SPF, DKIM en DMARC instellen
SPF, DKIM en DMARC zijn de drie DNS-instellingen die bewijzen dat jij echt de afzender van je e-mail bent. Zonder deze drie belandt je mail bij grote providers vrijwel zeker in spam.
Wat zijn SPF, DKIM en DMARC en waarom zijn ze verplicht?
SPF, DKIM en DMARC zijn drie DNS-records die samen bewijzen dat jij de echte afzender bent van je e-mail. SPF (Sender Policy Framework) specificeert welke servers namens jouw domein mogen versturen. DKIM (DomainKeys Identified Mail) plaatst een digitale handtekening in de header van elk bericht, zodat de ontvanger kan controleren dat de inhoud onderweg niet is aangepast. DMARC (Domain-based Message Authentication, Reporting and Conformance) combineert beide en geeft aan wat ontvangende servers moeten doen als de controle mislukt: niets doen, het bericht als spam markeren of het weigeren. Zonder deze drie records behandelen Gmail, Outlook en andere grote providers je e-mail als verdacht en plaatsen het in spam of weigeren het volledig. Sinds 2024 eisen Google en Yahoo authenticatie verplicht voor bulk-afzenders. Voor transactionele e-mail is correcte authenticatie de meest directe manier om je bezorgbaarheid te verbeteren.
Hoe werken SPF, DKIM en DMARC precies?
SPF
SPF zegt welke servers namens jouw domein mogen versturen. Ontvangende servers controleren of het verstuurde IP op de lijst staat.
DKIM
DKIM zet een digitale handtekening op je e-mail. De ontvanger kan controleren dat het bericht onderweg niet is aangepast.
DMARC
DMARC vertelt wat ontvangende servers moeten doen als SPF of DKIM faalt: niets (none), spam (quarantine) of weigeren (reject).
Overzicht: SPF, DKIM en DMARC in een tabel
| Record | DNS-type | Wat het doet | Voorbeeld |
|---|---|---|---|
| SPF | TXT @ | Specificeert welke mailservers namens jouw domein mogen sturen | v=spf1 include:spf.wesender.nl ~all |
| DKIM | TXT postal-wesender._domainkey | Plaatst een cryptografische handtekening zodat de ontvanger berichtintegriteit kan controleren | v=DKIM1; k=rsa; p=... |
| DMARC | TXT _dmarc | Instrueert ontvangers wat te doen als SPF of DKIM mislukt (none / quarantine / reject) | v=DMARC1; p=none; rua=mailto:dmarc@joudomein.nl |
1 Stap 1 SPF instellen
Voeg een TXT-record toe op je rootdomein. Voor Wesender is dat:
TypeTXT Naam / Host@ Waardev=spf1 include:spf.wesender.nl ~all Heb je al een SPF-record? Voeg include:spf.wesender.nl toe aan het bestaande record, vóór het ~all of -all. Je mag maar één SPF-record per domein hebben.
2 Stap 2 DKIM instellen
DKIM werkt met een sleutelpaar dat Wesender per domein genereert. Voeg het TXT-record toe op het selector-subdomein:
TypeTXT Naam / Hostpostal-wesender._domainkey Waarde v=DKIM1; k=rsa; p=[sleutel uit je dashboard] De volledige DKIM-waarde (inclusief de lange publieke sleutel) staat in je Wesender-dashboard onder het domein. Kopieer hem als één aaneengesloten string zonder regeleinden.
3 Stap 3 DMARC instellen
Begin voorzichtig met monitoren en verscherp daarna stapsgewijs:
TypeTXT Naam / Host_dmarc Waarde (start) v=DMARC1; p=none; rua=mailto:dmarc@joudomein.nl p=none Start hier Monitoren
Alleen rapporteren. Je mail wordt niet geblokkeerd of gefilterd.
p=quarantine Volgende stap Spam
Verdachte mail gaat naar spam. Gebruik dit als je weet dat je eigen mail slaagt.
p=reject Einddoel Weigeren
Niet-geauthenticeerde mail wordt volledig geweigerd.
Verificatie Controleren of het klopt
Na het toevoegen van de records duurt het even voordat DNS is bijgewerkt. Wesender controleert je DNS automatisch elke minuut, dus je ziet in je dashboard wanneer alles klopt. Verstuur daarna een testbericht en bekijk of alle drie slagen.
1 DNS-records toevoegen bij je domeinnaamregistrar 2 Wachten op DNS-verspreiding (minuten tot uren) 3 Wesender toont groen vinkje in dashboard 4 Testbericht versturen en status bekijken Valkuilen Veelgemaakte fouten
Meerdere SPF-records op één domein. Voeg samen tot één record. De DKIM-selector op de verkeerde plek zetten. Gebruik exact postal-wesender._domainkey.joudomein.nl. Direct op p=reject beginnen. Start met p=none, controleer rapporten, verscherp daarna. DNS-wijzigingen meteen willen controleren. Geef het even tijd. Wesender controleert automatisch. Veelgestelde vragen Vragen over authenticatie
Heb ik alle drie (SPF, DKIM, DMARC) nodig?
Voor goede bezorgbaarheid wel. SPF en DKIM leggen het fundament, DMARC maakt het af en geeft je inzicht via rapportages. Wat is een veilig DMARC-beleid om mee te starten?
Begin met p=none om te monitoren zonder mail te blokkeren. Verscherp daarna stapsgewijs naar quarantine en dan reject zodra je weet dat je eigen mail slaagt. Hoe weet ik of het werkt?
Wesender controleert je DNS automatisch en toont de status in je dashboard. Stuur daarna een testbericht en bekijk of SPF, DKIM en DMARC slagen. Mag ik meerdere SPF-records hebben?
Nee. Je mag maar één SPF-record per domein hebben. Voeg alle includes samen in één record. Wesender controleert je DNS automatisch
Voeg je domein toe in het Wesender-dashboard en wij controleren elke minuut of SPF, DKIM en DMARC kloppen. Je ziet direct een groen vinkje als het goed staat. Data in Europese datacenters, betalen in euro.
Start gratis → 3.000 e-mails per maand gratis. Geen creditcard.