SPF vs DKIM

Deze gids maakt deel uit van onze gids over e-mailauthenticatie. Gerelateerd: DKIM vs DMARC en SPF vs DMARC.

SPF verifieert dat het verbindende IP en de SMTP-envelopafzender (MAIL FROM en/of HELO) geautoriseerd zijn om namens jouw domein te verzenden — iets wat DKIM niet kan beoordelen — terwijl DKIM de cryptografische integriteit en domeinidentiteit van geselecteerde headers en de berichttekst verifieert via een handtekening (d=) die SPF niet kan beschermen of bevestigen.

Context en achtergrond: Sender Policy Framework (SPF) is een DNS-gebaseerde autorisatie-controle gekoppeld aan de SMTP-transactie. Wanneer een server verbinding maakt om e-mail te bezorgen, test de ontvanger of dat bron-IP mag verzenden voor het domein dat verschijnt in de envelop MAIL FROM of in HELO/EHLO. DomainKeys Identified Mail (DKIM) is daarentegen een authenticatiesysteem op inhoudsniveau: de afzender ondertekent gekozen headers en de tekst; ontvangers halen de publieke sleutel op uit DNS bij selector._domainkey.domain en verifiëren dat er niets is gemanipuleerd en dat het domein van de ondertekenaar (d=) echt is.

Waarom is dit onderscheid belangrijk? Omdat aanvallers verschillende gaten uitbuiten. Zonder SPF kan iedereen vanaf willekeurige IP’s verzenden en zich op SMTP-niveau als jouw domein voordoen. Zonder DKIM kunnen tussenpartijen (forwarders, mailinglijsten) of kwaadwillende actoren de berichtinhoud wijzigen na overdracht zonder detectie. Moderne ontvangers evalueren doorgaans beide onder DMARC, dat uitlijning vereist tussen het domein dat gebruikers zien in From: en ofwel het SPF-geauthenticeerde envelop-domein of het DKIM d=-domein, en past vervolgens jouw beleid toe.

AutoSPF is speciaal gebouwd om SPF waterdicht te maken — en dat zo te houden terwijl jouw IP’s en leveranciers veranderen — terwijl het DKIM/DMARC-bewuste diagnostiek biedt zodat beide mechanismen consistent slagen en uitlijnen. In een AutoSPF-benchmark van 90 dagen (hypothetisch maar realistisch) over 28 mid-market domeinen en 1,8 miljoen berichten daalden SPF-permerrors met 92% na geautomatiseerde include-consolidatie en veilige flattening, en verbeterden DMARC-slagingspercentages van 88% naar 96% wanneer klanten deze SPF-oplossingen combineerden met het afstemmen van DKIM-uitlijning.

Wat elk verifieert — en waarom de ander dat niet kan

Dit onderdeel staat op zichzelf: SPF controleert autorisatie op de transportlaag; DKIM controleert berichtintegriteit en domeinidentiteit na transport.

• Bereik van SPF
  • Verifieert: het verbindende IP is geautoriseerd voor het envelopdomein (RFC5321.MailFrom) of de HELO/EHLO-host.
  • Mechanismen: DNS TXT-record v=spf1 met ip4/ip6, include, a, mx, exists en modifiers zoals redirect; slagen/falen gebeurt voordat inhoud wordt vertrouwd.
  • Waarom DKIM dat niet kan: DKIM ziet het verbindende IP of de SMTP-envelop niet. Het werkt uitsluitend op berichtinhoud en DNS-sleutels.
• Bereik van DKIM
  • Verifieert: cryptografische handtekening over geselecteerde headers (h=) zoals From, To, Subject, Date, Message-ID, en de body-hash (bh=), gebonden aan het domein van de ondertekenaar in d=.
  • Detecteert: manipulatie onderweg (bijv. gewijzigde Subject, geïnjecteerde links, aangepaste tekst) en authenticeert het domein van de ondertekenaar onafhankelijk van het pad.
  • Waarom SPF dat niet kan: SPF ondertekent of onthoudt geen inhoud; na overdracht beïnvloeden forwarding of wijzigingen de SPF-resultaten die aan de oorspronkelijke SMTP-sessie zijn gekoppeld niet.

Vergelijking in één oogopslag

• SPF verifieert als enige:
  • Autorisatie van het verbindende IP
  • Envelop MAIL FROM/HELO-identiteit
• DKIM verifieert als enige:
  • Header-/body-integriteit via handtekening
  • Authenticiteit van het ondertekenaarsdomein (d=) onaangetast door forwarding

Hoe AutoSPF helpt: AutoSPF valideert continu dat elke dienst en elk IP dat is geautoriseerd om namens jouw domeinen te verzenden expliciet in SPF is vertegenwoordigd binnen het budget van 10 lookups, signaleert gaten die SPF neutral/permerror zouden veroorzaken, en toont DKIM/DMARC-uitlijningsresultaten zodat je op DKIM kunt vertrouwen waar forwarding SPF zou breken.

Hoe de mechanismen worden toegepast binnen SMTP en het bericht

Dit onderdeel staat op zichzelf: SPF werkt op het moment van verbinding; DKIM werkt na bezorging.

SPF: onderdeel van de SMTP-transactie (MAIL FROM en verbindend IP)

• SPF controleert de Return-Path (envelop MAIL FROM) en/of het HELO/EHLO-domein tegen het bron-IP.
• Als de MAIL FROM leeg is (bounces), evalueren ontvangers SPF vaak op het HELO/EHLO-domein.
• Omdat SPF transportgebonden is, wordt het per hop geëvalueerd; als een forwarder opnieuw verzendt vanaf een ander IP zonder SRS (Sender Rewriting Scheme), zal SPF vaak falen bij de volgende hop.

AutoSPF-koppeling: AutoSPF simuleert SPF-evaluaties aan de ontvangerszijde vanuit meerdere gezichtspunten, budgetteert DNS-lookups over includes, en markeert wanneer jouw forwarders of derde partijen SRS of expliciete includes vereisen.

DKIM: cryptografische binding van headers en tekst

• DKIM ondertekent geselecteerde headers vermeld in h= (vaak: From, Date, Subject, To, MIME-Version, Message-ID) en berekent een body-hash bh= met simple/relaxed canonicalisatie.
• De handtekening d=domain en s=selector verwijzen naar een DNS TXT-record met de publieke sleutel (p=).
• Ontvangers herberekenen de hashes; elke manipulatie onderweg (bijv. footer-injectie, wijzigingen aan subject-tags) breekt de verificatie.

AutoSPF-koppeling: Hoewel AutoSPF jouw DKIM-sleutels niet aanmaakt, analyseert het Authentication-Results-headers en DMARC-aggregaten om te tonen welke berichten op DKIM vertrouwen versus SPF, wanneer DKIM breekt door footer-injecties, en welke afzenders selector-updates nodig hebben.

Voorbeeldcase (hypothetisch, realistisch): Een health-tech-nieuwsbrief geleid via een lijstserver die [List] aan Subject en een juridische footer toevoegt. SPF slaagde bij de oorspronkelijke hop en faalde daarna na forwarding. DKIM faalde aanvankelijk omdat de lijst ondertekende headers en tekst wijzigde. Nadat de afzender DKIM overschakelde naar relaxed/relaxed en Subject uit h= uitsloot (met behoud van From en Date), slaagde DKIM consistent; AutoSPF adviseerde vervolgens de rol van DKIM in DMARC te verhogen (adkim=s) en handhaafde SPF-includes voor de eerste hops.

Verschillen in implementatie, DNS-formaten en valkuilen om te vermijden

Dit onderdeel staat op zichzelf: Implementeerders moeten jongleren met de limiet van 10 lookups van SPF en de selector-/sleutelvereisten van DKIM.

SPF-recordmechanica

• Formaat: TXT bij de root (en/of subdomein) met v=spf1 … -all.
• Includes/redirect: include:vendor.example.com voegt de mechanismen van de leverancier toe; redirect=domain draagt de evaluatie volledig over aan het SPF van een ander domein.
• Limiet van 10 lookups: include, a, mx, exists, ptr tellen elk mee; geneste includes stapelen op; meer dan 10 retourneert permerror. De SPF-lookuplimiet is met veel leveranciers gemakkelijk te overschrijden.
• TTL-advies: 1 uur (3600s) is praktisch voor wendbaarheid; noodwijzigingen verspreiden zich sneller dan TTL’s van een dag.

Veelvoorkomende SPF-valkuilen

• Meerdere SPF TXT-records bij hetzelfde label (ontvangers kunnen dit als permerror behandelen).
• Overschrijden van 10 lookups door geneste includes of het gebruik van mx/a over veel hosts. Zorgvuldig beheer van SPF-includes voorkomt dit.
• Gebruik van ptr of +all, wat wordt afgeraden en misbruikt.
• Verkeerd gebruik van redirect wanneer includes bedoeld zijn (redirect overschrijft de evaluatie).

AutoSPF-koppeling: AutoSPF consolideert automatisch overbodige mechanismen, dedupliceert vendor-netwerken, vlakt vluchtige includes veilig af tot gecachte ip4/ip6 met health checks, en handhaaft de budgettering van 10 lookups — waardoor permerrors worden voorkomen zonder wendbaarheid van leveranciers op te offeren.

DKIM-recordmechanica

• Formaat: TXT bij selector._domainkey.example.com met k=rsa; p=base64key; t=y (optioneel testen).
• Selectors: leesbare en tijdgecodeerde selectors zoals s2026q1 maken overlappende implementaties voor rotatie mogelijk.
• Sleutelgroottes: 2048-bit RSA aanbevolen; 1024-bit is verouderd; ECDSA (ed25519) komt op maar wordt nog niet universeel door alle ontvangers geaccepteerd.
• TTL-advies: 1–4 uur; roteer sleutels met dual-publish-periodes.

Veelvoorkomende DKIM-valkuilen

• Het publiceren van de sleutel met extra aanhalingstekens/regeleinden die ongeldige base64 veroorzaken.
• Te grote records zonder correcte 255-byte-chunking in DNS.
• Fouten in canonicalisatie (headers ondertekenen die waarschijnlijk worden gewijzigd, of simple/simple gebruiken waar tussenpartijen spaties aanpassen).
• Gebruik van l= (lengtelimiet van de tekst), wat riskant is en valse passes kan veroorzaken op gedeeltelijk gewijzigde inhoud.

AutoSPF-koppeling: De DKIM-controles van AutoSPF signaleren ontbrekende/ongeldige selector-DNS-records, testen verificatie vanaf meerdere ontvangers, en stellen veiligere canonicalisatie-/header-sets voor wanneer jouw mailstromen (bijv. mailinglijsten) berichten waarschijnlijk wijzigen.

Wanneer SPF faalt maar DKIM je redt — en andersom

Dit onderdeel staat op zichzelf: Praktijkstromen breken vaak één mechanisme; plan ervoor dat het andere DMARC draagt.

• Forwarding zonder SRS
  • SPF: faalt vaak bij de hop van de forwarder (bron-IP niet langer geautoriseerd).
  • DKIM: slaagt indien ongewijzigd; DMARC kan nog steeds slagen via DKIM-uitlijning.
  • AutoSPF: rapporteert domeinen/ASN’s waar SPF faalt na forwarding; adviseert het versterken van DKIM-uitlijning voor die stromen.
• Mailinglijsten (subject-tagging, footer-invoeging)
  • DKIM: faalt vaak door body-/header-wijzigingen.
  • SPF: kan slagen bij de oorspronkelijke hop en daarna falen bij opnieuw verzenden; SRS-capabele lijsten kunnen SPF behouden, maar veel doen dat niet.
  • AutoSPF: identificeert patronen van lijstservers in Authentication-Results, stelt relaxed canonicalisatie en From:-herschrijfstrategieën voor (RFC 5322) om DMARC te behouden.
• Externe afzenders en bulkmarketing
  • SPF: faalt als je vergeet vendor-includes toe te voegen of de lookups overschrijdt.
  • DKIM: slaagt als de leverancier ondertekent met jouw domein (d=yourbrand.com) en de selector correct is; faalt als de leverancier ondertekent met zijn domein en DMARC strikte uitlijning vereist.
  • AutoSPF: onboardt leveranciers via gecatalogiseerde include-endpoints, volgt IP-churn van leveranciers, en waarschuwt wanneer DKIM is ondertekend met een niet-uitgelijnd domein dat DMARC zal breken.
• Transactionele versus zakelijke relays
  • Zakelijke relays herschrijven soms de Return-Path of HELO, wat SPF beïnvloedt, terwijl DKIM van de oorspronkelijke applicatie standhoudt indien niet opnieuw verpakt.
  • AutoSPF: simuleert zowel envelop- als header-uitlijning om te tonen welk mechanisme DMARC per stroom zal bevredigen.

Origineel datapunt (hypothetisch, geaggregeerd): In een geanonimiseerde AutoSPF-cohort van 40 domeinen vertrouwde 27% van de DMARC-passes tijdens forwarding uitsluitend op DKIM-uitlijning; het inschakelen van SRS op forwarders in twee EDU-tenants verminderde SPF-mislukkingen op geforwarde e-mail met 61% zonder DKIM te schaden.

DMARC-uitlijning, beleid en gezamenlijke best practices

Dit onderdeel staat op zichzelf: DMARC beslist op basis van uitlijning met de header From:.

• Uitlijningsregels
  • SPF: het domein in RFC5321.MailFrom (of HELO als MAIL FROM leeg is) moet uitlijnen met de header From: (organisatorisch — relaxed — of exact — strict).
  • DKIM: het d=-domein in de DKIM-handtekening moet uitlijnen met de header From:.
  • DMARC slaagt als ofwel uitgelijnde SPF of uitgelijnde DKIM slaagt.
• Beleidspad
  • Begin met p=none; verzamel rua=-aggregaatrapporten; ga over naar quarantine en daarna reject naarmate de mislukkingspercentages en valse positieven stabiliseren.
  • Gebruik adkim=s en aspf=s voor merken met een hoog impersonatierisico; blijf relaxed (r) tijdens migraties om breuken te verminderen.
• Sleutel- en recordhygiëne
  • DKIM: roteer 2048-bit sleutels elke 6–12 maanden; onderhoud overlappende selectors; verwijder oude sleutels snel indien gecompromitteerd.
  • SPF: blijf binnen 10 DNS-lookups, geef de voorkeur aan include boven flattening tenzij je geautomatiseerde verversing hebt, en vermijd verrassingen door IP-churn. Tools zoals AutoSPF automatiseren die verversing.

AutoSPF-koppeling: AutoSPF berekent de uitlijningsdekking per afzender, toont of DMARC-passes afkomstig zijn van SPF of DKIM per bron, adviseert adkim/aspf-modi per stroomrisico, en onderhoudt SPF automatisch zodat je op DKIM kunt leunen waar forwarding SPF verstoort.

Casestudy (hypothetisch): Retailer AcmeFit onboardde 12 SaaS-afzenders, wat 14 SPF-lookups en frequente permerrors opleverde. AutoSPF consolideerde includes, vlakte twee vluchtige leveranciers veilig af, en splitste marketing-subdomein-SPF af in een eigen record; permerrors daalden naar nul en de inboxplaatsing bij Gmail verbeterde met 4,8 procentpunten over 30 dagen zodra DMARC was ingesteld op quarantine met relaxed DKIM-uitlijning.

Faalmodi, diagnostiek en tools

Dit onderdeel staat op zichzelf: Weet hoe elk faalt en hoe je het snel oplost.

Veelvoorkomende oorzaken van SPF-mislukkingen

• Neutral/SoftFail door ~all wanneer ontvangers andere signalen negatief wegen.
• Permerror door >10 DNS-lookups, syntaxfouten, meerdere SPF TXT-records, of recursieve redirect-loops.
• None wanneer er geen SPF-record is of een leeg/ongeldig record.

Hoe te diagnosticeren

• Inspecteer Authentication-Results: spf=permerror (te veel DNS-lookups) smtp.mailfrom=…
• Gebruik dig/nslookup om include-ketens uit te breiden; tel de lookups.
• Valideer met meerdere checkers vanuit verschillende netwerken.

AutoSPF-koppeling: De realtime-evaluator van AutoSPF breidt jouw SPF exact uit zoals een ontvanger zou doen, toont het lookup-budget, signaleert recursie, en stelt met één klik een gecorrigeerd record voor.

Veelvoorkomende oorzaken van DKIM-mislukkingen

• body-hash-mismatch door footer-injectie of spatiewijzigingen met simple body-canonicalisatie.
• header-list-mismatch wanneer tussenpartijen Subject-tags toevoegen of headers herordenen die niet door relaxed worden gedekt.
• selector-DNS-fouten: ontbrekende p=-sleutel, verkeerd label, problemen met TXT-formatting/quoting.
• verlopen of ingetrokken sleutels die niet bij afzenders zijn bijgewerkt.

Hoe te diagnosticeren

• Authentication-Results: dkim=fail (body hash did not verify) header.d=example.com header.s=s2026q1
• Haal het selector-DNS-record op; zorg voor geldige base64 p= zonder losse aanhalingstekens; verifieer 2048-bit.
• Test met synthetische verzendingen door elke hop; varieer de canonicalisatie.

AutoSPF-koppeling: AutoSPF correleert DKIM-mislukkingen met hop-voor-hop Received-ketens, signaleert welke MTA het bericht heeft gewijzigd, en adviseert veerkrachtige header-sets (bijv. neem From, Date, MIME-Version, Message-ID op; vermijd Subject waar subject-tagging wordt verwacht).

Essentiële test- en monitoringtools

• Synthetische verzendingen: naar Gmail, Outlook en een neutrale verifier (bijv. check-auth@verifier.port25.com) om SPF/DKIM/DMARC-resultaten vast te leggen.
• DNS-tools: dig/host/nslookup voor SPF/DKIM TXT, en online SPF-flattening-simulators.
• DMARC-rapporten: aggregaat (rua) voor patronen op volumeniveau; forensisch (ruf) voor gedetailleerde mislukkingen (let op privacy-/regelgevingsbeperkingen).

AutoSPF-koppeling: AutoSPF verwerkt rua-XML, normaliseert slagen/falen per bron, markeert ongebruikelijke pieken (bijv. plotselinge include-wijzigingen), en biedt een test-send-harness die interpretaties van ontvangers vergelijkt.

Sleutel-levenscyclus en wijzigingsbeheer

Dit onderdeel staat op zichzelf: Roteer DKIM-sleutels doelbewust; beheer SPF als levende infrastructuur.

• DKIM-levenscyclus
  • Gebruik 2048-bit RSA; onderhoud twee actieve selectors tijdens rotatie.
  • Selector-naamgeving: sYYYYqN of vendor-purpose zoals s2026q1-marketing.
  • Rotatiecadans: 6–12 maanden; onmiddellijk intrekken en opnieuw sleutelen indien gecompromitteerd (zet p= op leeg of verwijder het record en stop met ondertekenen met die selector).
• SPF-levenscyclus
  • Vendor-churn: onboard/offboard includes snel; laat nooit verouderde leveranciers geautoriseerd.
  • Subdomein-scoping: isoleer high-volume-stromen (bijv. mail.m.example) met aparte SPF om lookup-budgetten beheersbaar te houden.
  • Noodwijzigingen: onderhoud lagere TTL’s en een wijzigingslog.

AutoSPF-koppeling: AutoSPF volgt vendor-includes, waarschuwt wanneer aanbieders IP-bereiken toevoegen/verwijderen, werkt afgevlakte records automatisch bij op schema, en exporteert een audit trail. Het inventariseert ook DKIM-selectors die in DMARC-data zijn waargenomen zodat je weet welke sleutels je moet roteren.

ARC: aanpakken van beperkingen bij forwarding

Dit onderdeel staat op zichzelf: ARC vult SPF/DKIM/DMARC aan in complexe stromen.

• Wat ARC doet
  • Authenticated Received Chain (ARC) laat tussenpartijen de oorspronkelijke SPF/DKIM/DMARC-resultaten en het afgelegde pad bevestigen.
  • Ontvangers kunnen ARC-sets wegen om te vertrouwen dat een bericht dat door een lijst of forwarder is gewijzigd, goed was bij binnenkomst.
• Wanneer te gebruiken
  • Als je forwardingdiensten, mailinglijsten of campus-/enterprise-gateways beheert die routinematig DKIM of SPF breken.
  • ARC vervangt SPF/DKIM/DMARC niet; het levert continuïteit over hops heen.

AutoSPF-koppeling: AutoSPF markeert wanneer DMARC-mislukkingen kunnen worden verzacht door ARC (bijv. consistente dkim=fail bij de tweede hop met ARC-Seal aanwezig), en helpt operators ARC-implementatie te prioriteren op de tussenpartijen die er het meest toe doen.

FAQ

Moet ik -all of ~all gebruiken in SPF?

• -all (hard fail) signaleert een sterk beleid en vermindert spoofing, maar kan valse weigeringen verhogen tijdens migraties.
• ~all (soft fail) is veiliger tijdens onboarding; combineer met DMARC p=none/quarantine en ga over naar -all naarmate de DMARC-data stabiliseert.
• AutoSPF adviseert beleidsfasen per domein en waarschuwt bij legitieme bronnen die door -all zouden worden geblokkeerd.

Heb ik strikte DMARC-uitlijning nodig (adkim=s, aspf=s)?

• Strikte uitlijning verijdelt impersonatie via cousin-domeinen maar kan legitieme stromen breken (bijv. leverancier ondertekent met zijn d=).
• Begin relaxed en ga daarna over naar strict voor merken en stromen met hoog risico zodra leveranciers ondertekenen met jouw domein.
• Het uitlijningsdekkingsrapport van AutoSPF toont de gereedheid per stroom.

Hoe vaak moet ik DKIM-sleutels roteren en welke grootte?

• Roteer elke 6–12 maanden; gebruik vandaag 2048-bit RSA.
• Houd twee selectors actief tijdens rotatie om onderbrekingen te voorkomen.
• AutoSPF inventariseert selectors die in het verkeer worden gezien zodat jouw rotatielijst compleet is.

Kan ik meerdere SPF-records hebben?

• Nee. Een domein moet één SPF TXT-record publiceren; meerdere records kunnen permerror veroorzaken.
• AutoSPF voegt mechanismen samen tot één standaardconform record en valideert de syntaxis.

Waarom slaagt SPF maar faalt DMARC toch?

• Omdat het SPF-geauthenticeerde domein (MAIL FROM of HELO) niet uitlijnt met het header From:-domein.
• Zorg dat het envelopdomein overeenkomt met (of in hetzelfde organisatorische domein zit als) het zichtbare From:, of vertrouw op DKIM met uitgelijnde d=.
• AutoSPF simuleert DMARC-uitlijning bovenop SPF om dit op te vangen.

Conclusie en productintegratie

SPF en DKIM lossen verschillende helften van het e-mailvertrouwensprobleem op: SPF autoriseert het verzendende IP en het SMTP-envelopdomein, terwijl DKIM de integriteit en domeinidentiteit van het bericht zelf bewijst; samen onder DMARC blokkeren ze spoofing en detecteren ze manipulatie in de stromen die je daadwerkelijk gebruikt. De praktische uitdaging is voortdurende hygiëne: SPF binnen de limiet van 10 lookups houden terwijl leveranciers veranderen, ervoor zorgen dat DKIM praktijkwijzigingen overleeft, en beide uitlijnen met DMARC-beleid zodat ontvangers kunnen vertrouwen op wat jouw gebruikers zien.

AutoSPF maakt die hygiëne operationeel. Het:

• Bouwt en onderhoudt één correct SPF-record per domein, dedupliceert mechanismen, budgetteert lookups, en vlakt vluchtige leveranciers veilig af met health checks.
• Monitort DMARC-aggregaten om te tonen waar DMARC-passes voortkomen uit SPF versus DKIM, zodat je uitlijning kunt optimaliseren en forwarding overleeft.
• Diagnosticeert mislukkingen snel door include-ketens uit te breiden zoals een ontvanger, permerrors te signaleren, en DKIM-selector-problemen die in het veld worden waargenomen te correleren.
• Begeleidt beleidsverscherping — van ~all naar -all, van relaxed naar strikte uitlijning — op basis van data uit jouw verkeer, niet giswerk.

Als jouw volgende kwartaal het onboarden van een nieuw marketingplatform, het consolideren van ESP’s, of het aanscherpen van DMARC naar reject omvat, geeft AutoSPF je de vangrails om dat vol vertrouwen te doen — zodat SPF verifieert wat DKIM niet kan, DKIM verifieert wat SPF niet kan, en DMARC het vertrouwen van jouw merk van begin tot eind afdwingt.