adressen houdt je hard-bouncepercentage laag, en een laag bouncepercentage is een van de reputatiesignalen die bepalen of je geauthenticeerde mail de inbox of de spammap bereikt. Je kunt een hele lijst als CSV-upload verifieren of adressen een voor een controleren via de REST API. VeriMails geeft duidelijke afleverbaarheidscategorieen terug voor API- en bulkworkflows.

VeriMails biedt ook gratis tools die helpen aan de authenticatiekant zelf, waaronder een SPF-generator, een DKIM-generator en een DMARC-generator, zodat je de juiste DNS-records voor je domein kunt produceren. Samen gebruikt stelt authenticatie vast dat je een legitieme afzender bent en houdt verificatie je lijst schoon genoeg om die status te behouden. Nieuwe accounts krijgen bij aanmelding 100 gratis credits zonder creditcard en credits die nooit verlopen, met verificatie vanaf 0,0019 dollar per e-mail, oftewel 19 dollar voor 10,000 credits, en jaarplannen vanaf $12.50/month bij jaarlijkse facturering.

Veelgestelde vragen