SPF, DKIM en DMARC helpen ontvangende mailservers controleren of een e-mail werkelijk namens jouw domein is verstuurd. SPF beschrijft welke verzendservers zijn toegestaan, DKIM plaatst een controleerbare handtekening op het bericht en DMARC controleert of die uitkomsten aansluiten op het afzenderdomein dat de ontvanger ziet. DMARC geeft bovendien aan hoe een ontvangende server met een mislukte controle mag omgaan.
Je stelt deze technieken in via DNS, meestal bij de partij die jouw domeinnaam beheert. Dat vraagt om afstemming: het e-mailplatform levert de juiste waarden, de domeinbeheerder publiceert ze en de verantwoordelijke voor e-mail controleert of alle legitieme verzendbronnen zijn meegenomen. Een fout kan er namelijk ook voor zorgen dat echte berichten niet goed worden geauthenticeerd.
Het Nederlandse Nationaal Cyber Security Centrum behandelt SPF, DKIM en DMARC als standaarden voor e-mailauthenticatie en legt uit dat DMARC de resultaten van SPF en DKIM met elkaar verbindt.
SPF, DKIM en DMARC in het kort
| Methode | Wat wordt gecontroleerd? | Wat stel je in? |
|---|---|---|
| SPF | Controleert of de verzendende server namens het domein in de return-path mag verzenden. | Een TXT-record in DNS met toegestane verzendbronnen. |
| DKIM | Controleert met een digitale handtekening of geselecteerde onderdelen van het bericht sinds ondertekening niet zijn gewijzigd. | Een publieke sleutel in DNS; de verzendende dienst bewaart de privésleutel. |
| DMARC | Controleert of SPF of DKIM slaagt en aansluit op het zichtbare From-domein. | Een beleid en rapportage-instellingen in een TXT-record op _dmarc. |
Belangrijk: domeinauthenticatie is een noodzakelijke technische basis, maar geen garantie dat elk bericht in de inbox belandt. Mailboxproviders kijken ook naar onder meer klachten, bounces, verzendgedrag, reputatie en relevantie voor ontvangers.
Wat is een verzenddomein?
Het verzenddomein is het domein dat je gebruikt om e-mail te versturen. Bij nieuws@voorbeeld.nl is voorbeeld.nl het zichtbare afzenderdomein. Achter de schermen kan een e-mailplatform daarnaast een ander domein gebruiken voor retourberichten, ook wel de return-path of envelope sender genoemd.
Dat onderscheid is belangrijk. SPF controleert in de eerste plaats het domein in die technische return-path, terwijl de ontvanger vooral het adres in de zichtbare From-regel ziet. DMARC brengt deze twee werelden bij elkaar door te beoordelen of een geslaagde SPF- of DKIM-controle voldoende overeenkomt met het zichtbare afzenderdomein. Dat heet alignment, oftewel uitlijning.
Wat doet SPF?
SPF staat voor Sender Policy Framework. In een SPF-record staat welke servers of diensten e-mail mogen versturen namens een domein. De ontvangende mailserver vergelijkt het IP-adres van de verzendende server met dat record. Staat de verzendbron er niet in, dan slaagt de SPF-controle niet.
Een organisatie verstuurt vaak via meer systemen dan alleen het gewone mailprogramma. Denk aan een e-mailmarketingplatform, CRM, webshop, websiteformulier, facturatiepakket en ticketsysteem. Iedere legitieme bron die SPF nodig heeft, moet in de inventarisatie worden meegenomen.
Gebruik één SPF-record per domein
Publiceer niet voor iedere verzenddienst een apart SPF-record. Voor één domein hoort er één SPF-record te zijn waarin de toegestane bronnen worden gecombineerd. Twee losse records die allebei met v=spf1 beginnen, kunnen een permanente fout veroorzaken.
Neem een voorbeeldrecord uit een handleiding nooit letterlijk over. De juiste includes, IP-adressen en afsluitende qualifier hangen af van jouw verzenddiensten en het beleid van de organisatie. Vraag iedere leverancier om de actuele waarde en laat de samengestelde regel controleren voordat je hem publiceert.
Let op de limiet van tien DNS-lookups
Sommige onderdelen van een SPF-record veroorzaken extra DNS-opzoekingen, waaronder include, a, mx, exists en redirect. De SPF-standaard staat tijdens de controle maximaal tien van zulke opzoekingen toe. Bij overschrijding ontstaat een permerror en kan SPF dus niet normaal slagen. Geeft een controle een fout over het aantal opzoekingen? Bekijk dan de MailCamp-uitleg over te veel SPF-lookups.
Wat doet DKIM?
DKIM staat voor DomainKeys Identified Mail. De verzendende dienst voegt met een privésleutel een digitale handtekening toe aan de e-mailheader. De ontvangende mailserver haalt de bijbehorende publieke sleutel uit DNS en controleert daarmee de handtekening.
Een geldige DKIM-handtekening laat zien dat de ondertekende delen van het bericht sinds de ondertekening niet zijn veranderd en dat de handtekening hoort bij het domein in de DKIM-instelling. DKIM bewijst niet wie de individuele schrijver is en zegt op zichzelf niet dat het zichtbare afzenderadres hetzelfde domein gebruikt. Daarvoor is DMARC-alignment nodig.
De selector wijst naar de juiste sleutel
Een DKIM-record gebruikt een selector, bijvoorbeeld selector1._domainkey.voorbeeld.nl. Via die naam kan de ontvangende server de juiste publieke sleutel vinden. Een domein kan meerdere selectors hebben, bijvoorbeeld omdat verschillende verzenddiensten ieder een eigen sleutel gebruiken of omdat sleutels periodiek worden vervangen.
De e-mailprovider of het e-mailmarketingplatform levert de selector en recordwaarde. Publiceer die exact zoals aangeleverd en activeer DKIM volgens de instructies van de leverancier. Een typefout, verkeerde hostnaam of onvolledige lange sleutel is voldoende om de controle te laten mislukken.
Wat doet DMARC?
DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. DMARC kijkt niet alleen of SPF of DKIM technisch slaagt. Minstens één van beide methoden moet ook aansluiten op het domein in het zichtbare From-adres. Pas dan slaagt DMARC.
Daarmee voorkomt DMARC dat iemand een geldige SPF- of DKIM-configuratie op een ander domein gebruikt en ondertussen jouw domein als zichtbare afzender toont. Via rapportages kun je bovendien zien welke systemen namens jouw domein verzenden en waar authenticatie of alignment mislukt.
Wat betekenen p=none, p=quarantine en p=reject?
p=none: de ontvangende server krijgt geen verzoek om mislukte berichten apart te behandelen. Deze stand wordt gebruikt om rapporten te verzamelen en de inrichting te beoordelen.p=quarantine: de domeineigenaar vraagt ontvangende servers om mislukte berichten als verdacht te behandelen, bijvoorbeeld door ze in de spammap te plaatsen.p=reject: de domeineigenaar vraagt ontvangende servers om berichten die DMARC niet halen te weigeren.
Een DMARC-beleid is een instructie aan ontvangende systemen; de uiteindelijke verwerking ligt bij de ontvanger. Ga niet direct naar p=reject als je nog niet weet welke systemen legitiem namens je domein verzenden. Je kunt dan bijvoorbeeld facturen, formulieren of campagneberichten blokkeren die nog niet goed zijn ingericht.
Meer weten over beleid, alignment en rapportage? Lees de MailCamp-handleiding Alles wat je moet weten over DMARC.
Welke eisen stellen Gmail, Yahoo en Outlook?
De exacte eisen verschillen per mailboxprovider en verzendvolume. Daardoor is het onverstandig om alleen naar één ontvanger of één campagne te kijken. Richt SPF, DKIM en DMARC voor ieder verzenddomein goed in en controleer wijzigingen in de officiële afzenderrichtlijnen.
- Gmail: Google verlangt voor alle afzenders naar persoonlijke Gmail-accounts minimaal SPF of DKIM. Voor afzenders die meer dan 5.000 berichten per dag naar persoonlijke Gmail-accounts sturen, zijn SPF, DKIM en DMARC vereist. Voor directe e-mail moet het zichtbare From-domein met het SPF- of DKIM-domein uitlijnen. Bekijk de actuele afzenderrichtlijnen van Google.
- Yahoo: Yahoo verlangt voor alle afzenders minimaal SPF of DKIM. Bulkafzenders moeten beide gebruiken, een geldig DMARC-beleid van minimaal
p=nonepubliceren en alignment met SPF of DKIM realiseren. Bekijk de actuele best practices van Yahoo. - Outlook.com: Microsoft verlangt van domeinen die meer dan 5.000 berichten per dag naar Outlook.com-consumentenadressen sturen dat SPF, DKIM en DMARC correct zijn ingericht. DMARC moet minimaal
p=nonegebruiken en met SPF of DKIM uitlijnen. Bekijk de actuele afzendereisen van Microsoft.
Deze drempels zijn minimumeisen voor specifieke groepen afzenders. Minder dan 5.000 berichten per dag versturen is geen reden om DMARC over te slaan. Authenticatie helpt je domein beschermen tegen misbruik en voorkomt dat je later onder tijdsdruk moet aanpassen.
Zo authenticeer je jouw verzenddomein
- Breng alle verzendbronnen in kaart. Noteer elk systeem dat e-mail verstuurt met jouw domein in het zichtbare afzenderadres of de technische return-path. Vraag ook finance, sales, service en IT; vergeten systemen zitten vaak buiten marketing.
- Bepaal wie DNS beheert. Controleer bij welke partij de DNS-zone wordt beheerd en wie wijzigingen mag uitvoeren. Dat kan de domeinregistrar, hostingpartij, IT-afdeling of externe beheerder zijn.
- Vraag de actuele waarden op. Gebruik uitsluitend records en selectors uit de actuele documentatie of beheeromgeving van iedere verzenddienst. Combineer SPF-bronnen in één record en publiceer DKIM per dienst zoals voorgeschreven.
- Controleer SPF en DKIM eerst. Verifieer dat alle legitieme verzendbronnen SPF en/of DKIM halen en dat het juiste domein wordt gebruikt. Los fouten op voordat je een streng DMARC-beleid activeert.
- Start DMARC gecontroleerd. Publiceer een geldig DMARC-record en laat rapporten op een beheerd adres of in een geschikte rapportagedienst verzamelen. Begin desgewenst met
p=noneom zicht te krijgen op de mailstromen. - Analyseer en scherp het beleid aan. Controleer welke legitieme en onbekende bronnen voorkomen. Herstel authenticatie en alignment. Ga pas daarna, op basis van de resultaten en het risico, stapsgewijs naar quarantine of reject.
Maak een inventarisatie die marketing en IT allebei begrijpen
Een eenvoudige tabel voorkomt dat de discussie blijft steken in DNS-termen. Gebruik per verzendbron minimaal de onderstaande velden. Vul de exacte recordwaarden in een beveiligd beheer- of wijzigingsdocument in, niet in een algemeen gedeeld marketingbestand.
| Verzendbron | Soort e-mail | From-domein | Eigenaar | Status |
|---|---|---|---|---|
| E-mailmarketingplatform | Nieuwsbrieven | nieuws@voorbeeld.nl | Marketing + IT | Te controleren |
| CRM | Persoonlijke opvolging | sales@voorbeeld.nl | Sales + IT | Te controleren |
| Facturatiepakket | Facturen en herinneringen | financieel@voorbeeld.nl | Finance + IT | Te controleren |
| Website | Formulierbevestigingen | website@voorbeeld.nl | Webbeheer + IT | Te controleren |
Zo controleer je of de instellingen werken
Een DNS-record dat zichtbaar is, is nog geen bewijs dat echte berichten correct worden geauthenticeerd. Controleer daarom zowel de DNS als een werkelijk verzonden testbericht.
- Controleer of er precies één SPF-record is en of alle bedoelde verzendbronnen erin staan.
- Controleer of de DKIM-selector de verwachte publieke sleutel oplevert en of uitgaande berichten daadwerkelijk met DKIM worden ondertekend.
- Controleer of het DMARC-record geldig is en of het rapportageadres bestaat en wordt beheerd.
- Stuur via iedere verzendbron een testbericht naar een externe mailbox en bekijk in de volledige headers de resultaten voor SPF, DKIM en DMARC.
- Controleer in DMARC-rapporten of SPF of DKIM uitlijnt met het zichtbare From-domein.
MailCamp-klanten kunnen hiervoor ook de stappen gebruiken uit Controleren van aangemaakte SPF, DKIM en DMARC records.
Veelvoorkomende fouten en wat je eraan doet
| Probleem | Aanpak |
|---|---|
| Er staan meerdere SPF-records | Voeg de toegestane bronnen samen in één geldig SPF-record. |
| SPF geeft permerror | Controleer syntaxis, ontbrekende verwijzingen en het maximum van tien DNS-lookups. |
| DKIM staat in DNS, maar faalt | Controleer selector, hostnaam, sleutel, eventuele spaties en of ondertekening bij de verzenddienst is geactiveerd. |
| SPF en DKIM slagen, maar DMARC faalt | Controleer alignment: het geslaagde SPF- of DKIM-domein moet aansluiten op het zichtbare From-domein. |
| Een DNS-wijziging lijkt niet actief | Controleer de TTL en wacht tot caches zijn bijgewerkt. Test daarna opnieuw vanuit meerdere relevante omgevingen. |
| Legitieme e-mail wordt geraakt door strenger DMARC | Zet het beleid niet blind terug. Zoek eerst welke bron of welk domein niet goed is ingericht en herstel de authenticatie. |
Wat domeinauthenticatie wel en niet oplost
Met SPF, DKIM en DMARC maak je controleerbaar welke diensten namens jouw domein verzenden. Je verkleint de ruimte voor directe domeinspoofing en krijgt met DMARC-rapportage zicht op fouten en mogelijk misbruik. Ook voldoe je beter aan de technische basiseisen van grote mailboxproviders.
De drie technieken beoordelen niet of ontvangers jouw e-mail willen ontvangen. Ze herstellen geen vervuilde mailinglijst, hoge klachtpercentages of irrelevante campagnes. Ook versleutelen ze de inhoud van het bericht niet. Voor goede aflevering blijven toestemming, lijstbeheer, verzendreputatie, relevante inhoud en een werkende afmeldmogelijkheid nodig.
Lees daarom ook welke andere factoren bepalen of jouw e-mail in de inbox komt.
Laat techniek en dagelijkse verzending op elkaar aansluiten
Domeinauthenticatie is geen eenmalig vinkje. Voeg je later een CRM, webshop of ander verzendsysteem toe, dan moet je opnieuw controleren of SPF, DKIM en DMARC nog kloppen. Leg daarom vast wie wijzigingen beoordeelt, wie DNS beheert en wie DMARC-rapporten opvolgt.
Professionele e-mailcampagnes versturen met hulp bij je afzenderinstellingen? Probeer MailCamp 30 dagen gratis. Je zit nergens aan vast en hebt tijdens de proefperiode toegang tot ondersteuning.
