Komen je mails in de spam terecht? SPF, DKIM en DMARC – eenvoudig uitgelegd

Een klant zegt: „Je offertemail is nooit aangekomen.“ En jij weet zeker dat je hem hebt verstuurd. Komt dat je bekend voor?

Dan ligt het vaak niet aan jou, maar aan ontbrekende records in je domein. E-mail is oud en werd gebouwd toen iedereen op internet elkaar nog vertrouwde. In theorie kan iedereen elke willekeurige afzender invullen. Zodat mailboxen echte mails van vervalste kunnen onderscheiden, zijn er drie controlemethoden: SPF, DKIM en DMARC.

De drie controles in telkens één zin

Alle drie zijn records in de DNS van je domein, dus in het adresboek van het internet. Je ziet ze niet, maar elke grote mailaanbieder leest ze bij elke binnenkomende mail.

Waarom dat nu belangrijk is

De grote mailboxaanbieders hebben de regels aangescherpt. Google eist sinds februari 2024 van alle afzenders naar Gmail minstens SPF of DKIM, plus een versleutelde verbinding en geldige DNS-records. Wie meer dan 5.000 mails per dag verstuurt, heeft SPF, DKIM en DMARC nodig en bij reclamemails een afmelding met één klik. Microsoft volgde voor Outlook.com, Hotmail en Live: sinds 5 mei 2025 worden mails van grote afzenders die de controle niet doorstaan geweigerd – met een foutmelding, niet alleen in de spam gezet.

Verstuur je geen 5.000 mails per dag? Dan gelden de strengste regels niet voor jou. Maar de controles tellen wel mee in de beoordeling van elke mail. Zonder SPF en DKIM belandt ook die ene offertemail sneller in de spam. In Duitsland beveelt het BSI (het Duitse federale bureau voor informatiebeveiliging) alle drie de methoden aan in zijn technische richtlijn voor e-mailauthenticatie (TR-03182).

Zo check je waar je staat

Stuur een mail naar een Gmail- of Outlook-mailbox en open daar de detailweergave van het bericht, meestal „Origineel weergeven“ of „Berichtdetails“. Daar staat bij SPF, DKIM en DMARC telkens „PASS“ of „FAIL“. Staat er overal PASS, dan is de basis gelegd. Staat er ergens FAIL of ontbreekt er iets, dan loont een blik in de DNS-instellingen.

Typische valkuilen:

• Je verstuurt niet alleen via je mailbox, maar ook via je nieuwsbrieftool, webshop, factuurprogramma of ticketsysteem. Elk van die diensten moet in het SPF-record staan of eigen DKIM-sleutels krijgen.
• Er zijn twee SPF-records in plaats van één. Daar houden mailservers helemaal niet van.
• DMARC ontbreekt helemaal. Begin met „p=none”: zo kijk je eerst mee voordat je strenger wordt.
• De DKIM-sleutel is te kort. Google eist minstens 1.024 bit en raadt 2.048 bit aan.

Stap voor stap strenger worden

DMARC kent drie niveaus: „none” (alleen observeren), „quarantine” (verdachte mails naar de spam) en „reject” (weigeren). Wie meteen naar „reject” springt, sluit soms het eigen factuurprogramma buiten. Slimmer is: beginnen met „none”, de rapporten een paar weken lezen, alle echte afzenders invoeren en dan stap voor stap aanscherpen. Uiteindelijk bescherm je daarmee ook je klanten, want oplichters kunnen je domein dan nauwelijks nog gebruiken voor vervalste facturen.

En als er toch iets in de spam belandt?

Correcte records zijn het toegangskaartje, maar niet het hele feest. Mailboxen beoordelen ook de inhoud en de reputatie van je domein. Een paar dingen die vaak helpen:

• Verstuur rondmails niet vanuit je gewone mailbox naar honderden ontvangers, maar via een nieuwsbriefdienst met afmeldlink – en alleen naar mensen die toestemming hebben gegeven.
• Vermijd onderwerpregels in hoofdletters, veel uitroeptekens en mails die alleen uit een afbeelding bestaan.
• Stuur grote bijlagen liever als link naar een veilige download.
• Let op het spampercentage: Google noemt als grens 0,3 procent klachten, liefst ruim daaronder.

Verdwijnt een belangrijke mail toch, dan helpt de foutmelding die vaak terugkomt. Die ziet er cryptisch uit, maar bevat meestal de reden in één regel. Stuur hem gewoon door – voor ons is dat als een röntgenfoto.

DNS klinkt als een kelder zonder licht? Het E-mailmonster stelt SPF, DKIM en DMARC voor je in, controleert alle verzenddiensten en legt je het resultaat in twee zinnen uit. Voor alles rond je domeinen helpt het Domeinmonster.