E-mail is voor veel organisaties nog altijd een van de belangrijkste communicatiemiddelen. Toch zien we in de praktijk dat e-mailbeveiliging vaak begint bij filters, policies en gebruikersbewustzijn. Begrijpelijk, maar daarmee sla je een cruciale laag over: het technische fundament van vertrouwen tussen mailservers.
Als dat fundament niet klopt, worden alle maatregelen daarboven een stuk minder betrouwbaar. Heb je vragen over e-mailbeveiliging of twijfel je of jouw Microsoft 365 omgeving hier al klaar voor is? Neem gerust contact met ons op, we denken graag met je mee.
Waarom transportbeveiliging ertoe doet
Wanneer een mailserver e-mail ontvangt, vertrouwt hij volledig op DNS-informatie. Op basis daarvan wordt bepaald welke server verantwoordelijk is voor een domein, hoe de verbinding wordt opgezet en of versleuteling mogelijk of zelfs verplicht is. Zonder aanvullende beveiliging kan deze DNS-informatie onderweg worden aangepast. In dat geval denkt een mailserver veilig te communiceren met de juiste partij, terwijl het verkeer in werkelijkheid kan worden omgeleid of onderschept. Dit gebeurt vaak onzichtbaar en zonder directe foutmeldingen. Precies daar gaat het in de praktijk regelmatig mis.
DNSSEC als basis voor betrouwbaar DNS-verkeer
DNSSEC (Domain Name System Security Extensions) zorgt ervoor dat DNS-records cryptografisch worden ondertekend. Hierdoor kan een ontvangende mailserver verifiëren of de DNS-informatie:
- daadwerkelijk afkomstig is van de domeineigenaar
- onderweg niet is gewijzigd
Zonder DNSSEC is DNS gebaseerd op impliciet vertrouwen. Met DNSSEC maak je dat vertrouwen expliciet en controleerbaar.
Belangrijk om te weten:
DNSSEC regel je niet in Microsoft 365 zelf. Je domein moet DNSSEC ondersteunen bij je registrar. Dit is een harde voorwaarde voordat je verder kunt met SMTP DANE.
Wat SMTP DANE toevoegt aan e-mailbeveiliging
SMTP DANE bouwt voort op DNSSEC en legt vast welk TLS-certificaat een mailserver hoort te gebruiken. Dit gebeurt via TLSA-records in DNS. Een verzendende mailserver controleert hiermee niet alleen of TLS beschikbaar is, maar ook of het juiste certificaat wordt aangeboden. Komt dit niet overeen, dan wordt de verbinding geweigerd. Dit voorkomt onder andere downgrade-aanvallen en situaties waarin e-mail wel versleuteld lijkt, maar feitelijk kan worden onderschept.
Onze visie bij LinkSecure:
“Encryptie die niet afdwingbaar en verifieerbaar is, geeft vooral een gevoel van veiligheid. DNSSEC en DANE zorgen ervoor dat die veiligheid ook technisch klopt.”
Microsoft 365 en inbound SMTP DANE
Microsoft 365 ondersteunt inmiddels inbound SMTP DANE. Dit betekent dat je inkomende e-mail expliciet kunt beperken tot verbindingen waarbij:
- DNSSEC correct valideert
- TLS-certificaten exact overeenkomen met wat in DNS is vastgelegd
Deze functionaliteit staat niet standaard aan en moet bewust worden geconfigureerd. Dat is ook logisch: foutieve configuraties hebben directe impact op mailflow. Bij LinkSecure begeleiden we dit soort wijzigingen altijd gecontroleerd, zodat veiligheid en beschikbaarheid gewaarborgd blijven.
Stap-voor-stap: DNSSEC en inbound SMTP DANE instellen
- Controleer DNSSEC bij je registrar
Controleer of DNSSEC actief is en of de DS-records correct zijn gepubliceerd. Zonder deze stap werkt SMTP DANE niet.
- Verlaag tijdelijk de TTL van je MX-record
Verlaag de TTL (bijvoorbeeld naar 60 seconden) en wacht tot de oude TTL is verlopen. Dit voorkomt lange wachttijden bij wijzigingen.
- Verbind met Exchange Online PowerShell
Maak verbinding met Exchange Online en log in met een account met voldoende rechten.
- Activeer DNSSEC voor het domein
Enable-DnssecForVerifiedDomain -DomainName “jouwdomein.nl”
Deze opdracht retourneert een nieuwe DnssecMxValue. - Voeg het nieuwe MX-record toe
Voeg het DNSSEC-MX-record toe naast het bestaande record, met een hogere prioriteit en lage TTL.
- Controleer de mailflow
Test of e-mail correct wordt ontvangen en of er geen afleverproblemen zijn.
- Verwijder het oude MX-record
Wanneer alles stabiel werkt, verwijder je het oude MX-record en zet je de prioriteit van het DNSSEC-record op 0.
- Activeer inbound SMTP DANE
Enable-SmtpDaneInbound -DomainName “jouwdomein.nl”
Microsoft publiceert nu automatisch de TLSA-records. - Valideer DNSSEC en DANE
Controleer of DNSSEC valideert en of minimaal één TLSA-record correct wordt gevalideerd.
Waarom dit de juiste start is
Met DNSSEC en SMTP DANE leg je een stevig technisch fundament voor e-mailbeveiliging. Je voorkomt ongemerkte manipulatie van mailverkeer en dwingt af dat versleuteling niet alleen aanwezig is, maar ook klopt. Dit is geen eindpunt, maar een noodzakelijke eerste stap. In de volgende blog verschuift de focus van transport naar identiteit en laten we zien hoe legitieme authenticatiestromen zelf doelwit worden van misbruik. Lees hier de blog Wanneer legitieme authenticatie wordt misbruikt: Device Code Flow in Microsoft Entra ID.
Wil je weten of dit fundament in jouw Microsoft 365 omgeving correct is ingericht? Wij helpen je graag met een technische check of volledige implementatie. Neem contact met ons op.
