Wat zijn SPF, DKIM en DMARC en hoe stel ik ze in?

SPF, DKIM en DMARC zijn drie records in het DNS van je domein. Samen laten ze aan de ontvangende mailserver zien dat een mail echt namens jou is verstuurd en niet door iemand die zich voordoet als jou. Grote providers zoals Gmail, Outlook en Yahoo eisen ze bij bulkverzending; zonder deze records eindig je in de spamfolder of word je helemaal geweigerd.

SPF: wie mag namens mij versturen

Een SPF-record is een lijst met servers die mail mogen versturen namens jouw domein. Staat de verzendende server er niet in, dan is dat voor de ontvanger een reden tot wantrouwen.

Belangrijk: je mag maar één SPF-record per domein hebben. Verstuur je ook via je kantoormail en je webshop, dan komen die in datzelfde ene record te staan.

DKIM: een handtekening die niet te vervalsen is

DKIM zet een cryptografische handtekening onder elke mail. De ontvanger haalt de publieke sleutel op uit jouw DNS en controleert of de mail onderweg niet is aangepast en of hij van de juiste afzender komt. Je zet hiervoor een of twee records klaar; de sleutels krijg je uit je account.

DMARC: wat er moet gebeuren als het misgaat

DMARC vertelt de ontvanger wat te doen met mail die de SPF- of DKIM-controle niet doorstaat, en waar hij rapportages naartoe moet sturen.

Begin met het beleid p=none. Dan verandert er nog niets aan de afhandeling, maar krijg je wel rapportages waarin je ziet wie er allemaal namens jouw domein verstuurt. Vaak levert dat verrassingen op: een oud factuursysteem, een formulierplugin, een tool van een collega. Als alles wat legitiem is netjes slaagt, verhoog je naar p=quarantine en later naar p=reject.

Doe die stap niet meteen. Zet je p=reject terwijl je factuurmail nog niet goed staat, dan verdwijnen je facturen.

In welke volgorde

1. Zet SPF en DKIM klaar zoals ze in je account staan.
2. Wacht tot de records zichtbaar zijn. Meestal binnen een uur, soms een etmaal.
3. Laat de controle in je account groen worden.
4. Zet DMARC op p=none en lees een paar weken de rapportages.
5. Verscherp stap voor stap naar quarantine en reject.

Veelgemaakte fouten

• Twee SPF-records. Ontvangers behandelen dat als een fout en negeren beide. Voeg samen tot één record.
• Te veel opzoekingen in SPF. Er geldt een limiet van tien DNS-lookups. Elke include telt mee, dus schoon oude leveranciers op.
• Versturen vanaf een gratis adres. Een afzender op gmail.com of hotmail.com kun je niet met je eigen domein onderbouwen; gebruik een adres op je eigen domein.

Op Deliverability en verzenddomein staat hoe HummingHub de instelling en de controle van deze records begeleidt.