U test uw domein op internet.nl, verwacht een net rapport en krijgt een pagina vol rode en oranje vinkjes: 67% of lager. Herkenbaar — en er is goed nieuws: vrijwel elk vinkje is in één gecoördineerde sprint groen te krijgen, vaak zonder dat u zelf een regel code hoeft te schrijven. Hieronder de aanpak die wij bij klanten gebruiken.
Wat meet internet.nl eigenlijk?
Internet.nl is een initiatief van onder meer de Nederlandse overheid en toetst uw domein op moderne internetstandaarden in drie categorieën: website (encryptie en beveiligingsheaders), mail (echtheid en versleuteling van e-mail) en verbinding (IPv6 en DNSSEC). Het is geen theoretisch keurmerk. Een ontbrekend SPF- of DMARC-record betekent in de praktijk dat criminelen namens uw domein kunnen mailen — en dat uw eigen offertes vaker in de spam belanden.
Website: moderne encryptie en veilige headers
Dit regelt u bij uw hoster of in uw webserverconfiguratie. Activeer TLS 1.2 en 1.3 en schakel TLS 1.0/1.1 uit. Forceer een redirect van http naar https en zet daarna de beveiligingsheaders aan: HSTS, CSP (Content-Security-Policy), X-Content-Type-Options en X-Frame-Options. Bij Odoo Online staat het meeste hiervan al goed; draait uw site op een eigen server of achter een proxy, dan loont een extra check.
Mail: SPF, DKIM, DMARC, STARTTLS en DANE
Hier zit de meeste winst — en het meeste risico als u het overhaast. Voeg bij uw DNS-provider een SPF-record toe dat uitsluitend uw bekende verzenders toestaat (Odoo-SMTP, Microsoft 365, Mailgun, enz.). Activeer DKIM per mailprovider en publiceer de sleutel als TXT-record. Zet DMARC eerst op p=none om vier weken te monitoren, en verhoog daarna naar p=quarantine of liefst p=reject. STARTTLS en DANE (een TLSA-record) stelt u in op de mailserver zelf; bij Microsoft 365 en de meeste Nederlandse mailhosters is dit inmiddels standaard of een kwestie van een supportticket.
Verbinding: IPv6 en DNSSEC
De snelste winst zit vaak hier. Laat uw hoster AAAA-records (IPv6) en DNSSEC inschakelen — bij de meeste Europese providers is dat letterlijk een tickbox. Een logische volgorde voor de hele sprint:
- DNSSEC en IPv6 — de grootste quick wins, vrijwel geen risico.
- SPF + DKIM + DMARC — start met
p=none, na vier weken testen door naarreject. - STARTTLS en DANE op de mailserver.
- Web-beveiligingsheaders en TLS-hardening als afronding.
Blijf hertesten
Tip: laat het niet bij die ene 100% — plan ieder kwartaal een hertest. Providers wijzigen configuraties (een nieuw mailserver-IP bijvoorbeeld) en uw SPF-record kan stilletjes breken, waardoor uw mail in de spam belandt zonder dat u het merkt. Gebruik gratis DMARC-rapportages (bijvoorbeeld via Postmark of Dmarcian) om te zien wie er namens uw domein probeert te versturen. Hulp nodig bij die eerste sprint naar 100%? Neem contact op met DAADit Group — wij brachten dit traject al vaker van rood naar groen.
U test uw domein op internet.nl, verwacht een keurig rapport en krijgt een pagina vol rode en oranje vinkjes: 67% of lager. Herkenbaar — en er is goed nieuws: vrijwel elk vinkje kan in één gecoördineerde sprint groen worden, vaak zonder dat u zelf een regel code schrijft. Hieronder de aanpak die wij bij onze klanten gebruiken.
Wat meet internet.nl eigenlijk?
Internet.nl is een initiatief dat onder meer door de Nederlandse overheid wordt gesteund. Het toetst uw domein aan moderne internetstandaarden in drie categorieën: website (versleuteling en security headers), mail (authenticiteit en versleuteling van e-mail) en verbinding (IPv6 en DNSSEC). Het is geen theoretisch keurmerk. Een ontbrekend SPF- of DMARC-record betekent in de praktijk dat criminelen e-mail namens uw domein kunnen versturen — en dat uw eigen offertes vaker in de spam belanden.
Website: moderne versleuteling en veilige headers
Dit regelt u bij uw host of in de configuratie van uw webserver. Activeer TLS 1.2 en 1.3 en schakel TLS 1.0/1.1 uit. Forceer een redirect van http naar https en schakel vervolgens de security headers in: HSTS, CSP (Content-Security-Policy), X-Content-Type-Options en X-Frame-Options. Op Odoo Online is het meeste hiervan al in orde; draait uw site op een eigen server of achter een proxy, dan loont een extra controle.
Mail: SPF, DKIM, DMARC, STARTTLS en DANE
Hier zit de grootste winst — en het grootste risico als u het overhaast. Voeg bij uw DNS-provider een SPF-record toe dat alleen uw bekende verzenders toestaat (Odoo SMTP, Microsoft 365, Mailgun, enz.). Activeer DKIM per mailprovider en publiceer de sleutel als TXT-record. Zet DMARC eerst op p=none en monitor vier weken, verhoog daarna naar p=quarantine of liefst p=reject. STARTTLS en DANE (een TLSA-record) stelt u in op de mailserver zelf; bij Microsoft 365 en de meeste Nederlandse mailhosts is dit inmiddels standaard of een kwestie van één supportticket.
Verbinding: IPv6 en DNSSEC
De snelste winst zit vaak hier. Laat uw host AAAA-records (IPv6) en DNSSEC inschakelen — bij de meeste Europese providers is dat letterlijk een vinkje. Een verstandige volgorde voor de hele sprint:
- DNSSEC en IPv6 — de grootste quick wins, vrijwel zonder risico.
- SPF + DKIM + DMARC — begin met
p=none, ga na vier weken testen over opreject. - STARTTLS en DANE op de mailserver.
- Web security headers en TLS-hardening als afsluiter.
Keep retesting
Tip: stop niet bij die ene 100% — plan elk kwartaal een hertest. Providers wijzigen configuraties (bijvoorbeeld een nieuw IP-adres van de mailserver) en uw SPF-record kan stilletjes breken, waardoor uw mail in de spam belandt zonder dat u het merkt. Gebruik gratis DMARC-aggregatierapporten (bijvoorbeeld via Postmark of Dmarcian) om te zien wie er namens uw domein probeert te verzenden. Hulp nodig bij die eerste sprint naar 100%? Contact DAADit Group — wij hebben deze reis van rood naar groen al vaker gemaakt.