SPF, DKIM en DMARC: zo komt je zakelijke e-mail aan

Komt je mail bij klanten in de spam terecht, of krijg je meldingen van mail die je nooit hebt verstuurd? Dan is de kans groot dat SPF, DKIM of DMARC niet goed staan. Dat zijn drie records in de DNS van je domeinnaam. Samen vertellen ze ontvangende mailservers welke mail echt van jou is.

Waarom dit nodig is

E-mail is ooit bedacht zonder controle op de afzender. Iedereen kan een bericht sturen met jouw adres als afzender. Spamfilters zoeken daarom naar bewijs dat een bericht echt van het domein komt waar het van zegt te komen. Zonder dat bewijs is de kans groter dat je mail in de spam belandt of wordt geweigerd.

Grote mailproviders zijn daar strenger in geworden. Google en Yahoo eisen sinds februari 2024 dat afzenders die veel mail versturen SPF, DKIM en DMARC hebben ingesteld, en dat elke afzender minstens SPF of DKIM heeft. Microsoft voerde in 2025 vergelijkbare eisen in voor Outlook.com.

SPF: wie mag namens jou mailen?

Met SPF zet je in de DNS een lijst van servers die mail mogen versturen voor jouw domein. Dat is één TXT-record, bijvoorbeeld:

v=spf1 include:spf.protection.outlook.com -all

Het deel na include: verwijst naar de servers van je mailprovider. Gebruik je meer diensten die namens jou mailen, zoals een nieuwsbriefprogramma of je webshop, dan moeten die er ook in. Let op twee dingen:

• Er mag maar één SPF-record per domein zijn. Twee losse records maken SPF ongeldig.
• SPF mag maximaal tien DNS-opvragingen doen. Met veel include-regels zit je daar snel aan.

DKIM: is het bericht echt en ongewijzigd?

Bij DKIM zet de verzendende server een digitale handtekening in elk bericht. De ontvanger controleert die met een publieke sleutel die in jouw DNS staat, onder een naam als selector._domainkey.jouwdomein.nl. Klopt de handtekening, dan weet de ontvanger dat het bericht van jouw domein komt en onderweg niet is veranderd. De sleutel krijg je van je mailprovider; jij zet hem in de DNS.

DMARC: wat moet er gebeuren als het niet klopt?

DMARC verbindt de twee. Het record staat op _dmarc.jouwdomein.nl en zegt wat een ontvanger moet doen met mail die SPF en DKIM niet haalt, en waar rapporten naartoe moeten. Bijvoorbeeld:

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl

Er zijn drie standen:

• p=none: alleen rapporteren. Handig om mee te beginnen, zodat je ziet welke diensten namens jou mailen.
• p=quarantine: mail die niet klopt gaat naar de spam.
• p=reject: mail die niet klopt wordt geweigerd. Dit is de beste bescherming tegen misbruik van je domein.

Begin met p=none, kijk een paar weken in de rapporten of al je eigen mail goed doorkomt, en schakel dan door naar quarantine en uiteindelijk reject.

Ook voor domeinen die niet mailen

Heb je een domeinnaam waar je nooit mee mailt, bijvoorbeeld een oude merknaam? Ook die kan worden misbruikt. Zet er dan een SPF-record op dat niemand toestaat (v=spf1 -all) en een DMARC-record met p=reject.

Zelf controleren

Met onze gratis tools zie je direct hoe je domein ervoor staat: de SPF-check, de DKIM-check, de DMARC-check en de e-mailbezorgingscheck, die alles in één keer bekijkt.

Zakelijke e-mail bij Siengo, bij je webhosting of via Microsoft 365, richten we in met SPF, DKIM en DMARC. Lees meer over zakelijke e-mail.