SPF, DKIM en DMARC uitgelegd in gewone taal
E-mail is ontworpen zonder ingebouwde manier om de afzender te controleren: iedereen kan een bericht versturen dat beweert van uw domein te komen. SPF, DKIM en DMARC zijn de drie DNS-records die dat gat dichten. Samen laten ze een ontvangende server vaststellen dat een e-mail werkelijk van u komt — en wat er moet gebeuren als dat niet klopt.
Ze zijn geen luxe meer. De grote mailboxproviders wegen deze controles zwaar mee, en een domein zonder correcte authenticatie ziet een deel van zijn mail in de spammap belanden.
Wilt u eerst nagaan hoe SPF, DKIM en DMARC er vandaag bij uw domein voor staan? Onze gratis controle leest de drie records uit en zegt per record wat er ontbreekt of botst.
Controleer uw domein DMARC-record samenstellenWat is SPF?
Sender Policy FrameworkSPF is een DNS-record waarin de eigenaar van een domein vastlegt welke servers namens dat domein e-mail mogen versturen. De ontvangende server vergelijkt het verzendende IP-adres met die lijst.
Eén domein mag maar één SPF-record hebben. Wie na verloop van tijd meerdere diensten toevoegt — een mailprovider, een nieuwsbriefplatform, een webshop — eindigt soms met twee records, en dan faalt de controle volledig. Alle verzendende partijen horen in dat ene record te staan.
Een tweede valkuil is de limiet op het aantal opzoekingen dat een SPF-record mag veroorzaken. Stapelt u veel diensten op elkaar, dan wordt die limiet overschreden en faalt SPF alsnog.
Wat is DKIM?
DomainKeys Identified MailDKIM is een digitale handtekening die de verzendende server aan elke uitgaande e-mail toevoegt en die de ontvanger met een publieke sleutel uit het DNS controleert. Het bewijst dat het bericht onderweg niet gewijzigd is en werkelijk van het domein komt.
DKIM is robuuster dan SPF omdat het niet aan een IP-adres hangt: een doorgestuurd bericht blijft geldig, terwijl SPF daarbij vaak faalt. De klassieke fout is een sleutel die niet gepubliceerd is — de server ondertekent wel, maar het DNS-record ontbreekt, waardoor niemand de handtekening kan controleren.
Wat is DMARC?
Domain-based Message Authentication, Reporting and ConformanceDMARC is een DNS-record dat aangeeft wat een ontvangende server moet doen wanneer SPF en DKIM niet slagen, en waarheen rapporten over die controles gestuurd mogen worden.
| Beleid | Wat de ontvanger doet | Wanneer gebruiken |
|---|---|---|
p=none | Niets — het bericht wordt normaal behandeld, maar u krijgt wel rapporten. | Bij de start, om te zien wie er allemaal namens uw domein verstuurt. |
p=quarantine | Verdachte berichten belanden in de spammap in plaats van de inbox. | Zodra u zeker weet dat al uw legitieme verzenders slagen. |
p=reject | Berichten die falen worden geweigerd en komen nergens aan. | Als eindstand, wanneer alles maandenlang foutloos loopt. |
Meteen op p=reject zetten. Vergeet u één verzender — de boekhouding die vanuit een pakket factureert, een oude webshop die nog mail uitstuurt — dan komt die mail vanaf dat moment nergens meer aan, zonder waarschuwing. Begin bij p=none, lees de rapporten en verstreng pas daarna.
In welke volgorde pakt u het aan?
| Stap | Wat | Waarom in deze volgorde |
|---|---|---|
| 1 | Inventariseer uw verzenders | Noteer élk systeem dat namens uw domein mail verstuurt: mailprovider, webshop, boekhouding, CRM, nieuwsbrieftool. Wat u hier mist, breekt later. |
| 2 | Zet SPF correct | Eén record, met alle verzenders erin. Controleer meteen dat er geen tweede SPF-record bestaat. |
| 3 | Publiceer DKIM | Per verzendende dienst een sleutel. Controleer dat de publieke sleutel effectief in het DNS staat. |
| 4 | Start DMARC op p=none | U verandert nog niets aan de aflevering, maar krijgt wel rapporten over wie er namens u verstuurt. |
| 5 | Lees de rapporten | Hier ontdekt u de verzender die u in stap 1 vergat — en soms dat iemand uw domein misbruikt. |
| 6 | Verstreng naar quarantine, dan reject | Pas wanneer alle legitieme verzenders slagen. Haast in deze stap kost u mail. |
Hoe 2mail dit voor u regelt
U koppelt uw domein en het dashboard van 2mail maakt met één klik een DKIM-sleutel aan en toont de drie DNS-records — SPF, DKIM en DMARC — klaar om te kopiëren. U publiceert ze bij uw DNS-beheerder; daarna controleert het dashboard met één klik, en vervolgens elk uur automatisch, of ze correct staan. Daarmee is het opzet van úw verzendkanaal via 2mail in orde — de andere diensten die namens uw domein versturen, blijven uw eigen inventaris. Precies daarvoor dienen de DMARC-rapporten uit stap 5: die komen toe op een adres van uw eigen domein, niet bij 2mail.