SPF, DKIM en DMARC instellen: zo komt je mail niet meer in de spam

Waarom dit nu speelt

Sinds 1 februari 2024 eist Gmail van iedereen die naar een Gmail-adres mailt dat de mail met SPF of DKIM is geverifieerd. Wie meer dan 5.000 berichten per dag naar Gmail stuurt, heeft alle drie nodig (Google). Sinds november 2025 treedt Gmail strenger op: mail die niet aan de eisen voldoet, kan tijdelijk of definitief worden geweigerd (Google). Yahoo stelt sinds februari 2024 vergelijkbare eisen (Yahoo). Microsoft doet dat sinds 5 mei 2025 voor afzenders die meer dan 5.000 berichten per dag naar Outlook.com sturen (Microsoft).

De meeste bedrijven komen nooit aan 5.000 mails per dag. Toch merk je het: mail zonder goede verificatie belandt sneller in de spam, en zonder DMARC kan iedereen mails versturen die van jouw domein lijken te komen. Het NCSC raadt daarom aan alle drie in te stellen op al je domeinnamen, ook op domeinen waar je niet mee mailt (NCSC).

Wat de drie records doen

• SPF is een lijst met servers en diensten die namens je domein mogen mailen. De ontvanger kijkt of de server die de mail aflevert op die lijst staat. Per domein mag er maar één SPF-record zijn.
• DKIM is een digitale handtekening in elke mail. De dienst die verstuurt, ondertekent met een geheime sleutel en de ontvanger controleert dat met de openbare sleutel in jouw DNS. Elke dienst die voor je mailt, heeft een eigen sleutel nodig. Wordt je mail doorgestuurd, dan gaat SPF meestal mis en blijft DKIM meestal geldig.
• DMARC koppelt die twee aan het afzenderadres dat de ontvanger ziet. Een mail slaagt als SPF of DKIM klopt én bij hetzelfde domein hoort als het Van-adres. In het record staat ook wat de ontvanger moet doen als het misgaat (niets, naar de spam of weigeren) en waar hij rapporten heen stuurt.

Google schrijft dat het waarschijnlijk ooit verplicht wordt dat zowel SPF als DKIM bij je Van-domein horen. Zorg dus dat ze allebei kloppen.

Stap voor stap instellen

1. Zet op een rij wie er namens je domein mailt. Je mailbox (Microsoft 365, Google Workspace of het mailpakket van je hostingpartij), de formulier- en bestelmails van je website, je nieuwsbriefdienst, het boekhoudpakket dat je facturen verstuurt en je CRM of planningssoftware. Vergeet je er een, dan gaat juist die mail straks mis.
2. Kijk wat er al staat. Log in bij je DNS-beheer, meestal bij de partij waar je domeinnaam geregistreerd is. De e-mailtest op internet.nl laat snel zien welke van de drie al werken.
3. Maak of verbeter het SPF-record. Dat is een TXT-record op je hoofddomein; het veld Naam blijft leeg of krijgt een @, afhankelijk van je provider. Mail je alleen via Microsoft 365, dan wordt het v=spf1 include:spf.protection.outlook.com -all. Mail je alleen via Google Workspace, dan v=spf1 include:_spf.google.com ~all. Elke extra dienst krijgt er een include bij; welke, staat in de handleiding van die dienst. Zet alles in één record.
4. Zet DKIM aan voor je mailbox. Let op bij Microsoft 365: volgens Microsoft wordt mail van je eigen domein pas met DKIM ondertekend als je het zelf aanzet (Microsoft Learn). Ga in de Defender-portal naar Instellingen voor e-mailverificatie (Email authentication settings), tabblad DKIM; de snelste weg is security.microsoft.com/authentication. Klik op je domein, neem de twee CNAME-records over (selector1._domainkey en selector2._domainkey), zet ze in je DNS en zet daarna de schakelaar Berichten voor dit domein ondertekenen met DKIM-handtekeningen (Sign messages for this domain with DKIM signatures) aan. Bij Google Workspace ga je in de Beheerdersconsole naar Menu > Apps > Google Workspace > Gmail > E-mail verifiëren. Kies het domein, klik op Nieuwe record maken, kies 2048 bits en klik op Genereren. Zet het TXT-record google._domainkey in je DNS en klik daarna op Verificatie starten (Google Help). Mail je via je hostingpartij, vraag dan of DKIM aanstaat; in veel controlepanelen is het een schakelaar per domein.
5. Zet DKIM aan voor je andere diensten. Nieuwsbriefdiensten, webshopsoftware en verzenddiensten hebben meestal een pagina om je domein te verifiëren, met twee of drie CNAME-records. Zolang die er niet staan, ondertekenen ze met hun eigen domein en slaagt je mail niet voor DMARC.
6. Voeg DMARC toe in de kijkstand. Maak een TXT-record met als naam _dmarc en als waarde v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl. Met p=none verandert er nog niets aan de bezorging, maar ontvangers sturen je rapporten over alle mail die met jouw domein als afzender is verstuurd. Google raadt aan SPF en DKIM eerst minstens 48 uur te laten werken (Google Help). Laat de rapporten naar een apart adres of een rapportagedienst gaan: het worden er al snel veel, en ze zijn in XML.
7. Test elke afzender. Stuur een mail naar een Gmail-adres, open hem en kies bij de drie puntjes naast Beantwoorden voor Origineel tonen (Google Help). Bovenaan staat per controle het resultaat; bij SPF, DKIM en DMARC wil je PASS zien. Doe dit voor een gewone mail, een formulierbericht van je site, een nieuwsbrief en een factuur.
8. Maak DMARC strenger. Lees de rapporten minstens een week; Google noemt dat meestal genoeg voor een representatief beeld van al je mail (Google Help). Kloppen alle echte afzenders, zet het beleid dan op p=quarantine (mislukte mail gaat naar de spam) en later op p=reject (mislukte mail wordt geweigerd).

Google raadt aan het SPF-record te eindigen met ~all (mail van onbekende servers markeren als verdacht), Microsoft met -all, zodat DMARC beter kan ingrijpen (Microsoft Learn). Twijfel je of je alle afzenders hebt gevonden, begin dan met ~all.

Mail vanaf je website

Hier gaat het in de praktijk vaak mis. Een WordPress-site verstuurt formulier- en bestelmails standaard via de webserver zelf. Die server staat vaak niet in je SPF-record en heeft geen DKIM-sleutel van jouw domein, dus de mail valt door de controle. Je klant ziet de bevestiging van zijn bestelling niet, of het formulierbericht voor jezelf komt in de spam.

• Laat de site mailen via een dienst die je op je domein verifieert. Dat kan je eigen mailbox zijn, via een SMTP-plugin, of een verzenddienst voor websitemail. Bij de sites die wij bouwen lopen formuliermails via zo'n verzenddienst, met de DNS-records op het domein van de klant.
• Zet je eigen domein in het Van-adres. Gebruik als afzender bijvoorbeeld website@jouwdomein.nl en zet het adres van de bezoeker als antwoordadres (Reply-To). Een formulier dat mailt "van" klant@gmail.com doet zich voor als een ander domein, en Google schrijft in de richtlijnen dat het daartegen optreedt.

Werkt het niet?

• Twee SPF-records. Twee records naast elkaar geven een fout, waardoor SPF voor al je mail mislukt. Voeg de include toe aan het bestaande record.
• Te veel opzoekingen. Elke include kost minstens één DNS-opzoeking, en een SPF-record mag er niet meer dan tien nodig hebben. Gaat het daarover, dan faalt SPF. Schrap diensten die je niet meer gebruikt, of laat een nieuwsbriefdienst mailen vanaf een subdomein, zoals Microsoft aanraadt.
• Een tikfout. Een punt achter de domeinnaam, een is-teken in plaats van een dubbele punt of een spatie na include: maakt het record ongeldig.
• De naam staat er dubbel. Veel DNS-panelen zetten je domeinnaam zelf achter het veld Naam. Typ je daar _dmarc.jouwdomein.nl, dan wordt het _dmarc.jouwdomein.nl.jouwdomein.nl. Controleer na het opslaan hoe de naam er echt staat.
• De DKIM-sleutel past niet. Een sleutel van 2048 bits is lang en sommige providers beperken de lengte van een TXT-record. Vraag je provider hoe je een lange waarde invoert, of kies in de Google Beheerdersconsole 1024 bits.
• Nog geen resultaat. DNS-wijzigingen zijn niet meteen overal zichtbaar. Microsoft noemt een paar minuten of langer, Google tot 48 uur voor DKIM.
• Alles staat op PASS en toch spam. Verificatie is een voorwaarde, geen garantie. Ontvangers kijken ook naar hoe vaak je mail als spam wordt gemeld; Google vraagt afzenders dat onder 0,3% te houden. Stuur je nieuwsbrieven in grote aantallen, dan eist Gmail ook afmelden met één klik.

Domeinen waar je niet mee mailt

Heb je extra domeinnamen waar je niet mee mailt, bijvoorbeeld een .com naast je .nl? Bescherm die ook. Microsoft raadt voor zulke domeinen het SPF-record v=spf1 -all aan, een DMARC-record dat zegt dat er nooit mail van dat domein komt (v=DMARC1; p=reject;) en geen DKIM-record (Microsoft Learn). Zo maak je het een stuk lastiger om met die domeinen jouw klanten te misleiden.

Kernpunten

• SPF: één TXT-record met alle diensten die voor je mailen, met hooguit tien opzoekingen.
• DKIM: per dienst aanzetten. Bij Microsoft 365 staat het voor je eigen domein niet vanzelf aan.
• DMARC: begin met p=none, lees de rapporten en schuif na minstens een week op naar quarantine en daarna reject.
• Laat je website mailen via een geverifieerde dienst, met je eigen domein als afzender.
• Controleer het resultaat met Origineel tonen in Gmail en de e-mailtest van internet.nl.

Wil je dat wij het voor je regelen, dan lopen we je domein en alle diensten die ervoor mailen samen met je na. Hoe dat bij ons samenhangt met de rest van je website, lees je bij hosting en onderhoud en in regelen jullie ook hosting en onderhoud?