Controleren van aangemaakte SPF, DKIM en DMARC records

Wat enorm kan schelen in tijd, is de records door de betreffende hostingpartij te laten controleren (of zelf te doen) vóórdat deze worden doorgegeven naar ons om toe te voegen aan onze verzendserver.

Gezien een hoop  hostingpartijen met enige regelmaat klakkeloos de records aanmaken niet stilstaan bij t feit of de records ook correct zijn toegevoegd, kan dit een hoop heen en weer ge-pingpong schelen als deze voordat deze naar ons worden gecommuniceerd worden gecontroleerd. Zodat ze ook meteen zouden kunnen worden aangepast door de partij in kwestie in t geval dat er iets niet goed staat ingesteld, zonder tussenkomst van ons. Daar gaat vaak enorm veel tijd in zitten voor beide partijen, wat voorkomen kan worden door deze stappen uit te (laten) voeren. Stuur in dit geval onderstaande tekst door naar de hostingprovider met t verzoek of ze hun aanpassingen willen controleren.

Sowieso kan t erg schelen (mits mogelijk) om de zogeheten ‘TTL’ (time to live) zo laag mogelijk te houden bij t aanmaken, dan zie je zo snel mogelijk het resultaat van de toegevoegde records terug. Daar gaat vaak nog enige tijd overheen. Dus zet deze t liefst op 1 minuut. Een andere waarde is uiteraard ook mogelijk, maar hou m in de regel zo laag mogelijk.

SPF CONTROLEREN

Om een SPF te controleren, ga je naar https://www.kitterman.com/spf/validate.html en vul je op onderstaande manier je domeinnaam in en klik je op ‘Get SPF record (if any)’

Daar moet onderstaand scherm uitkomen waarbij t kan zijn dat er include:spf.mailcamp.nl instaat, of include:_spf.emailclick.nl (voor de resellers van onze software. Zodat er geen ‘Mailcamp’ in verwerkt staat. Dat vinden onze resellers uiteraard minder fijn). Het SPF van onze hostingpartij include:_spf.exsilia.net is ook geldig maar hier zitten veel meer IP adressen in dan eigenlijk nodig zijn dus wij raden af om dit SPF record nog te gebruiken.
Het komt in ieder geval neer op dezelfde IP adressen die erin verwerkt staan. Let er dus op dat er 1 van de bovenstaande "includes" in de waarde voorkomen (zie eerste rode kader in onderstaand screenshot).

Ook moet er een melding onderin staan die aangeeft :”SPF record passed validation test with pySPF (Python SPF library)!”(tweede rode kader). Is dit niet t geval, dan is er wat mis en moet er naar gekeken worden. Hij kan dan in ieder geval niet altijd voor een verzending gebruikt worden. Hou hier dus rekening mee! Er zijn gevallen waarin er iets anders mis gaat, maar laat hier dan wel even naar kijken.

Mocht er bijv een “Too many DNS lookups” melding komen, betekent dit dat er teveel zogeheten ‘includes’ in t SPF staan. Daar mogen maximaal 10 IP adressen onder verwerkt staan en overschrijd je deze grens, riskeer je dus dat sommige zaken niet goed werken. Vaak valt er wel een oude (ESP) partij uit te halen die niet meer gebruikt wordt en dan verhelpt t probleem zichzelf. In andere gevallen kan t wel eens nodig zijn om een bepaalde range van IP adressen toe te voegen die niet meetellen onder de includes, om alsnog het probleem te omzeilen. Dat zou dan gaan om het volgende:

ip4:83.137.145.0/24 ip4:89.188.15.0/24 ip6:2a01:1b0:7999:402::/64

Hou er in dat geval wél rekening mee dat de check binnen Mailcamp (de groene vinkjes) alleen controleert op de aanwezigheid van 'include:spf.mailcamp.nl', 'include:_spf.emailclick.nl' en/of 'include:_spf.exsilia.net'. Dus zal je in het geval van t toevoegen van de bovenstaande range van IP adressen en géén include een rood kruisje overhouden bij t bekijken van de lijsten en bij t verzenden. Maar deze mag je in dat geval negeren.

DKIM CONTROLEREN

Hierbij ga je naar https://emailstuff.org/authentication en vul je de domeinnaam op de volgende manier in met als selector ‘mailrelay’

Het kan zijn dat er inmiddels om 'mailrelay2048' wordt gevraagd in de DNS mail.
Deze string is beter beveiligd, maar let dus even op of er in de mail waarin de records worden vermeld of er mailrelay2048._domainkey staat vermeld ipv alleen mailrelay._domainkey. 

Beiden zijn 'goed' maar als er een verkeerde selector gebruikt wordt bij de controle, komt t domein er dus niet doorheen. Goed om te weten! Zie onder.

Let er op dat er na controle “Valid record” uit dient te komen en vervolgens de waarde ook overeenkomt met hetgeen uit de mail met DNS records die bij de onboarding is verstuurd. Meestal is aan de eerste paar karakters na ‘p=’ al te zien dat dit we of niet overeenkomt met  MIGfMA0GCSqGSIb3DQ. Afgezien van , wat uiteraard een ander domein zou worden, zou het er verder exact zo uit moeten zien als hieronder.

Als deze stappen allemaal zijn nagelopen kan er aan ons worden doorgegeven dat de records zijn aangemaakt (en gecontroleerd) en we het DKIM record aan onze verzendserver kunnen toevoegen. Dit laatste is een belangrijke stap, dus vergeet dit niet. Anders loop je alsnog t risico dat je bij een groot deel niet of minder goed aankomt.

DMARC CONTROLEREN. 

Gezien Google en Yahoo nu ook streng op DMARC gaan controleren dient deze ook te worden toegevoegd aan de DNS (Zie https://support.mailcamp.nl/hc/nl/articles/19990652131345-Alles-wat-je-moet-weten-over-DMARC ) 

De controle hiervan geschiedt op dezelfde pagina als voor t DKIM (https://emailstuff.org/authentication) en scroll je hierbij een stukje naar beneden en vul je in onderstaand kader de domeinnaam in. 

Daar zal je dan (afgezien van de eigen gekozen instellingen voor de DMARC monitoring) in ieder geval de volgende waarde moeten terugzien, uitgaande dat men wil dat wij ook de DMARC rapporten kunnen uitlezen indien er wat misgaat bij de verzending/ontvangen van mail. (rood omkaderd)

"rua=mailto:rua@report.rect.to; ruf=mailto:ruf@report.rect.to; fo=1;"