SPF, DKIM en DMARC in tien minuten

Je kunt de beste e-mail van je leven schrijven zonder dat iemand hem leest. Niet omdat de onderwerpregel zwak is, maar omdat de ontvangende server niet weet of jij hem echt hebt verstuurd, en bij twijfel stuurt hij hem naar de spam.

Om die twijfel weg te nemen bestaan er drie records die je publiceert in de DNS van je domein: SPF, DKIM en DMARC. Sinds 2024 eisen Gmail en Yahoo ze van wie e-mail naar hun gebruikers stuurt, en sinds 2025 ook Outlook. Het goede nieuws: je stelt ze één keer in, in zo'n tien minuten, en daarna hoef je er niet meer aan te komen. In dit artikel leggen we uit wat elk ervan doet, hoe je ze instelt in Google Workspace en Microsoft 365 en hoe je controleert of ze werken.

Het probleem: iedereen kan jouw adres invullen

E-mail is ontworpen in een tijd waarin niemand aan vervalsing dacht. Het protocol laat elke server een bericht versturen met „Van: sanne@jouwbedrijf.nl”, net zoals iedereen jouw adres als afzender op de achterkant van een envelop kan schrijven.

SPF, DKIM en DMARC zijn de manier om te bewijzen dat de envelop van jou is. Elk ervan beantwoordt een andere vraag:

• SPF: mag deze server e-mail versturen namens dit domein?
• DKIM: draagt het bericht de handtekening van het domein, en is het onderweg niet gewijzigd?
• DMARC: als een van beide mislukt, wat moet de ontvanger dan doen? En aan wie meldt hij dat?

Een goede vergelijking is een aangetekende brief: SPF is de lijst met postkantoren die namens jou mogen versturen, DKIM is het lakzegel en DMARC zijn de instructies die je bij het postkantoor van bestemming achterlaat over wat te doen met een brief zonder zegel.

SPF: wie namens jou mag versturen

SPF (Sender Policy Framework) is een tekstrecord (TXT) op je domein met de lijst servers die namens dat domein e-mail mogen versturen. Komt er een bericht binnen, dan kijkt de ontvangende server waar het vandaan komt en vergelijkt dat met die lijst.

Een SPF-record ziet er zo uit:

v=spf1 include:_spf.google.com ~all

• v=spf1 geeft aan dat het een SPF-record is.
• include:_spf.google.com geeft de servers van Google Workspace toestemming. Bij Microsoft 365 is dat include:spf.protection.outlook.com.
• ~all zegt dat elke andere server „waarschijnlijk niet” is toegestaan (soft fail). Met -all is de afwijzing strikt.

Drie veelgemaakte fouten:

1. Twee SPF-records hebben. Er kan er maar één per domein zijn. Gebruik je Google Workspace en daarnaast een facturatietool die e-mails verstuurt, dan komen beide include-regels in hetzelfde record: v=spf1 include:_spf.google.com include:anderedienst.com ~all.
2. Meer dan tien lookups. Elke include telt als een DNS-lookup, en sommige verbergen er weer andere in. De standaard stelt een maximum van tien; daarboven mislukt de controle.
3. Een dienst vergeten. Verstuur je vanaf een server die niet op de lijst staat (je website, je CRM, een prospectietool met eigen SMTP), dan zakken die e-mails voor SPF.

DKIM: de handtekening op elke e-mail

DKIM (DomainKeys Identified Mail) voegt aan elke e-mail een digitale handtekening toe. Je provider ondertekent het bericht met een privésleutel die alleen hij heeft, en jij publiceert de openbare sleutel in de DNS, zodat iedereen de handtekening kan controleren. Verandert iemand onderweg ook maar een komma in het bericht, dan klopt de handtekening niet meer.

Anders dan bij SPF verzin je de DKIM-sleutel niet zelf: je e-mailprovider genereert hem en jij kopieert hem alleen naar de DNS.

• Google Workspace: ga in de beheerconsole naar Apps › Google Workspace › Gmail › Authenticate email, genereer een sleutel van 2048 bits en kopieer het TXT-record dat je krijgt, met de naam google._domainkey. Ga daarna terug naar de console en klik op Start authentication.
• Microsoft 365: in de Microsoft Defender-portal, bij de DKIM-instellingen van je domein, krijg je twee CNAME-records (selector1._domainkey en selector2._domainkey). Die maak je aan in je DNS, waarna je de ondertekening inschakelt.

Het deel vóór ._domainkey heet de selector. Daarmee kan één domein meerdere sleutels hebben, bijvoorbeeld een voor Google en een voor je facturatietool.

DMARC: wat te doen als er iets misgaat

SPF en DKIM controleren dingen, maar zeggen niet wat er moet gebeuren als de controle mislukt. Dat bepaalt DMARC (Domain-based Message Authentication, Reporting and Conformance), en het voegt een belangrijke voorwaarde toe: alignment. Het is niet genoeg dat de e-mail slaagt voor SPF of DKIM; het domein dat slaagt, moet hetzelfde zijn als het domein in de „Van:” die de ontvanger ziet.

Het DMARC-record is nog een TXT-record, met de naam _dmarc op je domein:

v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl

• p= is het beleid: none (doe niets, laat het me alleen weten), quarantine (stuur het naar de spam) of reject (weiger het).
• rua= is het adres waarnaar de grote providers je dagelijkse rapporten sturen over wie er namens je domein e-mail verstuurt en of die de controles doorstaat.

Zo ga je verder zonder iets stuk te maken:

1. Begin met p=none en een rua-adres. Dat is het minimum dat Google, Yahoo en Microsoft vragen.
2. Bekijk een paar weken lang de rapporten (er zijn gratis diensten die ze leesbaar maken). Zoek naar legitieme diensten die zakken: de website die formulieren verstuurt, de facturatietool, de nieuwsbrief.
3. Slaagt alles wat legitiem is, ga dan naar p=quarantine en later naar p=reject. Vanaf dat moment heeft wie je domein probeert te vervalsen het heel moeilijk.

Wat Gmail, Yahoo en Outlook eisen

Sinds februari 2024 eisen Google en Yahoo SPF of DKIM van alle afzenders. Wie meer dan 5.000 e-mails per dag naar Gmail-accounts stuurt, moet daarnaast SPF, DKIM en DMARC hebben (p=none is genoeg), alignment met het domein in de „Van:”, afmelden in één klik en een spamklachtpercentage onder de 0,3%. Sinds mei 2025 eist Outlook hetzelfde van afzenders met een groot volume.

Doe je aan prospectie vanuit je mailbox, dan haal je waarschijnlijk geen 5.000 per dag. Maar filters passen niet alleen regels toe: ze geven ook een vertrouwensscore. Een domein met alle drie de records goed ingesteld heeft een voorsprong op een domein zonder, ook als het weinig verstuurt.

Zo controleer je of het werkt

De eenvoudigste manier vraagt geen tools:

1. Stuur jezelf een e-mail vanuit je mailbox naar een Gmail-account.
2. Open hem, klik op de drie puntjes en kies Origineel weergeven.
3. Bovenaan zie je drie regels: SPF: PASS, DKIM: PASS en DMARC: PASS. Staat er bij een ervan FAIL, of ontbreekt er een, dan weet je wat je moet nakijken.

Houd er rekening mee dat DNS-wijzigingen van een paar minuten tot een paar uur nodig kunnen hebben om door te komen. Heb je net een record aangemaakt en mislukt de controle, wacht dan even voordat je verder iets aanpast.

De checklist van tien minuten

• Eén SPF-record met alle diensten die namens jou versturen.
• DKIM gegenereerd bij je provider (Google Workspace of Microsoft 365), gepubliceerd in de DNS en ingeschakeld.
• DMARC-record op _dmarc met p=none en een rua-adres voor de rapporten.
• Test met „Origineel weergeven” in Gmail: drie keer PASS.
• Over een paar weken de rapporten bekijken en naar quarantine gaan.

Zo krijgt de e-mail waar je zo hard aan hebt gewerkt in elk geval de kans om gelezen te worden.