Spam voorkomen: SPF, DKIM en DMARC uitgelegd

Komen je mails bij klanten in de spammap terecht? Of krijg je meldingen dat iemand mail verstuurt die van jouw domein lijkt te komen? Dan is de kans groot dat SPF, DKIM en DMARC niet (goed) zijn ingesteld. Deze drie instellingen zorgen dat ontvangende mailservers kunnen controleren of een mail echt van jou komt. In dit artikel leggen we ze uit in gewone taal, met praktische tips om spam en misbruik te voorkomen.

Waarom komt goede mail in de spam?

Mailproviders zoals Gmail en Outlook krijgen enorme hoeveelheden mail binnen, waaronder veel spam en phishing. Om hun gebruikers te beschermen, controleren ze elke binnenkomende mail. Kunnen ze niet vaststellen dat een mail echt van het afzenderdomein komt, dan is de kans groter dat hij als spam wordt gezien of zelfs wordt geweigerd. Grote providers hebben de afgelopen jaren hun eisen aangescherpt, vooral voor afzenders die veel mail versturen.

SPF: wie mag namens jou mailen?

SPF staat voor Sender Policy Framework. Het is een tekstregel (een DNS-record) bij je domeinnaam waarin staat welke servers mail mogen versturen namens jouw domein. Een ontvangende server kijkt of de server die de mail verstuurde op die lijst staat.

Let op

• Gebruik je meerdere diensten die mail versturen, zoals je mailprovider, een nieuwsbriefprogramma en het contactformulier van je website, dan moeten ze allemaal in je SPF-record staan.
• Een domein mag maar één SPF-record hebben. Twee losse records zorgen voor fouten.
• Er geldt een maximum aan het aantal verwijzingen in een SPF-record. Bij veel diensten kan dat een probleem worden.

DKIM: een digitale handtekening

DKIM staat voor DomainKeys Identified Mail. Je mailserver zet een digitale handtekening op elke uitgaande mail. De bijbehorende publieke sleutel staat in een DNS-record bij je domein. De ontvanger kan daarmee controleren dat de mail echt van jouw domein komt en onderweg niet is aangepast.

Let op

• Elke dienst die namens jou mailt, heeft zijn eigen DKIM-instelling nodig.
• Gebruik een voldoende lange sleutel en vervang sleutels af en toe.

DMARC: wat gebeurt er met mail die niet klopt?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het bouwt voort op SPF en DKIM. Met een DMARC-record vertel je ontvangende servers wat ze moeten doen met mail die de controles niet doorstaat, en waar ze rapporten naartoe kunnen sturen.

De drie niveaus

• p=none: alleen rapporteren, niets blokkeren. Handig om mee te beginnen.
• p=quarantine: verdachte mail in de spammap zetten.
• p=reject: verdachte mail weigeren.

Begin met p=none, bekijk de rapporten om te zien welke diensten namens jou mailen, zet die goed en ga daarna stap voor stap naar quarantine of reject. Zo voorkom je dat je per ongeluk je eigen mail blokkeert.

Hoe hangen ze samen?

SPF controleert de verzendende server, DKIM controleert de handtekening en DMARC bepaalt wat er gebeurt als het niet klopt. DMARC kijkt daarbij ook of het domein in de afzender overeenkomt met het domein dat door SPF of DKIM is gecontroleerd. Samen maken ze het voor oplichters veel moeilijker om mail te versturen die van jouw domein lijkt te komen.

Zo controleer je je instellingen

• Er zijn gratis online tools waarmee je de SPF-, DKIM- en DMARC-records van je domein kunt controleren.
• Stuur een testmail naar een Gmail-adres en bekijk de originele berichtgegevens. Daar zie je of SPF, DKIM en DMARC geslaagd zijn.
• Lees de DMARC-rapporten, of laat iemand dat voor je doen. Ze laten zien welke servers mail versturen met jouw domeinnaam.

Meer tips om in de inbox te komen

• Verstuur nieuwsbrieven alleen naar mensen die zich hebben aangemeld, en maak afmelden makkelijk.
• Houd je adressenlijst schoon en verwijder adressen die niet meer bestaan.
• Gebruik een duidelijke afzendernaam en onderwerpregel, zonder overdreven verkooptaal.
• Zorg dat je website en mail via dezelfde domeinnaam lopen, zodat ontvangers je herkennen.

Na een wijziging opnieuw controleren

Stap je over naar een andere mailprovider, ga je een nieuwsbriefdienst gebruiken of verhuist je website? Dan moeten je records vaak worden aangepast. Controleer na elke wijziging of je mail nog goed aankomt.

Meer over de basis lees je in zakelijke e-mail met je eigen domeinnaam: waarom en hoe en domeinnaam kiezen: tips.

Mail die gewoon aankomt

Bij Krijg Het Online regelen we zakelijke mail inclusief SPF, DKIM en DMARC, en we passen de instellingen aan als je iets verandert. Zo komt je mail aan en is je domein beter beschermd tegen misbruik.