Mail komt in spam terecht? Zo controleert u SPF, DKIM en DMARC

Waarom zakelijke mail in de spam belandt

Een spamfilter kijkt vooral naar twee dingen. Komt deze mail echt van de afzender? En gedraagt die afzender zich netjes? Kan de ontvangende mailserver niet controleren dat uw bericht van uw domein komt? Dan krijgt het al snel minder vertrouwen. Dat is de meest voorkomende reden dat nette zakelijke mail toch in de map ongewenst belandt.

Google en Yahoo eisen sinds februari 2024 dat afzenders hun mail laten herkennen met SPF of DKIM. Wie grote hoeveelheden verstuurt, moet ook DMARC hebben; dat staat in de e-mailrichtlijnen voor afzenders van Google. Microsoft stelt voor Outlook en Microsoft 365 vergelijkbare eisen. Zonder deze instellingen vergroot u de kans dat uw mail wordt tegengehouden.

Wat is SPF?

SPF (Sender Policy Framework) is een regel in uw DNS, de openbare telefoongids van uw domein. Die regel somt op welke servers namens uw domein mail mogen versturen. Ontvangt een mailserver een bericht, dan kijkt hij of de verzendende server in die lijst staat. Staat hij er niet in, dan is dat een teken dat de mail vervalst kan zijn. SPF is vastgelegd in de internetstandaard RFC 7208.

Wat is DKIM?

DKIM (DomainKeys Identified Mail) zet een digitale handtekening op elke mail die u verstuurt. De ontvangende server controleert die handtekening met een sleutel die openbaar in uw DNS staat. Klopt de handtekening, dan weet de ontvanger dat het bericht onderweg niet is aangepast en echt van uw domein komt. DKIM staat beschreven in RFC 6376.

Wat is DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) bouwt voort op SPF en DKIM. U bepaalt ermee wat een ontvanger doet als een bericht de controle niet doorstaat. Niets doen, in de spam zetten (quarantine) of weigeren (reject). Ook krijgt u rapporten over wie er mail uit uw naam verstuurt, zodat u ziet of iemand uw domein misbruikt. DMARC is vastgelegd in RFC 7489.

Begin voorzichtig. Veel organisaties starten met het beleid none, zodat er nog niets wordt geweigerd terwijl u de rapporten bekijkt. Werkt alles goed, dan scherpt u het aan naar quarantine en later reject. Zo voorkomt u dat u per ongeluk uw eigen mail blokkeert.

En DNSSEC: waarom uw hele domein ertoe doet

SPF, DKIM en DMARC staan allemaal in uw DNS. Kan iemand die DNS-antwoorden vervalsen, dan hebben uw mailinstellingen weinig waarde. DNSSEC (Domain Name System Security Extensions) ondertekent de antwoorden van uw DNS. Zo controleert een ontvanger dat ze onderweg niet zijn aangepast.

Het Nederlandse internet.nl rekent DNSSEC mee als onderdeel van een goed ingericht domein. Vraag uw hostingpartij of domeinbeheerder of DNSSEC voor uw domein aan staat. Bij veel .nl-domeinen is dat één instelling.

Zo controleert u het zelf

U hoeft hier geen techneut voor te zijn. Ga naar internet.nl, kies de test ‘Test uw e-mail’ en vul uw domein in. U krijgt een rapport dat per onderdeel laat zien of SPF, DKIM, DMARC en DNSSEC goed staan. Een rood kruisje betekent dat er iets ontbreekt of niet klopt.

De test is gratis en onafhankelijk. internet.nl is onder meer een initiatief van de Nederlandse overheid en SIDN, de beheerder van de .nl-domeinen. Ook internetbedrijven doen mee. Bewaar het rapport, zodat u later kunt zien of het herstel heeft geholpen.

Wat uw provider moet instellen

De records zelf zet u, of uw mailprovider of websitebeheerder, in het DNS van uw domein. Welke partij dat is, verschilt per bedrijf. Soms is het uw hostingpartij, soms uw mailpakket zoals Microsoft 365 of Google Workspace. Die partijen hebben hiervoor eigen handleidingen. Het luistert nauw, want een kleine fout in een SPF- of DMARC-regel kan uw mail juist tegenhouden.

Weet u niet zeker of alles goed staat, dan controleren wij het in De Mailcheck (€ 245 vast excl. btw). U krijgt een rapport in gewone taal met de exacte instellingen voor uw provider. Het gaat om SPF, DKIM, DMARC, DNSSEC en CAA. Na het herstel volgt één hertest. Wij wijzigen zelf niets bij uw provider; dat doet u of uw beheerder.