SPF, DKIM en DMARC uitleg: wat doen ze voor je e-mail?

Je stuurt een offerte, de klant ziet niets en na twee dagen blijkt het mailtje in de spam te staan. Of erger: iemand anders stuurt mail die lijkt alsof die van jou komt. Meestal ligt het dan aan drie kleine teksten in de DNS van je domein: SPF, DKIM en DMARC.

In deze spf dkim dmarc uitleg lees je wat elk record doet, hoe ze samenwerken en hoe je zelf controleert of ze kloppen. Zonder jargon waar het kan, en met voorbeelden die je kunt herkennen.

Je hoeft er geen techneut voor te zijn. Een beetje geduld en een kwartier tijd is genoeg.

Wat SPF, DKIM en DMARC samen doen

E-mail is oud en heeft één zwakte: iedereen kan als afzender info@jouwbedrijf.nl invullen. Er is geen slot op de afzenderregel. Een ontvangende mailserver (Gmail, Outlook, noem maar op) moet dus zelf bepalen of een bericht echt van jou komt.

Daar helpen de drie records bij. Een vergelijking met een brief op papier:

• SPF is de lijst met postbodes die in jouw naam brieven mogen bezorgen.
• DKIM is het zegel op de envelop. Het laat zien dat de inhoud onderweg niet is aangepast en dat het zegel van jou is.
• DMARC is jouw instructie aan de ontvanger: wat moet er gebeuren met een brief die niet door de controle komt, en stuur me een rapport.

Alle drie staan als tekstrecord (meestal TXT) in de DNS van je domein. Je ziet ze niet in je mailprogramma, maar ontvangende servers lezen ze bij elk bericht.

SPF: welke servers mogen mail sturen namens jouw domein

SPF staat voor Sender Policy Framework. Het record is een lijst met servers of diensten die van jouw domein mogen versturen. Komt een bericht van een server die niet op de lijst staat, dan is dat verdacht.

Een voorbeeld voor een domein dat Google Workspace gebruikt:

v=spf1 include:_spf.google.com ~all

Zo lees je dat: v=spf1 zegt dat het een SPF-record is. include:_spf.google.com betekent dat de servers van Google mogen versturen. ~all betekent: alles wat er niet bij staat is verdacht, maar nog niet meteen weigeren. Met -all zeg je strenger: weiger de rest.

Waar SPF vaak misgaat

• Twee SPF-records. Een domein mag er maar één hebben. Heb je een nieuwsbriefdienst erbij, voeg dan een include: toe aan het bestaande record in plaats van een tweede te maken.
• Te veel diensten. SPF staat maar een beperkt aantal DNS-opzoekingen toe (tien). Wie zijn boekhoudpakket, webshop, nieuwsbrief en CRM er allemaal in propt, komt daar snel overheen.
• Doorsturen. Stuurt iemand jouw mail automatisch door, dan komt het bericht van een andere server en faalt SPF. Daarom is SPF alleen niet genoeg.

DKIM: een handtekening die laat zien dat de mail echt is

DKIM werkt met een sleutelpaar. Je mailserver zet op elk uitgaand bericht een digitale handtekening, gemaakt met een geheime sleutel die alleen hij kent. In je DNS staat de bijbehorende openbare sleutel. De ontvanger haalt die op en controleert of de handtekening klopt.

Klopt hij, dan weet de ontvanger twee dingen: het bericht komt echt via de dienst die jouw domein gebruikt, en er is onderweg niets aan veranderd. Dat laatste is het grote voordeel boven SPF. DKIM overleeft doorsturen meestal wel.

Een DKIM-record ziet er ongeveer zo uit:

selector1._domainkey.jouwbedrijf.nl TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Het eerste deel (selector1) heet de selector. Elke maildienst gebruikt een eigen naam, zodat je meerdere diensten naast elkaar kunt laten tekenen. Het lange stuk na p= is de openbare sleutel. Die kopieer je nooit uit je hoofd. Je krijgt hem van je mailprovider en plakt hem exact over.

Let op: bij sommige diensten staat DKIM niet automatisch aan. Bij Google Workspace maak je de sleutel aan in de beheerconsole en moet je het ondertekenen nog inschakelen. Bij Microsoft 365 gebruik je twee CNAME-records. Een stappenplan staat in ons artikel over DMARC instellen voor Microsoft 365 en Google.

DMARC: wat er moet gebeuren als de controle mislukt

SPF en DKIM geven alleen een uitslag. DMARC bepaalt wat ontvangers daarmee doen. Het record staat altijd op _dmarc.jouwbedrijf.nl en doet drie dingen:

1. Het eist dat SPF of DKIM niet alleen slaagt, maar ook past bij het domein dat in de afzenderregel staat. Dat heet alignment. Zo kan een oplichter niet zijn eigen domein laten slagen en jouw naam laten zien.
2. Het geeft een beleid (policy): niets doen, in spam zetten of weigeren.
3. Het vraagt om rapporten, zodat je ziet wie er in jouw naam mailt.

Een startrecord:

v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl

Met p=none verandert er nog niets aan hoe mail wordt behandeld. Je verzamelt alleen rapporten. Daarna kun je opschalen:

De rapporten (rua) komen binnen als XML-bestanden. Die zijn niet gemaakt voor menselijke ogen. Voor een klein bedrijf met één of twee mailstromen is dat meestal geen probleem: begin met p=none, kijk of je eigen mail slaagt en schaal daarna op. Heb je veel diensten die in jouw naam mailen, laat de rapporten dan door iemand lezen die dat vaker doet.

Zo controleer je of het bij jouw domein goed staat

Je hoeft hier niets te installeren. Doe dit in volgorde:

1. Draai de website-check. De gratis website-check kijkt onder andere naar de e-mailinstellingen van je domein, zoals SPF en DMARC. Je ziet meteen of een record ontbreekt of niet goed is opgebouwd.
2. Tel je SPF-records. Er moet er precies één zijn. Geen, of twee, is een fout.
3. Controleer of al je diensten erin staan. Denk aan je mailprovider, nieuwsbriefdienst, webshop, factuurprogramma en CRM. Alles wat in jouw naam mail verstuurt, hoort in SPF en liefst ook DKIM te zitten.
4. Stuur een testmail naar jezelf. Open het bericht bij een ander mailadres (bijvoorbeeld een privé-Gmail) en bekijk de volledige berichtkop (headers). Zoek op spf=pass, dkim=pass en dmarc=pass. Staat er overal pass, dan werkt het.
5. Test ook mail via je andere diensten. Stuur eens een factuur of een bestelbevestiging. Juist daar gaat het vaak mis, omdat die dienst nooit is toegevoegd.

DNS-wijzigingen zijn niet altijd direct zichtbaar. Het kan een paar uur duren voordat alles overal is bijgewerkt, dus test na een wijziging niet meteen drie keer achter elkaar.

Veelgemaakte fouten en hoe je ze voorkomt

• Meteen p=reject zetten. Vergeet je dan één dienst, bijvoorbeeld je boekhoudpakket, dan worden die mails geweigerd. Begin met none.
• DMARC zonder SPF of DKIM. DMARC kijkt naar de uitslag van die twee. Zonder die records faalt alles.
• Een oude mailprovider laten staan. Een verhuisd domein met nog een oud include: in SPF is een gat in je lijst. Haal weg wat je niet meer gebruikt.
• Typefouten in de sleutel. Eén gemiste letter in de DKIM-sleutel en de handtekening klopt nooit. Kopieer en plak het hele record.
• Denken dat het klaar is. Neem je een nieuwe dienst in gebruik die mail verstuurt, dan moet het record worden aangevuld.

Ook met alles op orde kan een bericht in spam belanden, bijvoorbeeld door de inhoud of een slechte reputatie van de afzender. De drie records zijn de basis, geen garantie. Zonder die basis is de kans op problemen wel veel groter. Een goed ingestelde afzender maakt het daarnaast lastiger voor oplichters om jouw naam te misbruiken. Hoe je zo’n nepmail zelf herkent, lees je in phishing herkennen: 7 signalen in een e-mail die niet klopt.

Wat je nu concreet doet

Begin met de uitslag van de gratis website-check voor je domein. Mis je SPF of DMARC, dan weet je waar je moet beginnen. Maak daarna een lijstje van alles wat in jouw naam mail verstuurt en zet die diensten in je SPF-record. Zet DKIM aan bij elke dienst die dat ondersteunt en start DMARC op p=none. Kijk na een paar weken of alles slaagt, en schroef het beleid dan op.

Wil je dit niet zelf uitzoeken? Bij zakelijke mailboxen van Netslim staan MX, SPF, DKIM en DMARC automatisch goed. Gebruik je Google Workspace, dan lees je in Google Workspace Nederland: licenties, prijs en DNS hoe de DNS erbij hoort. De DNS-records van je domein pas je zelf aan in het Netslim-portaal. Kom je er niet uit, dan kun je ons via de contactpagina bereiken.

Veelgestelde vragen

Heb ik alle drie de records nodig, of is SPF genoeg?

SPF alleen is te weinig. Het faalt bijvoorbeeld zodra mail wordt doorgestuurd. Met DKIM erbij heeft je bericht een handtekening, en DMARC zorgt dat ontvangers weten wat ze met mislukte controles moeten doen. Grote mailproviders verwachten dat de drie samen goed staan.

Waarom komt mijn mail in de spam terwijl SPF en DKIM kloppen?

Dan spelen andere dingen mee: de reputatie van je domein of server, de inhoud van het bericht, of veel mensen die je mail als spam markeren. De records bewijzen alleen dat jij de afzender bent, niet dat je mail gewenst is. Kijk ook of je lijst met ontvangers klopt en of je geen verdachte links of bijlagen gebruikt.

Kan ik DMARC op reject zetten zonder dat er iets misgaat?

Alleen als je zeker weet dat al je mailstromen SPF of DKIM laten slagen met jouw domein. Begin daarom op p=none, kijk een paar weken naar de rapporten en schakel dan over naar quarantine. Pas daarna is reject verstandig.

Hoe lang duurt het voordat een nieuw SPF-, DKIM- of DMARC-record werkt?

Dat hangt af van de cachetijd van de DNS. Vaak is een wijziging binnen een uur zichtbaar, maar soms duurt het een paar uur. Test je dus niet meteen na het opslaan, maar geef het even de tijd.