Mail komt in spam? Zo stel je SPF, DKIM en DMARC in

Komt je mail in spam terecht, dan ontbreekt meestal het bewijs dat de mail echt van jouw domein komt. Dat bewijs regel je met drie DNS-records: SPF, DKIM en DMARC. Je zet ze in het DNS-beheer bij de partij waar je domeinnaam staat. Hieronder lees je in gewone taal wat ze doen, hoe de records eruitzien en waar je ze instelt voor Microsoft 365, Google Workspace en nieuwsbriefsoftware zoals ActiveCampaign.

Waarom komt je mail in spam?

Iedereen kan een mail versturen met jouw adres als afzender. Mailproviders zoals Gmail en Outlook willen daarom zien dat de server die de mail verstuurt dat ook mag. Kunnen ze dat niet controleren, dan belandt je mail in de spammap of wordt hij geweigerd.

Google is hier sinds februari 2024 strenger in. Volgens de richtlijnen voor afzenders van Gmail moet elke afzender SPF of DKIM hebben ingesteld. Verstuur je meer dan 5.000 berichten per dag naar Gmail-adressen, dan zijn SPF, DKIM én DMARC verplicht. Meer achtergrond lees je in de nieuwe Gmail-vereisten voor e-mailverzending.

Andere oorzaken van spam zijn onder meer een slechte reputatie van de verzendserver, veel klachten van ontvangers en een tekst die op reclame lijkt. Maar zonder SPF, DKIM en DMARC begin je met een achterstand.

Wat doen SPF, DKIM en DMARC?

Zie het als een brief met een poststempel, een zegel en een instructie voor de postbode.

• SPF is de lijst met servers die namens jouw domein mogen mailen. Komt een mail van een server die niet op de lijst staat, dan is dat verdacht.

• DKIM is een digitale handtekening op elke mail. De ontvanger controleert met een sleutel in je DNS of de mail echt van jou komt en onderweg niet is aangepast.

• DMARC vertelt de ontvanger wat hij moet doen als SPF of DKIM niet klopt: niets, in quarantaine (spam) of weigeren. Je kunt er ook rapporten mee ontvangen over wie er namens jouw domein mailt.

Zo zien de records eruit

Hieronder staan voorbeelden voor het domein jouwdomein.nl. Neem ze niet letterlijk over. De juiste waarden krijg je van je mailprovider.

Let op deze punten:

• Eén SPF-record per domein. Mail je via meerdere diensten, zet ze dan allemaal in hetzelfde record. Bijvoorbeeld Microsoft 365 en je webserver: v=spf1 include:spf.protection.outlook.com a ~all. Twee losse SPF-records zorgen juist voor fouten.

• Begin DMARC met p=none. Dan verandert er nog niets aan de bezorging en zie je eerst in de rapporten of alles goed gaat. Schakel daarna pas over naar p=quarantine of p=reject.

• Geef het tijd. Een nieuw DNS-record kan enkele uren nodig hebben voordat het overal zichtbaar is.

Waar vind je je DNS-records?

DNS-records staan bij de partij waar je domeinnaam geregistreerd is. Dat is vaak je hostingpartij, maar niet altijd. Log in op het klantpaneel en open je domeinnaam. Zoek naar een onderdeel met ‘DNS’ in de naam, zoals DNS-beheer, DNS-instellingen of DNS-zone. Daar voeg je een nieuw record toe: je kiest het type (TXT of CNAME), vult de naam in en plakt de waarde.

Weet je niet waar je domein staat? Zoek je domeinnaam op via de whois van SIDN op sidn.nl. Daar zie je bij welke registrar je .nl-domein geregistreerd is.

Instellen in Microsoft 365

Microsoft beschrijft dit in de handleiding over DKIM voor je eigen domein.

1. SPF: zet in je SPF-record include:spf.protection.outlook.com.

2. DKIM: ga in de Defender-portal (security.microsoft.com) naar E-mail en samenwerking, Beleid en regels, Beleid voor bedreigingen en Instellingen voor e-mailverificatie. Open het tabblad DKIM en kies je domein.

3. Microsoft toont twee CNAME-records met de namen selector1._domainkey en selector2._domainkey. Zet die bij je hoster.

4. Ga na een tijdje terug en zet de schakelaar aan om berichten voor dit domein met DKIM te ondertekenen.

5. DMARC: voeg zelf een TXT-record toe op _dmarc.jouwdomein.nl.

Instellen in Google Workspace

Google beschrijft dit in de help van de Beheerdersconsole onder het instellen van DKIM en SPF.

1. SPF: gebruik je alleen Google Workspace, dan is het record v=spf1 include:_spf.google.com ~all.

2. DKIM: ga in de Beheerdersconsole naar Apps, Google Workspace, Gmail en dan E-mail verifiëren.

3. Kies je domein en klik op Nieuwe record maken. Kies 2048 bits als je hoster dat ondersteunt en laat de selector op google staan. Klik op Genereren.

4. Zet het TXT-record op google._domainkey bij je hoster.

5. Klik daarna in de Beheerdersconsole op Verificatie starten. Volgens Google kan het tot 48 uur duren voordat DKIM werkt.

6. DMARC: voeg een TXT-record toe op _dmarc.jouwdomein.nl.

Nieuwsbriefsoftware verifiëren, zoals ActiveCampaign

Verstuur je nieuwsbrieven via een apart programma, dan mailt die dienst namens jouw domein. Ook die moet je dus verifiëren. Wij werken zelf met ActiveCampaign. Daar regel je dit bij de geavanceerde instellingen van je account, onder het onderdeel voor domeinen.

• Je kiest daar of ActiveCampaign de records via je DNS-provider zelf aanmaakt, of dat je ze handmatig toevoegt.

• Bij handmatig instellen kopieer je de records die ActiveCampaign toont naar je DNS-beheer.

• Volgens ActiveCampaign moet je DKIM goed hebben ingesteld voordat je DMARC op quarantine of reject zet. Anders valt je nieuwsbrief door de DMARC-controle.

Gebruik je Mailchimp, Brevo of een ander pakket, dan werkt het vergelijkbaar. Zoek in de help naar ‘domain authentication’.

Controleren met een gratis checker

Of je records kloppen, controleer je met een gratis tool:

• MXToolbox (mxtoolbox.com) heeft losse checks voor SPF, DKIM en DMARC. Vul je domein in en je ziet direct of het record gevonden wordt en of er fouten in staan.

• mail-tester.com geeft een score voor een echte mail. Je stuurt een mail naar het testadres en ziet daarna wat er beter kan.

Hoe je met mail-tester een contactformulier test, lees je in zo voorkom je dat formulierinzendingen in de spam belanden.

Veelgestelde vragen

Mijn contactformulier verstuurt geen mail. Hoe los ik dat op?

WordPress verstuurt mail standaard via de webserver zelf. Die mails missen vaak een goede DKIM-handtekening en komen daardoor in spam of helemaal niet aan. Met de plugin WP Mail SMTP laat je WordPress mailen via een echte maildienst, zoals Microsoft 365, Google Workspace of een SMTP-dienst. Stel daarna SPF en DKIM in voor die dienst en test het formulier opnieuw.

Heb ik SPF, DKIM en DMARC alle drie nodig?

Voor een goede bezorging wel. Gmail eist voor kleine afzenders minimaal SPF of DKIM, maar met alle drie loop je het minste risico en bescherm je je domein tegen misbruik door oplichters.

Kan ik iets kapot maken met DMARC?

Met p=none niet, want dan verandert er niets aan de bezorging. Zet je DMARC te snel op reject terwijl een dienst nog niet goed is ingesteld, dan worden die mails geweigerd. Kijk dus eerst een paar weken naar de rapporten.

Mijn mail komt nog steeds in spam. Wat nu?

Controleer met MXToolbox of alle records goed staan. Kijk daarna naar je inhoud en je lijst: stuur alleen mail naar mensen die erom gevraagd hebben en maak afmelden makkelijk. Ook een verzendserver met een slechte reputatie kan de oorzaak zijn.

Liever laten regelen?

Komen de mails van je website niet aan of wil je je DNS-records laten nalopen? Bij WordPress-onderhoud controleren we of je website betrouwbaar mailt en lossen we problemen met formulieren op. Host je je site liever bij een partij die dit meeneemt, kijk dan bij WordPress-hosting.