Je stuurt een offerte. De klant reageert niet. Je denkt dat hij niet geïnteresseerd is, maar je mail lag al die tijd in de spambox. Dat gebeurt vaker dan je denkt, en de oorzaak is bijna altijd hetzelfde: je domein heeft niet bewezen dat jij het bent. SPF, DKIM en DMARC instellen lost dat op.
Vandaag heb ik dit voor mijn eigen domein opnieuw ingericht, van het eerste DNS-record tot de laatste controle. In dit artikel leg ik uit wat SPF, DKIM en DMARC doen, in welke volgorde je ze instelt, en welke fout ik onderweg tegenkwam. Geen theorie, gewoon wat er nodig is.
Het probleem: e-mail is van nature onbetrouwbaar
E-mail is ontworpen in een tijd waarin iedereen elkaar vertrouwde. Het gevolg: iedereen kan een bericht versturen dat lijkt te komen van jouwdomein.nl. Er zit standaard geen enkele controle op.
Daarom hebben ontvangers zoals Gmail en Outlook drie hulpmiddelen nodig om te bepalen of jouw mail echt van jou is. Zijn die niet ingesteld, dan is de veilige gok voor hen: naar de spambox ermee.
En dat raakt niet alleen je nieuwsbrief. Het raakt je offertes, je facturen en je antwoorden op klantvragen. Precies de mails waarvan je niet wilt dat ze verdwijnen.
De drie onderdelen, in gewone taal
| Onderdeel | Wat het doet | Vergelijk het met |
|---|---|---|
| SPF | Bepaalt welke servers namens jouw domein mogen versturen. | De lijst met mensen die namens jouw bedrijf post mogen versturen. |
| DKIM | Zet een digitale handtekening op je bericht, zodat de ontvanger kan zien dat het onderweg niet is aangepast. | Een verzegelde envelop met jouw stempel erop. |
| DMARC | Vertelt ontvangers wat ze moeten doen als SPF en DKIM niet kloppen, en stuurt je rapporten. | De huisregels: wat doen we met post die niet klopt? |
Ze werken samen. SPF en DKIM leveren het bewijs, DMARC bepaalt wat er met dat bewijs gebeurt. Alleen SPF instellen is dus half werk.
Waarom DMARC de belangrijkste is
Er zit een gat in SPF en DKIM dat veel mensen niet kennen, en DMARC dicht dat gat.
SPF controleert het adres dat de servers onderling gebruiken, niet het adres dat jij als ontvanger in beeld ziet. En DKIM controleert wel de handtekening, maar niet of die handtekening bij het zichtbare afzenderadres hoort. Iemand kan dus technisch geldige mail sturen die er toch uitziet alsof hij van jou komt.
DMARC eist dat het klopt. Het controleert of het domein in de zichtbare afzender overeenkomt met wat SPF of DKIM heeft goedgekeurd. Dat heet uitlijning, en het is precies de reden waarom DMARC de sluitsteen is en niet een optionele extra.
De volgorde waarin je het instelt
Doe het in deze volgorde. Andersom werkt niet, want DMARC heeft de andere twee nodig om iets te kunnen controleren.
-
Zet SPF in je DNS. Een TXT-record op je hoofddomein waarin staat welke partij namens jou mag versturen. Bij Google Workspace ziet dat er zo uit:
v=spf1 include:_spf.google.com ~all -
Zet DKIM aan. Bij Google genereer je een sleutel in het beheercentrum, die zet je als TXT-record in je DNS, en daarna moet je de authenticatie nog expliciet starten. Die laatste stap wordt vaak vergeten; dan staat de sleutel er wel, maar wordt hij niet gebruikt.
-
Zet DMARC erbij, eerst in monitorstand. Een TXT-record op
_dmarcmet beleid none. Dan blokkeert er nog niets, maar krijg je wel rapporten:v=DMARC1; p=none; rua=mailto:jij@jouwdomein.nl -
Wacht een paar weken en lees je rapporten. Zie je dat al je legitieme mail netjes door SPF of DKIM komt, dan pas verscherp je.
-
Verscherp naar quarantine, en later naar reject. Dan wordt mail die niet klopt echt tegengehouden.
De fout die ik zelf bijna maakte
De verleiding is groot om meteen p=reject in te stellen. Maximale bescherming, klaar. Doe dat niet.
Als je een dienst gebruikt die namens jou mailt (denk aan een contactformulier, een facturatiepakket of een nieuwsbrieftool) en die staat niet in je SPF, dan blokkeer je je eigen mail. Met reject komt die niet in de spambox terecht, maar wordt hij geweigerd. Weg bericht.
Daarom begin je met p=none. Je meet eerst wat er precies namens jouw domein verstuurd wordt, je zorgt dat alle legitieme afzenders kloppen, en pas dan zet je de deur op slot. Dat kost een paar weken geduld en het bespaart je een hoop ellende.
Extra belangrijk als je veel mail verstuurt
Sinds 2024 stellen Google en Yahoo hardere eisen aan afzenders die veel mail sturen. Verstuur je richting de 5.000 berichten per dag naar persoonlijke Gmail-adressen, dan geldt:
- SPF, DKIM en DMARC zijn verplicht, geen aanbeveling.
- Marketingmail moet een afmeldlink met een klik hebben, en die moet werken zonder dat iemand hoeft in te loggen. Afmeldingen verwerk je binnen twee dagen.
- Je spamklachten moeten laag blijven. Google noemt onder de 0,1 procent als richtlijn, en 0,3 procent als grens die je nooit moet raken.
Haal je dat niet, dan komt je mail niet in de spambox maar wordt hij aan de deur geweigerd. Zit je ver onder die aantallen, dan gelden deze regels formeel niet voor jou, maar de onderliggende logica wel: ontvangers vertrouwen domeinen die zich netjes gedragen. Dit hoort bij e-mail en marketing die aankomt, net zo goed als je advertenties.
Hoe je controleert of het werkt
Vertrouw niet op wat het instelscherm zegt. Controleer wat de buitenwereld ziet.
- Stuur een testmail naar een adres bij een andere aanbieder en bekijk de berichtdetails. Daarin zie je of SPF, DKIM en DMARC slagen.
- Gebruik een DNS-controle om te zien of je records echt wereldwijd zichtbaar zijn. Ik doe dit standaard, want een record dat in je dashboard staat is niet hetzelfde als een record dat is doorgevoerd.
- Lees je DMARC-rapporten. Die vertellen je precies wie er namens jouw domein mailt, ook partijen waarvan je het niet wist.
Dit soort onzichtbaar werk bepaalt vaker je resultaat dan de zichtbare dingen. Dat geldt ook voor de technische basis van je site en voor techniek die je resultaat bepaalt, zoals laadsnelheid.
Veelgestelde vragen
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF bepaalt welke servers namens jouw domein mogen versturen. DKIM zet een digitale handtekening op je bericht. DMARC controleert of die twee kloppen met het zichtbare afzenderadres en vertelt ontvangers wat ze moeten doen als dat niet zo is.
Heb ik DMARC nodig als ik weinig mail verstuur?
Ja. Ook bij kleine aantallen bepaalt je domeinreputatie of je offertes en facturen aankomen. Bovendien voorkomt DMARC dat iemand anders mail stuurt die van jou lijkt te komen.
Kan ik meteen p=reject instellen?
Beter van niet. Begin met p=none, kijk in de rapporten of al je legitieme mail goed doorkomt, en verscherp daarna pas naar quarantine en reject. Anders blokkeer je mogelijk je eigen mail.
Mijn mail komt in de spambox, ligt dat altijd aan authenticatie?
Niet altijd, maar het is de eerste plek om te kijken. Andere oorzaken zijn een slechte domeinreputatie, spamgevoelige inhoud, zware afbeeldingen in je handtekening, of een nieuw domein dat nog geen geschiedenis heeft opgebouwd.
Bronnen
Dit artikel combineert mijn eigen inrichting met de officiële documentatie. De feiten heb ik gecontroleerd via:
- DMARC.org, over de werking van DMARC en uitlijning: dmarc.org/overview
- Google Workspace Help, DMARC instellen: support.google.com
- Microsoft Learn, over e-mailauthenticatie en het samenspel tussen SPF, DKIM en DMARC.
- De afzenderseisen van Google en Yahoo voor grote verzenders, van kracht sinds 2024.
Twijfel je of jouw mail goed staat ingesteld? Ik controleer je domein en zet SPF, DKIM en DMARC in een keer goed. Plan gerust een gesprek.