In juli 2018 introduceerden we de nieuwe incentive veilige e-mailstandaarden in de Registrar Scorecard (RSC). Met deze nieuwe incentive willen we de adoptie van standaarden als SPF, DKIM, DMARC en STARTTLS een boost geven. In aanvulling daarop organiseerden we ook een SIDN Academy over e-mailstandaarden, een praktische workshop om registrars op weg te helpen. QDC Internetservices ging actief aan de slag voor een mooie score op de nieuwe incentive. We spraken erover met supportmanager Dave Fredriksz.
E-mailstandaarden, hoe zat het ook al weer?
De standaarden DKIM, SPF en DMARC gaan phishing, spam, virussen en andere malware tegen door de inhoud en verschillende attributen van een e-mailbericht te beveiligen. Daarvoor worden diverse nieuwe records in de DNS-informatie opgenomen. Lees meer
Toename adoptie
Sinds de start van de incentive zien we meer SPF-, DKIM- en DMARC-records op .nl-domeinnamen en ze zijn zorgvuldiger en strakker ingesteld. Dat maakt mailverkeer veiliger en het verkleint de kans op phishing en spam. Hoewel SPF al relatief veel werd gebruikt, nam met name DMARC een behoorlijke vlucht. En dat is gunstig, want DMARC versterkt de werking van SPF en DKIM. De kracht zit hem dus in de drie-eenheid (plus natuurlijk het gebruik van STARTTLS). Eén van de partijen die afgelopen maanden een flinke groei in DMARC-records heeft gerealiseerd is QDC Internetservices. Wij spraken met hun supportmanager Dave Fredriksz.
Binnen 2 weken uitgerold
Dave: “De SIDN Academy was voor ons de trigger om aan de slag te gaan met e-mailstandaarden. 2 collega’s kwamen na deze training terug op kantoor en zeiden: “Hier moeten we écht mee aan de slag.” Voor bijna alle .nl-domeinnamen in ons portfolio hebben we toen binnen 2 weken de basis ingericht. Alle .eu en .be-domeinen hebben we voor het gemak direct meegepakt. Na de implementatie hebben we onze klanten geïnformeerd. We zien dit als een service naar onze klanten en vragen er ook geen extra geld voor. Klanten zijn zich vaak niet bewust van de risico’s. daarom vinden we het belangrijk dit goed voor ze te regelen."
Valse angst
Dave vervolgt: “Voorafgaand was er aan onze kant zorg dat de implementatie van SPF, DKIM en DMARC zou kunnen leiden tot e-mail die niet meer aankomt. In de praktijk bleek dit onnodige angst. Doordat we DMARC in eerste instantie op ‘p=none’ hebben gezet, weten we zeker dat uitgaande e-mail van klanten niet onterecht wordt tegengehouden.”
Nu nog een strikter beleid toepassen
We vroegen onze collega Marco Davids, technisch adviseur bij SIDN, mee te kijken hoe QDC dit heeft aangepakt. Marco: “Doordat QDC op het gros van hun domeinen een DMARC-record met een ‘p=none’ heeft gezet, blijft alles zoals het was, maar hebben ze wel de mogelijkheid rapporten te laten versturen door een ontvangende mailserver. Uit die rapporten is op te maken welke mailstromen er op de domeinen van hun klanten plaatsvinden. De uitdaging voor QDC en haar klanten is nu om deze mailstromen te analyseren en samen te kijken hoe men dit kan vertalen naar strikter mailbeleid.”
Meldingen automatiseren
Dave: “We hebben het nu zo ingericht dat we automatisch een melding krijgen op het moment dat een DMARC-record niet werkt. Deze meldingen zijn voor ons intern zo ingericht, dat iedereen bij ons zonder de technische kennis die meldingen zelf ook kan oppakken. Andere registrars wil ik meegeven vooral geen angst te hebben voor de implementatie en hiermee aan de slag te gaan. Het is echt valse angst.”