E-mailverificatie: hoe weet een systeem dat jij écht bent?
Wie een account aanmaakt bij een webshop, sociale media-app of nieuwsbrief, krijgt bijna altijd een e-mail met het verzoek om een link aan te klikken of een code in te vullen. Pas daarna werkt het account volledig. Dat proces heet e-mailverificatie: het bevestigen dat een opgegeven e-mailadres echt bestaat en dat de persoon die het invulde er ook daadwerkelijk toegang toe heeft.
Een goede analogie is de aangetekende brief. Als iemand een pakket bestelt en opgeeft op welk adres het bezorgd moet worden, wil de postbezorger zeker weten dat er ook echt iemand op dat adres woont die voor ontvangst kan tekenen. Bij e-mailverificatie stuurt een dienst een 'brief' (de e-mail) naar het opgegeven adres, en pas als iemand die brief opent en de bijgevoegde code gebruikt of de link volgt, is bewezen dat het adres klopt en bereikbaar is.
Wat is het precies?
Het bekendste type e-mailverificatie heet double opt-in: dubbele bevestiging. Iemand vult een e-mailadres in bij het aanmelden voor een dienst of nieuwsbrief. Het systeem genereert dan een uniek, tijdelijk kenmerk, meestal een lange willekeurige tekenreeks die in een link wordt verwerkt, of soms een korte numerieke code. Deze wordt naar het opgegeven adres gestuurd. Klikt de ontvanger op de link of voert die de code in, dan bevestigt het systeem het adres en activeert het account of de inschrijving.
Dat is de zichtbare kant voor gebruikers. Achter de schermen bestaat er ook een heel ander soort e-mailverificatie: die controleert niet of een ontvanger een e-mailadres bezit, maar of een verzonden e-mail echt afkomstig is van wie het beweert te zijn. Daarvoor zijn drie technische standaarden ontwikkeld die met elkaar samenwerken.
SPF (Sender Policy Framework) laat een organisatie in haar domeinnaam-instellingen (DNS) vastleggen welke mailservers namens haar domein mogen versturen. Ontvangende mailservers kunnen dat nakijken. SPF is vastgelegd in RFC 4408 uit 2006 en later herzien in RFC 7208 uit 2014 (RFC's zijn de technische documenten waarin internetstandaarden officieel worden beschreven, beheerd door de IETF).
DKIM (DomainKeys Identified Mail) voegt een digitale handtekening toe aan uitgaande e-mail, gebaseerd op cryptografische sleutels. De ontvangende server kan met een publieke sleutel, die ook in het DNS van de afzender staat, controleren of de e-mail onderweg niet is aangepast en echt van dat domein komt. DKIM is vastgelegd in RFC 4871 (2007) en bijgewerkt in RFC 6376 (2011); de techniek combineerde twee eerdere, los ontwikkelde methodes van Yahoo en Cisco.
DMARC (Domain-based Message Authentication, Reporting and Conformance) bouwt voort op SPF en DKIM. Een domeineigenaar kan met DMARC aangeven wat ontvangende mailservers moeten doen met berichten die de SPF- of DKIM-controle niet doorstaan: negeren, naar de spamfolder sturen, of volledig weigeren. Ook krijgt de domeineigenaar rapportages terug over mislukte controles, wat helpt om misbruik van het eigen domein op te sporen. DMARC werd rond 2012 als gezamenlijk initiatief gepubliceerd en later, in 2015, formeel beschreven in het (informationele) document RFC 7489.
Wat wil men ermee bereiken?
Het doel van de gebruikersgerichte verificatie (double opt-in) is drieledig. Ten eerste voorkomt het dat mensen zich met een fake of verkeerd getypt e-mailadres aanmelden, of dat iemand zonder toestemming het adres van een ander invult. Ten tweede zorgt het voor een schonere gebruikersbestand: diensten willen niet massaal mails sturen naar adressen die niet bestaan, want dat schaadt hun reputatie bij grote mailproviders als Gmail en Outlook. Ten derde speelt wetgeving een rol: in de Europese Unie eist de AVG/GDPR (van kracht sinds 25 mei 2018) aantoonbare, actieve toestemming voor het versturen van marketingmail, en double opt-in levert daar bewijs van. In de Verenigde Staten regelt de CAN-SPAM Act uit 2003 vergelijkbare, zij het minder strenge, verplichtingen rond commerciële e-mail.
Het doel van SPF, DKIM en DMARC is anders: die bestrijden spoofing, het vervalsen van de afzendernaam om phishing-mails geloofwaardiger te maken. Zonder deze controles kan vrijwel iedereen een e-mail versturen die eruitziet alsof die van bijvoorbeeld een bank komt. Met een sluitende DMARC-instelling wordt zo'n vervalste mail door de ontvangende server geweigerd voordat een gebruiker hem ooit te zien krijgt.
Voorbeelden uit de praktijk
Enkele concrete mijlpalen illustreren hoe deze technieken hun weg vonden naar de praktijk:
- DMARC.org (2012): een groep grote techbedrijven en financiële instellingen, waaronder PayPal, Google, Microsoft en Yahoo, publiceerde gezamenlijk de eerste DMARC-specificatie en richtte de organisatie DMARC.org op om de standaard verder te beheren.
- Mailchimp en double opt-in: de nieuwsbriefdienst Mailchimp, actief sinds 2001, is decennialang een van de bekendste voorvechters van double opt-in geweest en adviseert het nog steeds standaard aan klanten om spamklachten te beperken.
- BIMI (rond 2019-2021): de AuthIndicators Working Group, met deelname van onder meer Google, Yahoo en Fastmail, ontwikkelde de BIMI-standaard, die bedrijfslogo's laat zien naast inkomende e-mail, maar alleen als het domein een geldige DMARC-instelling heeft. Grote providers zoals Gmail begonnen dit rond 2021 breder te ondersteunen.
- Gmail-accountverificatie: Google vraagt al sinds de vroege jaren van Gmail (gelanceerd in 2004) om telefoon- of e-mailbevestiging bij verdachte aanmeldingen, als extra laag bovenop het reguliere verificatieproces.
- Wettelijke kaders: de Amerikaanse CAN-SPAM Act (2003) en de Europese AVG (2018) verplichten organisaties indirect om verificatie- en toestemmingsmechanismen zoals double opt-in in te bouwen.
Hoe ver is de techniek?
E-mailverificatie is geen opkomende technologie meer, maar een volwassen praktijk die al twee decennia bestaat. Double opt-in is inmiddels de norm bij serieuze nieuwsbrief- en accountdiensten. SPF en DKIM zijn wijdverbreid, vooral bij grote verzenders. DMARC-adoptie groeit gestaag, maar is wereldwijd nog niet universeel: veel kleinere organisaties, gemeentelijke instanties en mkb-bedrijven hebben hun DMARC-beleid niet, of niet strikt genoeg, ingesteld. Onderzoeken van beveiligingsbedrijven laten steeds weer zien dat een aanzienlijk deel van de domeinen van bijvoorbeeld overheden of bedrijven geen of een te zwakke DMARC-policy heeft; exacte percentages verschillen sterk per onderzoek en per land, dus harde universele cijfers zijn hier lastig te geven.
De belangrijkste hobbel is niet technisch, maar organisatorisch: het correct instellen van SPF, DKIM en DMARC vraagt kennis van DNS-beheer en zorgvuldige coördinatie tussen alle diensten die namens een domein mail versturen (denk aan een marketingtool, een factuursysteem en de eigen mailserver). Een foutieve instelling kan legitieme mail per ongeluk blokkeren, wat organisaties voorzichtig maakt.
Een nieuwere zorg is dat aanvallers, geholpen door AI-taalmodellen, steeds overtuigender phishingmails kunnen schrijven. Dat verandert weinig aan de onderliggende verificatietechniek zelf, maar vergroot wel het belang ervan: als de afzender-authenticatie sluitend is, helpt dat ook tegen mails die inhoudelijk zeer geloofwaardig ogen.
Wie werken eraan?
De ontwikkeling en instandhouding van deze standaarden is verdeeld over een aantal partijen. De IETF (Internet Engineering Task Force) is de organisatie die de formele RFC-standaarden voor SPF, DKIM en DMARC beheert en bijwerkt. Daarnaast bestaat M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group), een branchevereniging die oorspronkelijk als MAAWG rond 2004 werd opgericht en waarin grote mailproviders, beveiligingsbedrijven en onderzoekers samenwerken tegen spam en misbruik.
Onder de grote techbedrijven die actief bijdragen aan implementatie en handhaving van deze standaarden vallen Google en Microsoft (als grote mailproviders die strenge eisen stellen aan verzenders), Yahoo (medeontwikkelaar van zowel DKIM als DMARC) en PayPal (een van de aanjagers van DMARC, vanwege de grote hoeveelheid phishing die gericht was op hun merknaam). In de commerciële e-maildienstverlening spelen bedrijven als Twilio SendGrid en Mailgun een rol, die klanten helpen bij het correct inrichten van SPF, DKIM en DMARC. Beveiligingsbedrijf Cloudflare breidde zijn e-mailbeveiligingsactiviteiten uit met de overname van het gespecialiseerde bedrijf Area 1 Security, een deal die rond 2022 werd afgerond.