Mijn e-mails komen in de spam terecht: SPF, DKIM en DMARC op volgorde

Het oordeel lezen in de header van het bericht

Elke mailprovider die een e-mail ontvangt, controleert waar die vandaan komt en legt het resultaat vast in de header van het bericht. Om het te lezen, stuurt u een e-mail vanaf uw zakelijke adres naar een Gmail-adres, opent u die, en klikt u naast Beantwoorden op Meer (de drie puntjes) en daarna op Origineel tonen. Zoek de regel Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@uw-domein.com header.s=google;
       spf=pass (google.com: domain of contact@uw-domein.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contact@uw-domein.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=uw-domein.com

Deze drie instellingen zijn ongelijk verspreid. Van de 1.730 domeinen van mkb-bedrijven die e-mail ontvangen in onze maandelijkse meting, publiceert 96 % een SPF-record, en heeft 71 % geen DMARC-beleid dat op het resultaat ingrijpt.

1. SPF: de lijst van toegestane servers

SPF is een TXT-record in de root van het domein. Het begint met v=spf1, noemt de servers die namens het domein mogen versturen, en eindigt met wat er van alle andere servers te denken valt. De twee meest gebruikte e-mailaanbieders publiceren de waarde die u gebruikt:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Elke andere dienst die met uw domein verstuurt, komt in datzelfde record: nieuwsbrieftool, factuursoftware, CRM, en de server van uw website als de formulieren zelf e-mail versturen. Elke dienst vermeldt in zijn documentatie welke include: u toevoegt; een server geeft u op met zijn adres, via ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Eén SPF-record per domein. Twee records die met v=spf1 beginnen, maken SPF ongeldig (permerror): voeg ze samen tot één record.
• Hoogstens tien DNS-lookups. Elke include, a, mx, ptr, exists en redirect telt, ook die binnen de opgenomen include-records. Boven tien is SPF ongeldig. ip4 en ip6 tellen niet.
• Het einde van het record. -all verklaart elke andere server niet gemachtigd, ~all markeert hem zonder hem onrechtmatig te verklaren. Google stelt in zijn documentatie ~all voor, Microsoft -all. Zodra DMARC is ingesteld, bepaalt het beleid van DMARC wat er gebeurt met een bericht dat faalt.

2. DKIM: de handtekening van elk bericht

DKIM voegt aan elk bericht een handtekening toe, die de mailprovider van de ontvanger controleert met een openbare sleutel in uw DNS, onder een naam in de vorm selector._domainkey.uw-domein.com. De handtekening wordt aangemaakt bij de dienst die verstuurt; uw rol is de sleutel te publiceren die u van die dienst krijgt.

• Google Workspace: ga in de Google Admin-console via het menu naar Apps, Google Workspace, Gmail, open daar de instelling voor e-mailauthenticatie en klik op “Nieuw record genereren”. De standaardselector is google, en Google raadt een sleutel van 2048 bits aan. Publiceer het TXT-record google._domainkey en klik daarna op “Authenticatie starten”.
• Microsoft 365: in de Microsoft Defender-portal, via E-mail en samenwerking > Beleid en regels > Beleid voor bedreigingen > Instellingen voor e-mailverificatie, tabblad DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM steunt daar op twee CNAME-records, selector1._domainkey en selector2._domainkey, waarvan de portal de exacte waarden voor uw domein toont: kopieer ze zoals ze zijn en zet daarna de ondertekening aan.
• De andere diensten (nieuwsbrieven, facturatie, CRM) hebben elk een pagina voor domeinauthenticatie met hun eigen DKIM-records.

Gmail accepteert sleutels van 1024 bits en meer; 2048 bits is de lengte die de standaard aanraadt. Reken op maximaal 48 uur voordat de gepubliceerde sleutel overal zichtbaar is.

3. DMARC: de instructie aan de mailproviders

DMARC koppelt SPF en DKIM aan het adres dat de ontvanger ziet, het adres in het veld From. Een bericht slaagt voor DMARC als SPF of DKIM geldig is voor het domein van dat adres: dat heet alignment. Het record zegt ook wat er moet gebeuren met een bericht dat faalt, en waar de rapporten naartoe gaan.

v=DMARC1; p=none; rua=mailto:dmarc@uw-domein.com

1. Publiceer p=none met een rua-adres. De grote mailproviders sturen daar elke dag een geaggregeerd rapport naartoe, een gecomprimeerd XML-bestand met de servers die met uw domein hebben verstuurd en hun resultaat.
2. Lees de rapporten twee tot vier weken. Elke legitieme bron die faalt (een vergeten nieuwsbrieftool, de factuursoftware) herstelt u in SPF of DKIM.
3. Ga naar p=quarantine, en na enkele weken zonder verlies naar p=reject. Schrijven uw teams op mailinglijsten, blijf dan op quarantine: de standaard raadt reject af voor zulke domeinen, omdat mailinglijsten de berichten die ze doorsturen wijzigen.

Oudere gidsen stellen een geleidelijke invoering voor met de tag pct. De huidige versie van de DMARC-standaard, RFC 9989, gepubliceerd in mei 2026, erkent die tag niet meer: de opbouw gebeurt via het beleid zelf.

Het geval van het contactformulier

Veel websiteformulieren versturen het bericht met het adres van de bezoeker als afzender. De server van de site heeft geen enkele machtiging over het domein van die bezoeker: SPF en DKIM kunnen niet op dat domein aansluiten, en DMARC faalt. Publiceert de mailprovider van de bezoeker een strikt beleid (yahoo.com publiceert p=reject), dan wordt het bericht geweigerd of als ongewenst gemarkeerd voordat het u bereikt.

• Afzender: een adres op uw eigen domein, bijvoorbeeld formulier@uw-domein.com.
• Antwoorden aan (Reply-To): het adres van de bezoeker, zodat de knop Beantwoorden rechtstreeks naar de bezoeker schrijft.
• Verzending: via een geauthenticeerd SMTP-account van uw e-maildienst, opgenomen in SPF en ondertekend met DKIM, in plaats van via de standaard mailfunctie van de server.

Als alles slaagt en het bericht toch in de spam belandt

• Blokkeerlijsten: de tool van Spamhaus, https://check.spamhaus.org/, controleert gratis een IP-adres of een domein.
• Het omgekeerde DNS-record: Gmail vraagt alle afzenders om een verzendserver waarvan het IP-adres een geldige omgekeerde naam (PTR) heeft, die op zijn beurt naar datzelfde adres verwijst. Bij een e-mailaanbieder is dat al geregeld; op een server die u zelf beheert, controleert u het.
• Bulkverzending: boven ongeveer 5.000 berichten per dag naar Gmail-adressen eist Google SPF en DKIM, DMARC op minstens p=none, alignment, afmelden met één klik, en een gemeld spampercentage onder 0,3 %. Sinds november 2025 weigert Gmail een deel van de berichten die niet aan deze regels voldoen. Yahoo past vergelijkbare eisen toe zonder een drempel te publiceren, en Outlook.com weigert sinds 5 mei 2025 de berichten van domeinen die meer dan 5.000 berichten per dag versturen zonder SPF, DKIM en DMARC.
• Google Postmaster Tools (postmaster.google.com) toont de reputatie van uw domein en het spampercentage bij Gmail, zodra het domein met een DNS-record is geverifieerd. De dashboards vullen zich vanaf een voldoende groot verzendvolume.