SPF, DKIM en DMARC eenvoudig uitgelegd (en hoe je de jouwe in vijf minuten controleert)

Drie afkortingen duiken telkens op als het over deliverability gaat: SPF, DKIM, DMARC. Je stelt ze meestal één keer in, door regels over te nemen uit de help van je hostingprovider, en daarna vergeet je ze. Tot op de dag dat je e-mails in de spam belanden en niemand nog goed weet wat er precies is ingesteld.

Toch beantwoorden deze drie mechanismen een eenvoudige vraag die elke server die je e-mail ontvangt zich stelt: "komt dit bericht echt van wie het beweert te komen?" Zonder een duidelijk antwoord wordt het bericht als verdacht behandeld.

Waarom het verplicht is geworden

Lange tijd waren deze records sterk aanbevolen. Nu zijn ze verplicht. In februari 2024 hebben Gmail en Yahoo afzenders die veel e-mails versturen verplicht om geldige SPF en DKIM te hebben, een gepubliceerd DMARC-beleid, een afmeldlink met één klik en een laag klachtenpercentage. Microsoft heeft vergelijkbare eisen aangekondigd voor Outlook.com, van kracht vanaf mei 2025.

De officiële drempels gelden voor grote afzenders, maar in de praktijk worden berichten van een domein zonder correcte authenticatie al veel eerder gefilterd dan bij die volumes. Voor prospectie moet je de drie records als het absolute minimum beschouwen.

SPF: de lijst van toegestane servers

SPF (Sender Policy Framework) is een regel die je publiceert in de DNS van je domein. Die zegt: "e-mails van dit domein mogen alleen van die servers vertrekken". Wanneer een server een bericht ontvangt dat ondertekend is met jouw domein, controleert hij of de verzendende server in de lijst staat.

Een SPF-record ziet er zo uit:

v=spf1 include:_spf.mail.hostinger.com ~all

Lees het van links naar rechts: de versie, dan de toegestane servers (hier die van de hostingprovider), en dan wat er met de andere moet gebeuren. Het "~all" aan het eind vraagt om andere servers met wantrouwen te behandelen zonder ze te verwerpen, wat een voorzichtige keuze is.

De meest voorkomende fouten:

• twee SPF-records op hetzelfde domein: dat is niet toegestaan, en het resultaat wordt ongeldig. Je moet beide samenvoegen tot één regel;
• een vergeten dienst: je verstuurt ook facturen vanuit een externe software, maar die staat niet in de lijst;
• te veel "include": SPF beperkt het aantal DNS-lookups tot tien. Daarboven faalt het record.

DKIM: de handtekening van het bericht

DKIM (DomainKeys Identified Mail) voegt aan elke e-mail een versleutelde handtekening toe. De verzendende server ondertekent met een privésleutel, en de bijbehorende publieke sleutel wordt gepubliceerd in je DNS. De ontvanger controleert de handtekening: als die geldig is, weet hij dat het bericht echt van jouw domein komt en onderweg niet is gewijzigd.

De publieke sleutel staat op een specifiek DNS-adres, opgebouwd met een "selector" die je hostingprovider kiest, bijvoorbeeld:

hostingermail1._domainkey.jouwdomein.nl

Daar schuilen de meeste DKIM-problemen: een sleutel die onvolledig is gekopieerd (ze zijn lang), een selector die verschilt van degene die de server echt gebruikt, of een sleutel die nooit is gepubliceerd omdat de hostingprovider een handmatige activering verwachtte. De enige betrouwbare controle is een echte e-mail versturen en naar de header kijken bij aankomst.

DMARC: de instructie bij een mislukking

DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindt de twee vorige. Het vraagt aan de ontvangende server: "als een bericht beweert van mijn domein te komen maar faalt op SPF en DKIM, doe dan dit ermee". Het laat je ook rapporten ontvangen over berichten die in jouw naam worden verstuurd.

Een basis-DMARC-record ziet er zo uit:

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl

"p=none" betekent: niets blokkeren, maar rapporten versturen. Dat is het minimale beleid dat Gmail en Yahoo eisen, en een goed startpunt. Zodra je zeker weet dat al je legitieme verzendingen de authenticatie doorstaan, kun je overstappen op "p=quarantine" (niet-geauthenticeerde berichten in de spam zetten) en vervolgens eventueel op "p=reject".

Een subtiel punt: DMARC vereist dat het domein dat door SPF of DKIM wordt geauthenticeerd hetzelfde is als het domein in het afzenderadres. Dat heet alignment. Een e-mail verstuurd vanaf paul@jouwdomein.nl maar met DKIM ondertekend door het technische domein van je hostingprovider kan DKIM doorstaan en toch falen op DMARC.

Je records controleren in vijf minuten

Je hoeft geen systeembeheerder te zijn. Drie controles volstaan:

1. Bekijk de TXT-records van je domein met een online DNS-zoektool. Je moet precies één regel vinden die begint met "v=spf1", en een regel "v=DMARC1" op het adres _dmarc.jouwdomein.nl.
2. Stuur een e-mail vanaf de betreffende mailbox naar een persoonlijk Gmail-adres, open het en toon het originele bericht. Gmail vermeldt duidelijk "SPF: PASS", "DKIM: PASS" en "DMARC: PASS", met het domein dat voor elk werd gebruikt.
3. Controleer of het domein dat voor DKIM wordt vermeld wel het jouwe is, en niet dat van de hostingprovider.

In SmartOutbound gebeurt deze controle automatisch: elk domein wordt dagelijks gecontroleerd, een testmail die bij het verbinden van een mailbox wordt verstuurd bevestigt de DKIM-handtekening zoals die bij aankomst daadwerkelijk wordt vastgesteld, en de knop "DNS controleren" op de pagina met mailboxen start de controle op verzoek opnieuw. Als DMARC ontbreekt en je domein bij Hostinger staat, kan de tool het zelfs voor je toevoegen.

En de rest?

Deze drie records garanderen niet dat je e-mails in de inbox aankomen. Ze garanderen alleen dat ze niet worden geweigerd om een technische reden die je had kunnen vermijden. De rest hangt af van de reputatie van je domein, de kwaliteit van je lijsten en de inhoud van je berichten. Voor nieuwe domeinen moet je ook rekening houden met de warmup-periode. En als je twijfelt om vanuit je hoofddomein te prospecteren, helpt ons artikel over het toegewijde domein je bij de keuze.