SPF record, DKIM en DMARC instellen: zo komt je mail niet meer in spam

Je verstuurt een offerte en de klant zegt dat hij niets heeft gekregen. Of het staat in de spamfolder. Dat is vervelend en kost je opdrachten. Op deze pagina lees je waarom mail in spam belandt, wat SPF, DKIM en DMARC doen, wat je zelf kunt checken en hoe wij het voor je oplossen.

De records zijn een belangrijke voorwaarde, maar geen garantie. Of een mail in de inbox komt, hangt ook af van de reputatie van de mailserver en van de inhoud van de mail zelf. We kunnen daarom niet beloven dat elke mail aankomt.

Waarom komt mijn mail in spam of komt hij niet aan?

Een ontvangende mailserver beoordeelt twee dingen: komt de mail echt van het domein dat erboven staat, en lijkt hij op spam? Voor het eerste kijkt hij naar je DNS-records. Ontbreken die of kloppen ze niet, dan is de kans groter dat je mail in de spamfolder belandt of wordt geweigerd.

Veelvoorkomende oorzaken zijn:

• je SPF-record mist de dienst waarmee je mailt, bijvoorbeeld je nieuwsbriefprogramma of het formulier op je site
• er staat geen DKIM-handtekening op je mail
• er is geen DMARC-record, of die staat nog op “alleen rapporteren” terwijl SPF en DKIM niet kloppen
• je mailt via een server met een slechte reputatie, bijvoorbeeld een goedkope gedeelde server
• de mail zelf lijkt op spam: veel links, alleen een afbeelding, een afzender die niet bij het domein past

Dat laatste geldt ook voor het contactformulier van je website. WordPress verstuurt standaard mail met een afzender als wordpress@jouwdomein.nl. De WordPress-documentatie noemt SPF en DKIM zelf als maatregelen tegen mail die als spam wordt behandeld.

Wat is SPF?

SPF is een lijst van servers die namens je domein mogen mailen, die je als TXT-record in je DNS zet. Volgens Google helpt SPF te voorkomen dat je uitgaande mail door ontvangende servers als spam wordt gemarkeerd.

Daarbij gelden een paar regels. Je mag maar één SPF-record per domein hebben. Heb je meerdere diensten die namens je domein mailen, dan komen die allemaal in dat ene record. En het record eindigt op een regel die zegt wat er met mail van niet-genoemde servers moet gebeuren: ~all (markeer als verdacht) of -all (strenger afwijzen).

Een valkuil is een tweede SPF-record erbij zetten als je een nieuwe dienst koppelt. Dan is de SPF ongeldig. Het is één record, uitgebreid met de nieuwe dienst.

Wat is DKIM?

DKIM is een digitale handtekening die je mailserver op elke mail zet. De ontvanger controleert die met een publieke sleutel die in je DNS staat, en ziet zo dat de mail van jouw domein komt en onderweg niet is gewijzigd.

De sleutel maak je aan bij de dienst waarmee je mailt (je mailprovider of nieuwsbriefprogramma). Het publieke deel zet je daarna als DNS-record. Mail je via meerdere diensten, dan stel je DKIM meestal per dienst in. Dat is makkelijk te vergeten, omdat je er in je dagelijkse gebruik niets van merkt.

Wat is DMARC?

DMARC vertelt ontvangende servers wat ze moeten doen met mail van jouw domein die niet door SPF of DKIM komt. Er zijn drie opties: niets doen (none), naar de spamfolder (quarantine) of weigeren (reject). Via een rapportadres krijg je bovendien overzichten van wie er namens je domein mailt.

Google adviseert om te beginnen met p=none en pas strenger te worden als je zeker weet dat al je legitieme mail door SPF en DKIM komt. Je hebt SPF of DKIM nodig voordat DMARC iets doet. Google geeft zelf aan 48 uur te wachten na het instellen van SPF of DKIM voordat je DMARC instelt.

DMARC staat als TXT-record op _dmarc.jouwdomein.nl. Zet je het direct op reject zonder te weten welke diensten allemaal mailen, dan loop je het risico dat je eigen legitieme mail wordt geweigerd. Daarom bouwen we dat stapsgewijs op.

Waarom zijn Gmail en andere ontvangers strenger geworden?

Sinds 1 februari 2024 stelt Google eisen aan iedereen die naar Gmail-adressen mailt. Volgens de richtlijnen van Google voor afzenders gelden dan voor alle afzenders:

• SPF of DKIM moet zijn ingesteld voor het domein waarmee je verstuurt
• mail moet via een TLS-verbinding worden verzonden
• de voor- en omgekeerde DNS-records van je mailserver moeten kloppen
• het spampercentage, gemeten door Gmail-gebruikers, moet onder 0,3% blijven

Wie meer dan 5.000 mails per dag naar Gmail stuurt, een bulkafzender, moet SPF, DKIM én DMARC hebben en moet in marketingmail met één klik uitschrijven mogelijk maken. Die eisen gelden voor persoonlijke Gmail-accounts (@gmail.com of @googlemail.com).

Voor een gewone mkb-ondernemer die een paar mails per dag stuurt, zijn de bulkregels niet van toepassing. Toch is het zinvol om alle drie de records te hebben: het is wat ontvangers verwachten, en het beschermt je domeinnaam tegen misbruik door anderen. Over andere ontvangers, zoals Yahoo en Microsoft, doen we hier geen uitspraken.

Wat kun je zelf controleren?

Je kunt in een paar minuten zien of je basis op orde is:

1. Doe de gratis website-check. Die laat zien of je SPF en DMARC hebt ingesteld.
2. Stuur een testmail naar een Gmail-adres en kies “Origineel weergeven”. Daar staat of SPF, DKIM en DMARC zijn geslaagd (pass) of mislukt (fail).
3. Bekijk je DNS-records bij de partij waar je domein of nameservers staan. Zoek op TXT-records die beginnen met v=spf1 en v=DMARC1.
4. Ga na welke diensten namens je domein mailen: je mailprovider, je website, je nieuwsbriefprogramma, je boekhoudpakket. Vergeet er geen, want elke dienst die ontbreekt kan mail verliezen.

Staat er een rood vlaggetje, dan is het niet altijd direct te zien wat eraan schort. Een SPF die verwijst naar te veel diensten of een DKIM-sleutel die niet bij de juiste afzender hoort, zie je pas in de details.

Hoe zetten wij SPF, DKIM en DMARC voor je in?

We werken in vaste stappen, onafhankelijk van welke mailprovider je gebruikt:

1. Inventarisatie. Welke diensten sturen mail namens je domein, en waar staat je DNS?
2. Huidige situatie vastleggen. We bekijken wat er nu in je DNS staat, zodat we kunnen terugdraaien als er iets niet klopt.
3. SPF. Eén record dat alle legitieme afzenders bevat.
4. DKIM. We genereren de sleutel bij je mailprovider (en bij elke andere dienst die mailt) en zetten het record in je DNS.
5. DMARC. We starten met p=none en een rapportadres, kijken of legitieme mail goed door de controle komt, en bepalen daarna of strenger instellen verstandig is.
6. Testen. We sturen testmails en controleren of SPF, DKIM en DMARC slagen.

Daarvoor hebben we toegang nodig tot je DNS-beheer en tot de instellingen van je mailprovider. We beloven je geen specifieke inboxplaats: de records zorgen dat je mail gecontroleerd kan worden, de rest hangt ook af van de ontvanger.

Wat kost het?

Loopt je e-mail bij ons, dan zit het instellen en bijhouden van deze records in Care vanaf €39 per maand. Hosting, SSL, je domein en e-mail zitten in dat abonnement. Loopt je mail bij een andere provider, dan hoor je vooraf een vaste prijs, nadat we hebben gekeken wat er nodig is. Meer over wat we met je hosting doen staat bij website hosting voor het mkb en over wat Care omvat bij onderhoud & care.

Wil je dat iemand eens naar je mail kijkt? Begin met de gratis website-check of stuur ons je situatie via het contactformulier. Je hoort binnen één werkdag van ons.

Bronnen: Google: eisen voor e-mailafzenders, de Google Workspace-uitleg over SPF en DMARC, en de FAQ Troubleshooting van WordPress.

Wil je eerst zelf zien hoe je domein ervoor staat? Doe de gratis SPF-, DKIM- en DMARC-check.