Je hebt wellicht weleens phishingmails ontvangen waarbij het afzendadres wel degelijk van je bank afkomstig leek. Een geval van domeinspoofing dus en laat dat nou net de praktijken zijn die het e-mailprotocol DMARC moet voorkomen, met als bouwstenen SPF en DKIM.

DMARC staat voor Domain-based Message Authentication, Reporting & Conformance en is een protocol voor e-mailverificatie, e-mailbeleid en e-mailrapportage dat grotendeels steunt op de SPF- en DKIM-validatieprotocollen. DMARC maakt het mailservers makkelijker om na te gaan of een bericht daadwerkelijk van de vermeende zender afkomstig is en wat er dient te gebeuren indien dat niet zo is.

Het oude SMTP (Simple Mail Transport Protocol) is, zoals de naam al aangeeft, een simpel protocol om e-mails te verzenden. Er is geen sprake van enige encryptie of verificatie, wat maakt dat berichten makkelijk kunnen worden onderschept en gespooft (bijvoorbeeld via een man-in-the-middle-opzet). Er werden weliswaar enkele oplossingen aan clientzijde bedacht, zoals S/MIME en PGP, maar die vereisen de actieve medewerking van de gebruikers. 

Extensies en internetstandaarden die het SMTP-protocol en transport zelf beveiligen zijn daarom een betere werkwijze. SSL gebruiken voor SMTP-verbindingen bleek niet zo praktisch wegens poort-issues. STARTTLS is een betere aanpak aangezien de SMTP-client en -server over het TLS-gebruik (Transport Layer Security) kunnen onderhandelen en hierbij ook de mailheaders worden versleuteld.

Helaas beschermt TLS de berichten alleen wanneer het wordt verstuurd tussen twee servers die beide TLS ondersteunen.

©PXimport

SPF (Sender Policy Framework)

Inmiddels werden er nog andere technieken ontwikkeld die het vooral op e-mailspoofers gemunt hebben. SPF (Sender Policy Framework) is er één van, een techniek die steunt op DNS (Domain Name System). Er wordt hierbij immers een txt-record opgenomen in de nameserver-configuratie van het domein. Je vindt de syntaxregels hier. 

Zo’n record zou onder meer de volgende regel kunnen bevatten:

Deze geeft aan dat de host email.domeinnaam.nl (alleen) berichten mag verzenden namens @domainnaam.nl en is dus bedoeld om e-mailspoofing tegen te gaan. Je kunt je eigen SPF-record en ook die van andere instanties hier testen. 

Het volstaat hier een domeinnaam te vullen (bijvoorbeeld telegraaf.nl), waarna je het SPF-record te zien krijgt, gevolgd door een analyse en een veiligheidsbeoordeling.

©PXimport

DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) is een complementair e-mailverificatieprotocol dat door het toevoegen van een handtekening wil voorkomen dat berichten tijdens het transport tussen de mailservers kunnen worden gewijzigd of vervalst. Meer informatie hierover vind je op dkim.org.

De mailservers of e-mailgateway moeten wel met DKIM overweg kunnen. Na het instellen van de DKIM-functie wordt er dan een sleutelpaar gegenereerd. De private sleutel komt terecht op de mailserver, terwijl de publieke sleutel in het DNS wordt opgenomen met de nodige parameters. Dat kan er in eenvoudige vorm als volgt uitzien:

DKIM werkt namelijk op basis van een selector, met een willekeurige naam, die het zo mogelijk maakt dat je meerdere DKIM-sleutels voor je domein opneemt.

Op basis van de private sleutel wordt dan een cryptografische handtekening gegenereerd, die aan de mail wordt toegevoegd als DKIM-header. De ontvanger kan dan in het DNS de bijbehorende publieke sleutel opzoeken en controleren. Is er geen match, dan wordt de e-mail geweigerd.

Je kunt hier een DKIM-record testen. Naast een domeinnaam dien je hier wel nog een geldige DKIM-selector in te vullen. Zo’n selector kun je in de e-mailheader terugvinden. In Outlook bijvoorbeeld open je hiervoor de gewenste mail en kies je Bestand / Eigenschappen, waarna je in het veld Internetheaders zoekt naar de DKIM-ingang (indien aanwezig). Je leest de selector-naam af achter de parameter s=.

©PXimport

Hoe werkt DMARC?

Met SPF en DKIM zijn we al een heel eind richting DMARC opgeschoven. Op dmarc.org/wiki/FAQ vind je een uitgebreide lijst met vragen en antwoorden.

DMARC gebruikt de verificatieprotocollen SPF en DKIM als bouwstenen. Zo controleert DMARC of het <header from>-veld van het bericht overeenkomt met het <envelope from>-veld dat via SPF wordt gecheckt. Ook gaat DMARC na of dat veld eveneens overeenkomt met de parameter d=<domeinnaam> uit de DKIM-handtekening.

Een belangrijke meerwaarde van DMARC is dat je via beleidsregels niet alleen kunt aangeven hoe streng je die SPF- en DKIM-controles wilt interpreteren (met parameters als aspf=r en adkim=s, waarbij r voor relaxed en s voor strict staat), maar vooral ook dat je precies kunt aangeven wat er moet gebeuren als deze controles niet blijken te kloppen. In het DMARC-txt-record zou je bijvoorbeeld iets als het volgende kunnen zetten:

©PXimport

Recordanalyse

Een blik op bijvoorbeeld Flowmailer maakt meteen duidelijk wat deze record-ingang inhoudt. Zo geef je met de parameter p= aan wat de ontvangende mailserver met berichten moet doen die de bovenvermelde controles niet hebben doorstaan: niets, afwijzen of ter verdere controle in quarantaine plaatsen.

Absoluut interessant zijn ook de parameters rua= en ruf=, die elk verwijzen naar een andersoortige rapportage, respectievelijk aggregated en forensic, waarbij de laatste het meest gedetailleerd is. De ontvangende mailserver stuurt deze rapporten dan automatisch door naar de in het DMARC-record vermelde e-mailadressen.

Net als bij SPF en DKIM kun je ook het DMARC-record voor een domeinnaam testen op mxtoolbox.com/dmarc.aspx. Voor all-roundtests kun je terecht op powerdmarc.com/analyzer en internet.nl.

DMARC mag dan de nodige configuratie vergen, het is in elk geval een extra, zinvolle blokkade tegen e-mailspoofing (en dus ook phishing). Jammer dus dat de implementatie van DMARC op de mailservers van Nederlandse en Belgische e-commercebedrijven relatief langzaam verloopt.

Je hebt ze deze week al eerder voorbij zien komen: de meest opvallende dingen die Martin Verschoor van Power Unlimited Tech tegen is gekomen op de CES in Las Vegas. We hebben er weer een aantal voor je verzameld!

Ook leuk: CES 2026: 3 opvallende dingen gespot door Martin van Power Unlimited Tech

De Mouth of Truth (maar dan anders)

Samsung SmartThings-AI als dierenarts 

TCL AiMe: gezelschapsrobot wordt steeds persoonlijker

LG televisie: met recht een Wallpaper-tv

LG heeft op CES 2026 de OLED evo W6 aangekondigd: een nieuwe versie van zijn Wallpaper TV die ongeveer 9 millimeter dun is en vrijwel vlak tegen de muur kan hangen. Aansluitingen zoals HDMI zitten niet meer in het scherm, maar in een losse Zero Connect Box die je tot 10 meter verderop kunt plaatsen; beeld en geluid gaan daarna draadloos naar de tv.

LG grijpt met de W6 terug op het 'Wallpaper Design' dat het in 2017 introduceerde. Het idee is dat de tv zo min mogelijk uitsteekt en van rand tot rand vlak tegen de muur hangt. Volgens LG is dat gelukt door interne onderdelen te verkleinen en de opbouw van het toestel opnieuw te ontwerpen. De wandbeugel is daarbij aangepast om de tv strakker tegen de muur te laten zitten.

Het 'true wireless'-deel zit in die Zero Connect Box. Daar sluit je al je bronnen op aan, terwijl de tv zelf zo leeg mogelijk blijft. LG zegt dat de draadloze verbinding 4K-video en audio naar het scherm stuurt zonder zichtbaar kwaliteitsverlies. In de praktijk is dit vooral interessant als je geen kabelbundel naar de tv wilt of als je apparatuur liever in een kast zet, bijvoorbeeld een spelcomputer of settopbox.

Naast het ontwerp zet LG ook in op beeldkwaliteit. Het bedrijf spreekt over een nieuw beeldpakket met 'Hyper Radiant Color Technology'. Dat moet dat zorgen voor diep zwart, felle kleuren en een hogere helderheid, terwijl reflecties op het scherm juist worden teruggedrongen.

De beeldverwerking komt van de nieuwe α (Alpha) 11 AI Processor Gen3. LG stelt dat de neurale rekenkracht in deze generatie flink is toegenomen en dat een 'Dual AI Engine' twee taken tegelijk kan uitvoeren: ruis verminderen én detail behouden. Dat moet vooral helpen bij gecomprimeerde streams en oudere content, waar tv's soms óf te veel gladstrijken óf juist onnatuurlijk scherpte toevoegen.

Ook op gaming mikt LG nadrukkelijk. De W6 en de andere 2026 OLED evo-modellen ondersteunen 4K met een verversingssnelheid tot 165 Hz, samen met NVIDIA G-SYNC Compatible en AMD FreeSync Premium om tearing te beperken. Verder zijn Auto Low Latency Mode en een opgegeven pixelresponstijd van 0,1 ms aanwezig, wat vooral belangrijk is als je snel bewegende games speelt en zo weinig mogelijk vertraging wilt.

Aan de softwarekant blijft webOS het platform, met extra personalisatie. Via Voice ID kan de tv herkennen wie er praat en schakelt hij naar een persoonlijke startpagina met bijbehorende apps en widgets. LG integreert daarnaast AI-functies met onder meer Google Gemini en Microsoft Copilot, zodat je vragen kunt stellen of extra context kunt opvragen zonder de app te verlaten. Met de nieuwe optie 'In This Scene' kun je bijvoorbeeld informatie over acteurs en gerelateerde content oproepen.

Wie de tv ook als 'scherm aan de muur' wil gebruiken, heeft toegang tot LG Gallery+. Dat is een dienst die de tv afbeeldingen laat tonen, van kunst en video-stills tot eigen foto's en beelden die je met generatieve AI maakt. LG zegt dat er ruim 4.500 visuals beschikbaar zijn en dat de dienst op meer modellen in de 2026-line-up uitrolt, niet alleen op de W6.

Wanneer de LG OLED evo W6 precies op de markt komt, in welke formaten en wat de prijzen gaan worden is nog niet bekend.

©LG

 Bekijk alle televisies van LG op Kieskeurig.nl