SPF, DKIM en DMARC voor Microsoft 365: stap voor stap

Dit is de toegepaste, doe-het-in-deze-volgorde-versie voor Microsoft 365 — wil je eerst begrijpen wat SPF, DKIM en DMARC precies doen, lees dan die gidsen. Deze behandelt alleen de Microsoft-specifieke records en portaalstappen.

SPF voor Microsoft 365

Voeg één TXT-record toe aan de root van je domein:

v=spf1 include:spf.protection.outlook.com -all

Microsofts eigen documentatie gebruikt standaard -all (hard fail) in plaats van het elders gangbare ~all (soft fail) — een strenger startpunt, goed om te weten voordat je een record kopieert uit het voorbeeld van een andere provider.

DKIM voor Microsoft 365 — twee CNAME's, geen TXT

In tegenstelling tot Google's ene TXT-record gebruikt DKIM bij Microsoft 365 twee door Microsoft gegenereerde CNAME-records, die elk naar een door Microsoft gehoste sleutel wijzen:

selector1._domainkey.yourdomain.com.  CNAME  selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
selector2._domainkey.yourdomain.com.  CNAME  selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.

Haal de twee CNAME-waarden voor selector1._domainkey en selector2._domainkey op uit het Microsoft Defender-portaal (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), of via de PowerShell-cmdlet Set-DkimSigningConfig
Voeg beide CNAME-records exact zo toe als opgegeven
Schakel DKIM-ondertekening voor het domein in op datzelfde scherm van het Defender-portaal — net als bij Google schakelt het enkel publiceren van de records de ondertekening niet in

DMARC voor Microsoft 365

Net als overal elders: een TXT-record op _dmarc.jouwdomein.nl, rechtstreeks in DNS gepubliceerd in plaats van via een Microsoft-specifieke interface. Begin met p=none — bekijk onze DMARC-gids voor het volledige traject.

_dmarc.yourdomain.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Alle drie verifiëren

Zodra elk record is gepubliceerd en DKIM-ondertekening is ingeschakeld, bevestigt een e-mailbeveiligingscontrole dat SPF, DKIM en DMARC allemaal correct oplossen en uitlijnen.

Fouten die deze configuratie breken

Slechts één van de twee vereiste CNAME-records toevoegen — beide zijn nodig, en het ontbreken van één zorgt dat DKIM niet kan valideren
De CNAME-records publiceren maar DKIM-ondertekening nooit inschakelen in het Defender-portaal
Hybride Exchange-omgevingen waarbij een deel van de mail via on-premises servers loopt die niet gedekt worden door het include:spf.protection.outlook.com-mechanisme, waardoor hun eigen IP's aan het SPF-record moeten worden toegevoegd

Controleer je configuratie

E-mailbeveiligingscontrole uitvoeren →Volgende: Veilig overstappen naar een andere DNS-provider →

Probeer het op je domein

Zie de theorie in de praktijk — voer E-mailbeveiligingscontrole uit voor je eigen domein.