SPF, DKIM en DMARC: voorkom dat je mail in spam belandt
In deze gids wordt spf dkim dmarc uitgelegd: de drie belangrijkste e-mail authenticatieprotocollen die bepalen of jouw e-mails aankomen. Als je problemen hebt met e-mailbezorging, is het instellen van spf dkim dmarc de eerste stap naar een oplossing.
Je stuurt een belangrijke offerte, maar de klant ontvangt hem niet. Of erger: je mail belandt in de spamfolder. Frustrerend, maar vaak te voorkomen. Met SPF, DKIM en DMARC bewijs je dat jij echt bent wie je zegt te zijn.
Waarom is e-mail authenticatie belangrijk?
E-mail is oud en was nooit ontworpen met beveiliging in gedachten. Iedereen kan een mail sturen die lijkt te komen van info@jouwbedrijf.nl. Spammers en phishers misbruiken dit dagelijks.
SPF, DKIM en DMARC zijn protocollen die dit probleem oplossen. Ze bewijzen aan ontvangende mailservers dat jouw mail legitiem is.
SPF: wie mag mailen namens jouw domein?
SPF staat voor Sender Policy Framework. Het is een DNS-record dat definieert welke mailservers mogen mailen namens jouw domein.
Hoe werkt het?
- Jij publiceert een SPF-record in je DNS
- Daarin staat welke servers mogen mailen voor jouw domein
- Ontvangende server checkt of de mail komt van een toegestane server
- Zo niet, dan wordt de mail geweigerd of gemarkeerd als spam
Voorbeeld SPF-record
v=spf1 include:_spf.theory7.net include:spf.protection.outlook.com -allDit zegt: alleen servers van Theory7 en Microsoft 365 mogen mailen namens dit domein. Alle andere worden geweigerd (-all).
DKIM: digitale handtekening
DKIM staat voor DomainKeys Identified Mail. Het voegt een digitale handtekening toe aan je mail die bewijst dat de inhoud niet is aangepast onderweg.
Hoe werkt het?
- Je mailserver ondertekent elke mail met een private key
- De public key staat in je DNS
- Ontvangende server verifieert de handtekening met de public key
- Als het klopt, is de mail authentiek en ongewijzigd
DKIM beschermt ook tegen manipulatie: als iemand de inhoud aanpast, klopt de handtekening niet meer.
DMARC: wat te doen bij mislukte checks?
DMARC staat voor Domain-based Message Authentication, Reporting & Conformance. Het vertelt ontvangende servers wat ze moeten doen als SPF of DKIM faalt.
DMARC beleid opties
- none: Doe niets, alleen rapporteren (voor testen)
- quarantine: Zet in spam
- reject: Weiger de mail volledig
Voorbeeld DMARC-record
v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwdomein.nlDit zegt: zet falende mails in spam en stuur rapporten naar dmarc@jouwdomein.nl.
Hoe stel je het in?
Stap 1: SPF record toevoegen
Voeg een TXT-record toe aan je DNS met je SPF-configuratie. Vraag je hosting- en mailprovider welke servers je moet opnemen.
Stap 2: DKIM activeren
DKIM wordt meestal ingesteld door je mailprovider. Je krijgt een TXT-record om toe te voegen aan je DNS.
Stap 3: DMARC record toevoegen
Begin met p=none om te monitoren. Bekijk de rapporten en schakel daarna over naar quarantine of reject.
Je instellingen testen
Gebruik online tools om te checken of alles goed staat:
- mail-tester.com: Stuur een testmail en krijg een score
- mxtoolbox.com: Check je DNS-records
- dmarcanalyzer.com: Analyseer DMARC-rapporten
Veelgestelde vragen
Moet ik alle drie instellen?
Idealiter wel. SPF en DKIM zijn de basis, DMARC maakt het compleet. Zonder DMARC weten ontvangers niet wat ze moeten doen bij problemen.
Kan ik meerdere mailproviders gebruiken?
Ja, voeg alle providers toe aan je SPF-record. Let op: je mag maximaal 10 DNS-lookups hebben in SPF.
Mijn mail komt nog steeds in spam, wat nu?
Check ook je mailinhoud. Te veel links, verdachte woorden of slechte HTML kunnen ook spam triggers zijn.
Hulp nodig?
SPF in detail
SPF (Sender Policy Framework) is een TXT-record in je DNS dat aangeeft welke servers namens jouw domein mogen mailen.
Hoe SPF werkt
Wanneer je een mail stuurt, checkt de ontvangende server: "Staat de verzendende server in het SPF-record van dit domein?" Zo ja, dan is het waarschijnlijk legitiem. Zo nee, dan is het mogelijk spam of phishing.
SPF instellen
Een basis SPF-record ziet er zo uit:
v=spf1 include:_spf.google.com ~all
Dit zegt: alleen Google mag namens dit domein mailen. ~all betekent dat andere servers "softfail" krijgen (waarschuwing maar niet geblokkeerd).
DKIM in detail
DKIM (DomainKeys Identified Mail) voegt een digitale handtekening toe aan je e-mails. De ontvanger kan verifiëren dat de mail onderweg niet is gewijzigd.
Hoe DKIM werkt
- Je mailserver ondertekent elke mail met een private key
- De public key staat als TXT-record in je DNS
- De ontvanger verifieert de handtekening met die public key
DKIM instellen
Je hostingprovider of e-mailservice genereert de DKIM-key. Je voegt het TXT-record toe aan je DNS. De exacte stappen verschillen per provider — volg hun documentatie.
DMARC in detail
DMARC (Domain-based Message Authentication, Reporting & Conformance) bouwt voort op SPF en DKIM. Het vertelt ontvangers wat te doen als verificatie faalt.
DMARC-beleid opties
- none: alleen monitoren, geen actie
- quarantine: stuur naar spam
- reject: weiger de mail volledig
DMARC instellen
Start met een monitor-only beleid:
v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl
Je ontvangt rapporten over wie namens jouw domein mailt. Als alles er goed uitziet, verscherp je naar quarantine en later reject.
Stap voor stap implementeren
- Inventariseer: welke diensten sturen mail namens jouw domein?
- SPF opzetten: voeg alle legitieme bronnen toe
- DKIM activeren: bij je e-mailprovider en andere diensten
- DMARC starten: begin met p=none om te monitoren
- Analyseren: bekijk de rapporten en corrigeer problemen
- Verscherpen: ga naar quarantine en later reject
Testen
Gebruik tools om je setup te controleren:
- mail-tester.com: stuur een testmail en krijg een rapport
- MXToolbox: check je DNS-records
- Google Postmaster Tools: zie hoe Gmail je domein ziet
SPF, DKIM en DMARC voor verschillende situaties
Eenvoudige setup (alleen eigen mailserver)
Als je alleen mail stuurt vanaf je hostingserver is de setup relatief simpel. Je provider heeft vaak standaard SPF en DKIM ingesteld.
Complexere setup (meerdere diensten)
Gebruik je naast je eigen mailserver ook diensten als Mailchimp, SendGrid of een CRM? Dan moet elke dienst in je SPF-record en met eigen DKIM-keys.
Een SPF-record met meerdere bronnen:
v=spf1 include:_spf.hosting.nl include:servers.mcsv.net include:sendgrid.net ~all
Google Workspace of Microsoft 365
Bij zakelijke e-mail via Google of Microsoft volg je hun specifieke instructies voor SPF en DKIM. Zij leveren de exacte DNS-records die je moet toevoegen.
Veelgemaakte fouten
- Meerdere SPF-records (er mag er maar één zijn)
- Te strikt DMARC-beleid zonder eerst te monitoren
- Vergeten een nieuwe e-maildienst toe te voegen
- Oude records niet opruimen na wisselen van provider
Correcte e-mailauthenticatie zorgt ervoor dat je berichten aankomen waar ze moeten zijn. Neem de tijd om het goed in te stellen en test regelmatig.
E-mailverificatie via SPF, DKIM en DMARC is tegenwoordig onmisbaar. Grote e-mailproviders zoals Gmail en Outlook zijn steeds strenger geworden. Zonder de juiste authenticatie-records belanden je mails in de spamfolder of worden ze helemaal geweigerd.
De eenmalige technische setup is het waard. Vraag je hostingprovider om hulp als je vastloopt — zij kunnen vaak de juiste records voor je aanmaken. Eenmaal ingesteld, hoef je er niet meer naar om te kijken. Je mails worden betrouwbaar afgeleverd en je beschermt je domeinnaam tegen misbruik door spammers.
E-mailverificatie voorkomt dat je berichten in de spam belanden. Stel SPF, DKIM en DMARC correct in en je mails bereiken betrouwbaar hun bestemming. Het is even puzzelen, maar de moeite meer dan waard.
E-mail authenticatie is complex maar essentieel in 2024. Neem de tijd om het goed te begrijpen en correct te implementeren voor betrouwbare mailaflevering.
Correcte e-mailauthenticatie is de sleutel tot betrouwbare communicatie met je klanten.
Hoe SPF, DKIM en DMARC samenwerken
SPF, DKIM en DMARC werken niet los van elkaar maar vormen samen een gelaagd beveiligingssysteem voor je e-mail. Hier is hoe de drie protocollen samenwerken:
| Protocol | Vraag die het beantwoordt | Wat het controleert |
|---|---|---|
| SPF | Is de verzendende server gemachtigd? | IP-adres van de verzender |
| DKIM | Is het bericht ongewijzigd en authentiek? | Digitale handtekening in de header |
| DMARC | Wat moet er gebeuren bij een mismatch? | Alignment van SPF en DKIM met het From-adres |
Het verificatieproces stap voor stap
- Een mail wordt verstuurd vanaf jouw domein
- De ontvangende server controleert het SPF-record: staat het IP-adres van de verzendende server in de lijst?
- De ontvangende server verifieert de DKIM-handtekening: komt de handtekening overeen met de public key in DNS?
- De ontvangende server controleert DMARC-alignment: komen SPF en/of DKIM overeen met het From-adres?
- Op basis van het DMARC-beleid wordt de mail geaccepteerd, in quarantaine geplaatst of geweigerd
- Er wordt een rapport gestuurd naar het adres in het DMARC-record
SPF, DKIM en DMARC: implementatie in de juiste volgorde
Het correct implementeren van SPF, DKIM en DMARC vereist een gestructureerde aanpak. Spring niet meteen naar een strikt beleid, maar bouw geleidelijk op:
Fase 1: inventarisatie (week 1)
Maak een lijst van alle diensten die e-mail versturen namens jouw domein. Denk aan je mailserver, CRM-systeem, e-mailmarketing platform, facturatiesoftware en eventuele web formulieren.
Fase 2: SPF en DKIM instellen (week 1-2)
Stel SPF in met alle geidentificeerde bronnen. Activeer DKIM bij elke dienst die het ondersteunt. Test met mail-tester.com of mxtoolbox.com of de configuratie correct is.
Fase 3: DMARC monitoring (week 2-6)
Stel DMARC in met beleid p=none. Je ontvangt nu rapporten over alle mail die namens jouw domein wordt verstuurd. Analyseer de rapporten om ontbrekende bronnen te identificeren.
Fase 4: verscherpen (week 6+)
Als de rapporten er goed uitzien en alle legitieme bronnen correct zijn geconfigureerd, verscherp dan naar p=quarantine. Na een stabiele periode kun je overgaan naar p=reject voor maximale bescherming.
Meer weten over e-mail? Lees ons artikel over e-mail migreren naar nieuwe hosting of bekijk de zakelijke e-mail oplossingen van Theory7.
Bij Theory7 helpen we je met het correct instellen van SPF, DKIM en DMARC. Neem contact op als je mail in spam belandt.
SPF DKIM DMARC samenvatting en best practices
Het correct configureren van spf dkim dmarc is essentieel voor elke professionele e-mailconfiguratie. Hier zijn de belangrijkste aandachtspunten bij het instellen van spf dkim dmarc voor jouw domein.
- Begin altijd met SPF en voeg daarna DKIM toe voordat je DMARC activeert
- Test je spf dkim dmarc configuratie met online tools voordat je strict beleid instelt
- Gebruik een professioneel emailadres bij je eigen domein
- Configureer DMARC eerst met p=none om rapporten te ontvangen zonder e-mails te blokkeren
- Controleer je domeinnaam DNS-instellingen regelmatig op correcte records
Met de juiste spf dkim dmarc configuratie voorkom je dat je e-mails in spam terechtkomen. Registreer je domein via onze domeinnaam checker en stel direct spf dkim dmarc in voor optimale e-mailbezorging.
Het correct instellen van spf dkim dmarc is tegenwoordig geen luxe meer, maar een noodzaak. Zonder spf dkim dmarc worden je e-mails vaker als spam gemarkeerd of zelfs volledig geweigerd. Zorg ervoor dat je spf dkim dmarc records altijd up-to-date zijn en controleer ze na elke wijziging in je DNS-configuratie. Met goed ingestelde spf dkim dmarc bescherm je niet alleen je eigen domein, maar draag je ook bij aan een veiliger e-mailecosysteem.
SPF DKIM DMARC: praktische implementatie stap voor stap
De theorie achter spf dkim dmarc is belangrijk, maar de praktische implementatie is waar het om draait. Voor SPF begin je met het inventariseren van alle servers en diensten die e-mail versturen namens je domein. Dit omvat je eigen mailserver, je hostingprovider, eventuele marketingtools als Mailchimp of ActiveCampaign, en transactionele e-maildiensten als SendGrid of Amazon SES. Elke legitieme verzendende server moet worden opgenomen in je SPF-record.
Een SPF-record is een TXT-record in je DNS-instellingen. Het begint altijd met v=spf1 en eindigt met -all (hard fail) of ~all (soft fail). Tussen deze elementen specificeer je de geautoriseerde servers via IP-adressen of include-statements. Let op de limiet van maximaal 10 DNS-lookups per SPF-record. Gebruik tools als MXToolbox om je SPF-record te testen en het aantal lookups te controleren.
DKIM-configuratie is technisch complexer maar even belangrijk. Je moet een cryptografisch sleutelpaar genereren: een privesleutel op je mailserver en een publieke sleutel als TXT-record in je DNS. De meeste e-mail hosting providers bieden DKIM-configuratie aan via hun controlpanel.
DMARC-beleid instellen en monitoren
Na het correct configureren van SPF en DKIM is het tijd om DMARC in te stellen. Begin altijd met een monitoring-beleid (p=none) zodat je kunt zien welke e-mails wel en niet door de authenticatie komen, zonder dat legitieme berichten worden geblokkeerd. Stel een rua-adres in waar DMARC-rapporten naartoe worden gestuurd.
Analyseer de DMARC-rapporten gedurende minimaal twee tot vier weken. Zoek naar legitieme bronnen die falen op SPF of DKIM en voeg deze toe aan je configuratie. Pas nadat alle legitieme bronnen correct zijn geauthenticeerd, verscherp je het DMARC-beleid stapsgewijs naar quarantine en uiteindelijk naar reject. Dit gefaseerde proces voorkomt dat je per ongeluk legitieme e-mails blokkeert.
DMARC-rapporten zijn XML-bestanden die lastig handmatig te lezen zijn. Gebruik een gratis dienst als DMARC Analyzer of Postmark om de rapporten visueel weer te geven. Combineer dit met een goed geconfigureerde DNS-configuratie voor maximale e-mailbezorging.
SPF DKIM DMARC: veelgestelde vragen beantwoord
Moet ik alle drie de protocollen instellen? Ja, voor optimale e-mailbezorging heb je alle drie nodig. SPF verifieert de verzendende server, DKIM garandeert de integriteit van het bericht, en DMARC vertelt ontvangende servers wat ze moeten doen als een check faalt. Samen vormen ze een complete beveiligingslaag.
Hoe lang duurt het voordat wijzigingen werken? DNS-wijzigingen propageren doorgaans binnen 24-48 uur. Verlaag de TTL naar 300 seconden voordat je wijzigingen doorvoert voor snellere propagatie.
Wat als mijn e-mails toch in spam belanden? Controleer of je e-mails wel aankomen en of alle records correct zijn. Gebruik de e-mailheaders om te controleren of alle authenticatiechecks slagen. Als de technische configuratie correct is, kan het probleem liggen bij de inhoud van je berichten of de reputatie van je verzendend IP-adres. Bouw je reputatie geleidelijk op door consistent goede e-mails te versturen.
E-mailauthenticatie testen met online tools
Na het instellen van spf dkim dmarc is het cruciaal om de configuratie te testen met online tools. Stuur een testmail naar check-auth@verifier.port25.com om een automatisch rapport te ontvangen over je SPF-, DKIM- en DMARC-status. Google biedt ook een handige tool via de Gmail-headers: open een ontvangen testmail in Gmail, klik op de drie puntjes en kies Bericht bron weergeven. Hier zie je of SPF en DKIM slagen of falen.
Gebruik daarnaast dmarcian.com voor gratis DMARC-monitoring. Deze tool visualiseert je DMARC-rapporten en identificeert problemen. MXToolbox biedt een uitgebreide suite voor het testen van DNS-records, blacklist-checks en SMTP-diagnostiek. Voer deze tests maandelijks uit om ervoor te zorgen dat je configuratie correct blijft werken, vooral na wijzigingen aan je e-mailinfrastructuur of het toevoegen van nieuwe verzendende diensten.
Vergeet niet om ook je e-mail op je eigen domeinnaam correct in te stellen voor een professionele uitstraling en optimale bezorgbaarheid.
Tot slot is het belangrijk om je e-mailauthenticatie-configuratie te documenteren. Maak een overzicht van alle DNS-records met hun huidige waarden, de datum van de laatste wijziging en de reden voor de configuratie. Bewaar dit document op een veilige, centrale locatie. Wanneer je in de toekomst nieuwe e-maildiensten toevoegt of van provider wisselt, heb je direct een referentie om de configuratie correct bij te werken. Een goed gedocumenteerde SPF/DKIM/DMARC-setup bespaart je uren aan troubleshooting en voorkomt e-mailbezorgingsproblemen.
Vergeet ook niet dat e-mailauthenticatie een doorlopend proces is, niet een eenmalige configuratie. Elke keer dat je een nieuwe e-maildienst toevoegt, een marketingtool inschakelt of van mailserver wisselt, moet je je SPF-, DKIM- en DMARC-records bijwerken. Plan een kwartaalreview in om je e-mailauthenticatie te controleren en ervoor te zorgen dat alle drie de protocollen correct geconfigureerd blijven.
