SPF, DKIM en DMARC instellen voor zakelijke e-mail

Als je offertes, facturen of koude mails in de spam belanden, controleer dan je DNS voordat je één onderwerpregel herschrijft. Mailproviders beslissen vooral op basis van de vraag of je domein bewijst dat het een bericht zelf verstuurde, of ze het vertrouwen. Drie records leveren dat bewijs, en veel zakelijke domeinen missen er minstens één.

Sinds februari 2024 eisen Gmail en Yahoo SPF, DKIM en DMARC van iedereen die meer dan 5.000 berichten per dag naar hun gebruikers stuurt, en ze vragen een spamklachtpercentage onder 0,3%. De mailboxen van Outlook.com, Hotmail en Live van Microsoft kregen in mei 2025 vergelijkbare regels voor grote volumes. Misschien verstuur je veel minder dan 5.000 per dag. In de praktijk gelden de controles toch voor jou, want kleine afzenders zonder authenticatie worden als eerste gefilterd.

Dit kost ongeveer een uur. Je hoeft geen code te schrijven. Je hebt toegang nodig tot de plek waar het DNS van je domein staat en tot de beheerconsole van je mailprovider.

Table of contents

Open Table of contents

• Wat elk record doet
• Stap 1: Inventariseer alles wat namens je domein verstuurt
• Stap 2: Controleer wat je nu hebt
• Stap 3: Publiceer één SPF-record
• Stap 4: Zet DKIM aan voor elke afzender
• Stap 5: Voeg DMARC toe met p=none en lees de rapporten
• Stap 6: Ga naar handhaving
• Laat Claude of ChatGPT het doen
• Controleer en houd het gezond

Wat elk record doet

1. SPF is een lijst, gepubliceerd in DNS, van de diensten die mogen mailen namens je domein. De ontvangende server vergelijkt de verzendende server met die lijst.
2. DKIM is een handtekening die je mailprovider aan elk bericht hangt. De bijbehorende publieke sleutel staat in je DNS, zodat de ontvanger kan nagaan dat het bericht niet is gewijzigd en echt via je provider is verstuurd.
3. DMARC vertelt ontvangers wat ze moeten doen als SPF en DKIM voor je domein falen, en waarheen rapporten gaan. Het eist ook dat het geauthenticeerde domein overeenkomt met het zichtbare Van-adres.

Zonder DMARC zijn SPF en DKIM slechts adviserend. Met DMARC krijg je een rapport van wie er in jouw naam mailt, inclusief de afzender die je vergeten was.

Stap 1: Inventariseer alles wat namens je domein verstuurt

Dit is de stap die mensen overslaan, en daarom breken ze later hun eigen mail. Schrijf alles op wat vanaf je domein verstuurt:

• Je mailboxen (Microsoft 365, Google Workspace of wat GoDaddy heeft ingericht)
• Je e-mailmarketingplatform
• Je CRM en facturatietool
• De formulieren op je website en de transactionele mail van WordPress
• Je helpdesk en elke planningstool

Als je een Microsoft 365-mailbox via GoDaddy gebruikt, legt mijn uitleg over hoe inloggen op GoDaddy-e-mail nu werkt uit waarom het beheer in het Microsoft-portaal zit. Daar zet je DKIM aan.

Stap 2: Controleer wat je nu hebt

Open een gratis tool zoals MXToolbox, de Check MX van Google Admin Toolbox of de DMARC-checker van dmarcian en voer je domein in. Noteer drie dingen:

• Is er precies één TXT-record dat begint met v=spf1? Twee is een fout, geen reserve.
• Toont je provider DKIM als ondertekenend?
• Is er een TXT-record op _dmarc.jouwdomein.com?

Nog beter: stuur een testbericht van je zakelijke adres naar een Gmail-account, open het, kies “Origineel weergeven” en lees bovenaan de regels voor SPF, DKIM en DMARC. Elke regel moet PASS tonen.

Stap 3: Publiceer één SPF-record

Voeg één TXT-record toe op de root van je domein. Het somt elke afzender op met een include: en eindigt met een beleid.

Veelgebruikte includes:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• Je e-mailmarketingplatform en CRM publiceren elk hun eigen include-waarde in hun documentatie. Kopieer die daar en niet uit een blogartikel, dit artikel inbegrepen.

Een typisch resultaat is v=spf1 include:spf.protection.outlook.com include:waarde-van-je-esp ~all.

Twee regels veroorzaken de meeste SPF-fouten. Eén: één record per domein. Voeg nieuwe afzenders samen in de bestaande regel in plaats van een tweede record toe te voegen. Twee: SPF staat in totaal 10 DNS-opzoekingen toe, en elke include: telt mee, ook de geneste. Bij meer dan tien behandelen ontvangers SPF als een permanente fout. Zit je dicht tegen de limiet, haal dan diensten weg die je niet meer gebruikt voordat je iets toevoegt.

Gebruik ~all (soft fail) zolang je nog afzenders ontdekt, en overweeg -all zodra je DMARC-rapporten schoon zijn.

Stap 4: Zet DKIM aan voor elke afzender

DKIM configureer je in elke verzendende dienst en publiceer je daarna in DNS.

• Microsoft 365: open in het Microsoft Defender-portaal de DKIM-instellingen onder e-mailauthenticatie, kies je domein en schakel ondertekening in. Eerst krijg je twee CNAME-records (selector1._domainkey en selector2._domainkey) om aan je DNS toe te voegen. Inschakelen mislukt totdat ze zijn doorgevoerd, wat enkele uren kan duren.
• Google Workspace: genereer in de Admin-console onder Gmail-authenticatie een sleutel voor je domein, publiceer het getoonde TXT-record en klik op Authenticatie starten.
• Al het andere: je e-mailmarketingplatform, CRM en facturatietool hebben elk een scherm “domeinauthenticatie” of “verzenddomein” dat je records geeft om in je DNS te plakken.

Doe dit voor elke afzender uit je inventaris, niet alleen voor je mailbox. Een marketingplatform dat met zijn eigen domein in plaats van het jouwe ondertekent, slaagt voor DKIM en faalt toch op DMARC-alignment.

Stap 5: Voeg DMARC toe met p=none en lees de rapporten

Maak een TXT-record met de naam _dmarc met deze waarde:

v=DMARC1; p=none; rua=mailto:dmarc-reports@jouwdomein.com

p=none verandert niets aan de bezorging. Het start de rapporten. Ruwe DMARC-rapporten zijn XML-bestanden die niemand leest, dus wijs rua naar een gratis rapportagedienst. Verschillende aanbieders van DMARC-monitoring hebben een gratis laag die de XML omzet in een lijst van verzendbronnen met aantallen geslaagd en gefaald.

Laat het twee tot vier weken op p=none. Zoek legitieme afzenders die falen, zoals een oude facturatietool of een vergeten formulierplugin, en herstel elk door het aan SPF toe te voegen of de DKIM ervan aan te zetten.

Stap 6: Ga naar handhaving

Zodra al je echte afzenders slagen:

1. Wissel naar p=quarantine; pct=25, zodat een kwart van de falende berichten in de spam belandt. Houd het een week in de gaten.
2. Verhoog pct naar 100.
3. Ga naar p=reject.

Met reject kunnen anderen je domein niet meer vervalsen in phishingmails aan je klanten, en dat beschermt je naam net zo goed als je bezorgpercentage.

Laat Claude of ChatGPT het doen

Plak dit in een van beide, met je eigen gegevens. Dan hoef je de helppagina’s van elke provider niet te lezen.

Ik beheer de e-mail voor het domein [jouwdomein.com]. Mijn mailboxen staan bij [Microsoft 365 / Google Workspace]. Ik verstuur ook mail vanuit [noem je marketingplatform, CRM, facturatietool, websiteformulieren]. Geef me: (1) het exacte SPF-TXT-record om als één samengevoegde regel te publiceren, (2) de DKIM-installatiestappen in het beheerscherm van elke dienst, (3) een eerste DMARC-record met rua-rapportage en (4) een plan om in vier stappen p=reject te bereiken. Zeg me welke waarden ik uit de documentatie van elke leverancier moet kopiëren in plaats van jou te vertrouwen, en tel de DNS-opzoekingen in het SPF-record.

Controleer voor je iets publiceert de include:-waarden aan de hand van de actuele helppagina van elke leverancier. Modellen verzinnen aannemelijk ogende include-hosts, en een foute faalt ongemerkt.

Controleer en houd het gezond

Herhaal nadat het DNS is doorgevoerd de Gmail-test “Origineel weergeven” vanaf elke afzender, niet alleen vanaf je mailbox. Verstuur vanuit je CRM, je facturatietool en een websiteformulier. Elk bericht moet PASS tonen voor SPF, DKIM en DMARC.

Zet daarna een terugkerende herinnering in je agenda om de DMARC-rapporten elk kwartaal te bekijken. Authenticeer elke nieuwe tool die klanten mailt namens je domein nog dezelfde dag. Bouw je een lijst op of verstuur je nieuwsbrieven, dan behandelt hoe je een e-maillijst opbouwt de verzendkant, en de beste e-mailmarketingdiensten voor kleine bedrijven noemt platforms die je tijdens de installatie door de domeinauthenticatie leiden.