SPF, DKIM en DMARC uitgelegd
E-mail is ontworpen zonder ingebouwde manier om de afzender te controleren: iedereen kan een bericht versturen dat beweert van uw domein te komen. SPF, DKIM en DMARC zijn de drie DNS-records die dat gat dichten. Samen laten ze een ontvangende server vaststellen dat een e-mail werkelijk van u komt — en wat er moet gebeuren als dat niet klopt.
Ze zijn geen luxe meer. De grote mailboxproviders wegen deze controles zwaar mee, en een domein zonder correcte authenticatie ziet een deel van zijn mail in de spammap belanden.
SPF
Sender Policy FrameworkSPF is een DNS-record waarin de eigenaar van een domein vastlegt welke servers namens dat domein e-mail mogen versturen. De ontvangende server vergelijkt het verzendende IP-adres met die lijst.
Eén domein mag maar één SPF-record hebben. Wie na verloop van tijd meerdere diensten toevoegt — een mailprovider, een nieuwsbriefplatform, een webshop — eindigt soms met twee records, en dan faalt de controle volledig. Alle verzendende partijen horen in dat ene record te staan.
Een tweede valkuil is de limiet op het aantal opzoekingen dat een SPF-record mag veroorzaken. Stapelt u veel diensten op elkaar, dan wordt die limiet overschreden en faalt SPF alsnog.
DKIM
DomainKeys Identified MailDKIM is een digitale handtekening die de verzendende server aan elke uitgaande e-mail toevoegt en die de ontvanger met een publieke sleutel uit het DNS controleert. Het bewijst dat het bericht onderweg niet gewijzigd is en werkelijk van het domein komt.
DKIM is robuuster dan SPF omdat het niet aan een IP-adres hangt: een doorgestuurd bericht blijft geldig, terwijl SPF daarbij vaak faalt. De klassieke fout is een sleutel die niet gepubliceerd is — de server ondertekent wel, maar het DNS-record ontbreekt, waardoor niemand de handtekening kan controleren.
DMARC
Domain-based Message Authentication, Reporting and ConformanceDMARC is een DNS-record dat aangeeft wat een ontvangende server moet doen wanneer SPF en DKIM niet slagen, en waarheen rapporten over die controles gestuurd mogen worden.
| Beleid | Wat de ontvanger doet | Wanneer gebruiken |
|---|---|---|
p=none | Niets — het bericht wordt normaal behandeld, maar u krijgt wel rapporten. | Bij de start, om te zien wie er allemaal namens uw domein verstuurt. |
p=quarantine | Verdachte berichten belanden in de spammap in plaats van de inbox. | Zodra u zeker weet dat al uw legitieme verzenders slagen. |
p=reject | Berichten die falen worden geweigerd en komen nergens aan. | Als eindstand, wanneer alles maandenlang foutloos loopt. |
Meteen op p=reject zetten. Vergeet u één verzender — de boekhouding die vanuit een pakket factureert, een oude webshop die nog mail uitstuurt — dan komt die mail vanaf dat moment nergens meer aan, zonder waarschuwing. Begin bij p=none, lees de rapporten en verstreng pas daarna.
In welke volgorde pakt u het aan?
| Stap | Wat | Waarom in deze volgorde |
|---|---|---|
| 1 | Inventariseer uw verzenders | Noteer élk systeem dat namens uw domein mail verstuurt: mailprovider, webshop, boekhouding, CRM, nieuwsbrieftool. Wat u hier mist, breekt later. |
| 2 | Zet SPF correct | Eén record, met alle verzenders erin. Controleer meteen dat er geen tweede SPF-record bestaat. |
| 3 | Publiceer DKIM | Per verzendende dienst een sleutel. Controleer dat de publieke sleutel effectief in het DNS staat. |
| 4 | Start DMARC op p=none | U verandert nog niets aan de aflevering, maar krijgt wel rapporten over wie er namens u verstuurt. |
| 5 | Lees de rapporten | Hier ontdekt u de verzender die u in stap 1 vergat — en soms dat iemand uw domein misbruikt. |
| 6 | Verstreng naar quarantine, dan reject | Pas wanneer alle legitieme verzenders slagen. Haast in deze stap kost u mail. |
Hoe 2mail dit voor u regelt
U koppelt uw domein en 2mail configureert SPF, DKIM en DMARC voor de mail die via ons vertrekt. Daarmee is het opzet van úw verzendkanaal in orde — de andere diensten die namens uw domein versturen, blijven uw eigen inventaris. Precies daarvoor dienen de DMARC-rapporten uit stap 5.
