Een SPF-record toevoegen bij uw DNS-beheerder

U voegt een SPF-record toe als TXT-record op uw domeinnaam, in het DNS-beheer van de partij bij wie de nameservers van uw domein staan. Een domein mag maar één SPF-record hebben: bestaat er al een, dan zet u de include-verwijzing van 2Mail in dat bestaande record, vóór het afsluitende ~all of -all. De exacte waarde staat in het dashboard van 2Mail bij uw verzenddomein; hieronder leest u waar u ze bij de gangbare DNS-beheerders invult.

Wat u vooraf klaarlegt

• De SPF-vermelding van 2Mail. Open in het dashboard uw verzenddomein. Bij de authenticatie ziet u een korte include-verwijzing naar 2Mail. Kopieer ze letterlijk.
• Toegang tot het juiste DNS-beheer. Niet de partij waar u het domein kocht telt, wel de partij waar de nameservers naartoe wijzen. Staan die bij Cloudflare, dan heeft een wijziging in het paneel van uw registrar geen enkel effect.
• Het huidige record. Vul uw domein in de gratis SPF-, DKIM- en DMARC-checker in: u ziet meteen of er al een SPF-record staat en wat erin zit.

Het record toevoegen in vijf stappen

1. Open het DNS-beheer en zoek een TXT-record op uw domein dat begint met v=spf1.
2. Staat er nog geen: maak een nieuw record van het type TXT. Als naam geldt het domein zelf; in de meeste panelen is dat een apenstaartje (@) of een leeg veld. De waarde begint met v=spf1, daarna volgt de include-verwijzing uit uw 2Mail-dashboard, en ze eindigt op ~all.
3. Staat er al een: bewerk dat record en plak de include-verwijzing van 2Mail erbij, met een spatie ervoor en erna, vóór het afsluitende all. Aan de rest verandert u niets.
4. Bewaar en laat de TTL staan.
5. Ga terug naar uw verzenddomein in het dashboard en laat 2Mail het record controleren.

Eén record: zo voegt u samen

Ontvangende servers aanvaarden precies één SPF-record per domein. Vinden ze er twee, dan faalt de controle voor alle afzenders, ook voor de dienst die al jaren goed werkte. Elke dienst die namens u verstuurt, krijgt dus een plaats in hetzelfde record. Gebruikt u bijvoorbeeld Microsoft 365 voor uw kantoormail, dan staat er nu wellicht v=spf1 include:spf.protection.outlook.com -all. Na de aanpassing wordt dat: v=spf1, dan include:spf.protection.outlook.com, dan de include-verwijzing uit uw 2Mail-dashboard, en als laatste -all. De volgorde van de include-verwijzingen maakt niet uit; het all-onderdeel moet wel helemaal achteraan staan.

Waar u het record toevoegt, per DNS-beheerder

Panelen worden geregeld hertekend, dus de knoppen kunnen bij u iets anders heten. De weg ernaartoe blijft dezelfde.

• Cloudflare — kies uw domein, open het onderdeel DNS en daar de records. Voeg een record toe met type TXT, naam @ en de waarde in het inhoudsveld. De proxy-schakelaar (het oranje wolkje) bestaat niet voor TXT-records; daar hoeft u niets mee te doen.
• Combell — open in het controlepaneel uw domeinnaam en ga naar het DNS-beheer; TXT-records hebben daar een eigen rubriek. Voor het domein zelf laat u het naamveld leeg of vult u @ in, zoals het paneel het aangeeft.
• one.com — ga in het controlepaneel naar de DNS-instellingen en daar naar de DNS-records. Maak een record van het type TXT aan. Het paneel toont uw domein al achter het naamveld: voor het domein zelf blijft dat veld doorgaans leeg.
• TransIP — open in het controlepaneel uw domein en scrol naar het DNS-gedeelte. Voeg een regel toe met naam @, type TXT en de waarde. Klik daarna onderaan op opslaan: zonder die klik gaat de regel verloren.
• OVHcloud — open in de Manager uw domeinnaam en kies het tabblad met de DNS-zone. Voeg een record toe van het type TXT en laat het veld voor het subdomein leeg. In dezelfde lijst staat ook een invoerhulp voor SPF; met TXT plakt u de waarde gewoon zoals ze is. Reken bij OVHcloud op enkele uren tot een dag voor de wijziging overal zichtbaar is.
• GoDaddy — open in uw productoverzicht het domein en kies het DNS-beheer. Voeg een nieuw record toe met type TXT, naam @ en de waarde.
• Microsoft 365 — enkel van toepassing als de DNS van uw domein bij Microsoft zelf staat, bijvoorbeeld omdat u het domein via Microsoft kocht. In het beheercentrum vindt u onder de instellingen de domeinen; kies uw domein, open de DNS-records en voeg een aangepast record toe. Staat uw DNS elders, dan toont dat scherm enkel welke records Microsoft verwacht, en past u ze aan bij uw eigenlijke DNS-beheerder. In beide gevallen staat er al een SPF-record voor Microsoft: samenvoegen dus.

De limiet van tien DNS-opzoekingen

Een ontvangende server mag bij het uitlezen van uw SPF-record hoogstens tien DNS-opzoekingen doen. Elke include telt mee, net als de onderdelen a, mx, exists en redirect, en ook de opzoekingen die binnen een include-verwijzing genest zitten. De onderdelen ip4, ip6 en all kosten niets. Gaat u over de tien, dan faalt het hele record, ook voor de afzenders die vooraan staan. Schrap daarom de verwijzingen naar diensten die u niet meer gebruikt: de oude nieuwsbrieftool, de vorige hoster, het CRM van drie jaar geleden. De checker telt de opzoekingen voor u.

~all of -all?

Het laatste onderdeel zegt wat een ontvanger moet denken van servers die niet in het record staan. Met ~all (softfail) zijn ze verdacht, met -all (fail) uitdrukkelijk niet toegelaten. Staat er al een afsluiter in uw record, laat die dan staan. Begint u van nul, kies dan ~all tot u zeker weet dat elke dienst die namens u verstuurt in het record staat; daarna kunt u naar -all. Gebruik nooit +all, want dat keurt elke server ter wereld goed, en vermijd ?all, want daar trekt geen enkele ontvanger een conclusie uit.

Controleren en wachten

De controle in het dashboard is de referentie: zodra ze groen is, gaat mail via onze relay met een positieve SPF-uitslag de deur uit. Een nieuw record is doorgaans binnen het uur zichtbaar. Een gewijzigd record blijft het oude antwoord geven zo lang als de vorige TTL aangaf. Uw eigen computer en uw internetprovider onthouden dat oude antwoord ook; test dus niet tien keer na elkaar vanaf uw eigen toestel, maar gebruik de checker of de controle in het dashboard.

Veelgemaakte fouten

• Een tweede record — de vaakste fout. Voeg samen tot één record en verwijder het andere.
• Aanhalingstekens — sommige panelen zetten zelf aanhalingstekens rond de waarde, andere verwachten dat u ze weglaat. Volg het paneel en typ er geen bij. Kopieert u de waarde uit een e-mail of een Word-document, controleer dan of er geen gekrulde aanhalingstekens meegekomen zijn: daarmee is het record ongeldig.
• Het naamveld — vult u bij de naam uw volledige domein in terwijl het paneel dat zelf al toevoegt, dan komt het record op uwdomein.be.uwdomein.be terecht en vindt niemand het.
• Het verkeerde domein — SPF hoort op het domein van uw afzenderadres, niet op het domein van uw website als die verschillen.
• Het recordtype SPF — sommige panelen bieden nog een apart type SPF aan. Dat type is afgeschaft; ontvangers kijken enkel naar TXT.
• Het verkeerde paneel — het record staat bij uw registrar, maar de nameservers wijzen naar een andere partij.

SPF alleen volstaat niet. Zet daarna ook DKIM aan met een DKIM-sleutel activeren en stel een DMARC-beleid op met de DMARC-recordgenerator. Hoe de drie records samenwerken, leest u op SPF, DKIM en DMARC.

Veelgestelde vragen

Mag ik twee SPF-records hebben als ze elk voor een andere dienst dienen?

Nee. Hoeveel diensten er ook namens u versturen, ze horen allemaal in één record. Twee records leveren een permanente fout op en ontvangers negeren ze dan allebei.

Heeft een subdomein een eigen SPF-record nodig?

Ja. SPF wordt niet overgeërfd van het hoofddomein. Verstuurt u vanaf een subdomein, bijvoorbeeld een apart domein voor nieuwsbrieven, dan krijgt dat subdomein een eigen TXT-record met een eigen v=spf1-waarde.

Mijn record wordt te lang. Wat nu?

Eén tekenreeks in een TXT-record mag hoogstens 255 tekens tellen. De meeste panelen splitsen een langere waarde zelf in stukken binnen hetzelfde record, en dat is toegestaan. Wordt uw record zo lang, dan zit u vermoedelijk ook dicht bij de limiet van tien opzoekingen: opruimen helpt dan meer dan splitsen.

Waarom faalt SPF bij doorgestuurde mail?

Stuurt een ontvanger uw bericht automatisch door naar een ander adres, dan vertrekt het daar vanaf een server die niet in uw record staat. Dat is normaal en niet op te lossen met SPF. De DKIM-handtekening blijft bij doorsturen wel geldig, en precies daarom stelt u beide in.

Lukt het niet?

Stuur ons via contact uw domeinnaam en een schermafbeelding van het record zoals het in uw paneel staat. We zeggen u wat er moet veranderen.