SPF, DKIM en DMARC instellen: zo komen je formulier- en zakelijke mails wél aan

Mails in spam? Meestal ontbreekt je mailauthenticatie, of staat ze fout.

SPF, DKIM en DMARC instellen lost dat op.

Het zijn drie kleine DNS-records die ontvangende mailservers, zoals die van Gmail en Outlook, bewijzen dat een mail echt van jouw domein komt.

Ontbreken ze, dan kan iedereen zich als jou voordoen. Dus wantrouwt de ontvanger je mails.

Het verdict: zet alle drie de records, ook als je geen nieuwsbrieven stuurt. Begin DMARC op p=none en word pas strenger als elke verzender slaagt.

Hieronder: wat elk record doet, waarom het je leadflow raakt, en hoe je het opzet zonder mailexpert te zijn.

Waarom belanden mijn zakelijke mails en lead-notificaties in spam?

Omdat de ontvangende server niet kan controleren dat de mail echt van jou komt.

Mailservers vertrouwen tegenwoordig standaard niets.

Elke binnenkomende mail wordt afgewogen op talloze signalen, en authenticatie weegt daarbij zwaar.

Een mail zonder SPF, DKIM en DMARC lijkt op een brief zonder afzender en zonder stempel. Misschien echt, misschien niet. Dus gaat hij voor de zekerheid naar de spamfolder.

Het lek zit in je formuliermails

Het pijnlijke is dat dit vaak ongemerkt gebeurt bij de mails die het meest opleveren: de notificaties van je website.

Mailbezorging hoort daarom bij de technische basis van een B2B-website die leads oplevert, naast snelheid, structuur en vindbaarheid.

Concreet gaat het om de melding die binnenkomt wanneer iemand een contact- of offerteformulier invult.

Veel sites versturen die namens jouw eigen domein. Maar ze doen dat via een mailserver die jouw domein nooit als geldige afzender heeft erkend.

Het gevolg ziet er zo uit:

• een prospect vult netjes je formulier in
• de notificatie landt in spam of komt nooit aan
• je weet niet eens dat je die lead bent misgelopen

Een formulier dat technisch perfect werkt maar waarvan de melding nooit aankomt, blijft een lek in je formulieroptimalisatie.

En elk uur vertraging telt. Waarom snel opvolgen zoveel uitmaakt, staat in onze gids over speed to lead.

Snelle test: vul je eigen contactformulier in en kijk of de melding in je inbox landt, niet in spam.

Wie controleert wat?

Elk record beantwoordt een andere vraag van de ontvangende server:

Wat doet een SPF-record precies?

Het somt op welke servers namens jouw domein mail mogen versturen.

SPF staat voor Sender Policy Framework. Zie het als een gastenlijst aan de deur.

Komt er een mail binnen, dan kijkt de ontvangende server welke server hem verstuurde. Daarna controleert hij of die server op jouw SPF-lijst staat.

Staat hij erop, dan slaagt de SPF-controle. Staat hij er niet op, dan is dat een sterk signaal dat de mail vervalst is.

Zo ziet een SPF-record eruit

In de praktijk is een SPF-record een TXT-record in je DNS. Een eenvoudig voorbeeld: v=spf1 include:_spf.google.com ~all.

Nieuw met DNS? Onze uitleg over wat DNS is helpt, of kort in de DNS-definitie.

Elke partij die namens jou mailt, moet in dat record staan. Denk aan:

• je mailprovider
• je nieuwsbriefsoftware
• het systeem achter je websiteformulieren
• je facturatiesoftware

De meest gemaakte SPF-fout

Bedrijven zetten hun mailprovider erin, maar vergeten de tool die hun formuliernotificaties of facturen verstuurt.

Die mails falen dan stilletjes de controle.

Twee technische grenzen uit de SPF-standaard RFC 7208 verdienen aandacht:

• Eén record: meerdere SPF-records voor hetzelfde domein zijn niet toegelaten en geven een fout (“permerror”).
• Tien lookups: mechanismen zoals include, a en mx tellen samen mee, met een maximum van 10. Daarboven faalt de controle.

Stel: je gebruikt Google Workspace, een nieuwsbrieftool, een CRM en een facturatietool. Elk met een eigen include, en sommige includes verwijzen zelf weer door. Dan zit je sneller aan 10 dan je denkt.

Waarom SPF alleen niet volstaat

SPF kijkt naar het technische afzenderadres, niet naar wat de ontvanger ziet staan. Daarom volstaat SPF op zichzelf niet.

Precies daarom bestaan DKIM en DMARC.

Wat doet DKIM en waarom heb je het naast SPF nodig?

DKIM zet een digitale handtekening op elke mail die je verstuurt.

Voluit heet het DomainKeys Identified Mail.

De ontvanger kan ermee controleren dat de inhoud onderweg niet gewijzigd is en echt van jouw domein komt.

Waar SPF de afzendende server checkt, bewijst DKIM de echtheid van de mail zelf.

Zo werkt het sleutelpaar

DKIM werkt met twee sleutels:

1. Je mailserver ondertekent uitgaande mails met een geheime sleutel.
2. De bijbehorende publieke sleutel publiceer je als DNS-record.
3. De ontvanger haalt die publieke sleutel op en controleert de handtekening.

Zo weet hij of de mail authentiek en onveranderd is.

Je hoeft de cryptografie niet te begrijpen.

In de meeste mailplatforms genereer je de sleutel met een paar klikken en plak je de aangeleverde waarde in je DNS.

Sleutellengte: Google vraagt minstens 1024 bits en raadt 2048 bits aan. Kies 2048 als je platform dat aanbiedt.

Waarom je ze allebei wil

SPF en DKIM dekken twee verschillende risico’s af.

Een mail die door een mailinglijst of doorstuurservice gaat, kan SPF breken maar DKIM behouden. Of omgekeerd.

Met beide records ingesteld blijft er bijna altijd minstens één geldig bewijs over dat de mail echt van jou is.

Wat doet DMARC en wat betekent p=none, quarantine of reject?

DMARC vertelt ontvangers wat ze moeten doen als SPF of DKIM faalt.

Voluit: Domain-based Message Authentication, Reporting and Conformance. Het is het sluitstuk van het trio.

Het doet twee dingen. Het geeft een instructie bij falende mail, en het stuurt jou rapporten over wie er namens jouw domein mailt.

Zonder DMARC zijn SPF en DKIM losse controles. Er is dan geen duidelijke instructie wat er bij twijfel moet gebeuren.

De drie standen van je beleid

Een DMARC-record publiceer je als TXT-record op _dmarc.jouwdomein.be. Het belangrijkste onderdeel is je beleid, het p=-deel, met drie standen:

Let op: p=reject is de strengste stand en het beste tegen misbruik van je domeinnaam. Maar te vroeg aanzetten blokkeert je eigen mail.

Een voorbeeld van een startrecord: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.be. Het rua-adres ontvangt de rapporten.

Volgens de DMARC-standaard RFC 7489 krijg je zonder rua-adres geen geaggregeerde rapporten.

Vergeet het dus niet.

Alignment: waarom DMARC sterker is

DMARC voegt ook het begrip alignment toe.

Het domein in het Van-adres moet overeenkomen met het domein dat SPF of DKIM dekt, zoals RFC 7489 het omschrijft.

Dat is precies wat misbruikers niet kunnen vervalsen. Het is de reden dat DMARC bescherming biedt die SPF en DKIM alleen niet geven.

Bouw het beleid gefaseerd op

De aanbevolen aanpak gaat in stappen:

1. begin op p=none
2. lees enkele weken de rapporten
3. repareer elke verzender die nog faalt
4. schuif op naar quarantine en uiteindelijk reject

Te snel naar reject springen kan legitieme mail blokkeren.

Vuistregel: schuif pas één stand op als de rapporten een paar weken lang geen legitieme verzender meer tonen die faalt.

Is dit verplicht of nice-to-have?

Voor wie veel mail verstuurt, is het een harde voorwaarde.

Wat Gmail, Yahoo en Microsoft eisen

Sinds februari 2024 eisen Gmail en Yahoo dat grote afzenders hun mail authenticeren. Bij Gmail gaat het om zo’n 5.000 mails of meer per 24 uur.

Google somt de eisen op in zijn richtlijnen voor afzenders:

• SPF en DKIM correct ingesteld
• een DMARC-record met minstens p=none
• uitschrijven met één klik voor marketingmails
• een spamratio onder 0,3% in Postmaster Tools

Ook kleinere afzenders moeten volgens dezelfde pagina minstens SPF of DKIM instellen.

Volgens de FAQ bij die richtlijnen voert Gmail de handhaving vanaf november 2025 op.

Niet-conforme mail krijgt dan tijdelijke en definitieve weigeringen.

Microsoft stuurt sinds 5 mei 2025 mail van grote afzenders zonder correcte SPF, DKIM of DMARC naar de map Ongewenste e-mail van Outlook.com.

Ook daar ligt de drempel op 5.000 mails per dag.

En als je weinig mailt?

Verstuur je geen grote nieuwsbrieven, dan val je strikt genomen niet onder die drempel.

Maar de logica geldt voor iedereen. Dezelfde spamfilters beoordelen ook jouw offertemail en jouw formuliernotificatie.

Goede authenticatie is dus geen aparte regel voor grote spelers. Het is de basishygiëne die bepaalt of je dagelijkse zakelijke mail aankomt.

Voor een B2B-bedrijf dat het van leads via de website moet hebben, is dat geen detail.

Doe je outbound? Koude mails vallen sneller op bij spamfilters. Daarvoor geldt extra voorzichtigheid, zie cold email deliverability.

Hoe stel je SPF, DKIM en DMARC in?

In vier stappen, allemaal in het DNS-beheer van je domein.

Stap 1: inventariseer je verzenders

Maak een lijst van alles wat namens jouw domein mailt. Bijvoorbeeld:

• je mailprovider
• je nieuwsbrieftool
• je facturatiesoftware
• het systeem achter je contactformulieren
• je CRM, als dat zelf mails verstuurt

Dit is de stap die de meeste mensen overslaan. Het is ook de stap die de meeste problemen veroorzaakt.

Tip: koppel je formulieren aan een CRM, dan zie je elke lead ook als de mail faalt. Hoe dat werkt, staat in CRM-leadmanagement opzetten.

Stap 2: zet SPF op

Eén TXT-record dat al je verzenders via include-regels opsomt.

Let op: je mag maar één SPF-record per domein hebben. Alles wordt dus in dat ene record gecombineerd, en blijf onder de 10 lookups.

Stap 3: zet DKIM op

Activeer DKIM in elk mailplatform dat je gebruikt. Publiceer daarna de bijbehorende publieke sleutels als DNS-records.

Elk platform levert die waarde kant-en-klaar aan. Je hebt dus per verzender een eigen DKIM-record.

Stap 4: zet DMARC op

Publiceer een DMARC-record op _dmarc.jouwdomein.be. Start op p=none met een rapportadres.

Bouw het beleid daarna stap voor stap op, zoals hierboven beschreven.

Controleer het resultaat

Stuur een testmail naar een Gmail-adres en open de berichtdetails. Daar zie je per controle of ze slaagt:

Of gebruik een gratis online checktool om te zien of alle drie de controles slagen.

DNS-wijzigingen kunnen tot enkele uren duren voor ze overal zichtbaar zijn. Verwacht dus niet dat alles meteen groen staat.

Wanneer opnieuw controleren?

Herhaal de controle telkens als er een verzender bijkomt of verandert:

• je stapt over naar een andere tool, zoals een Mailchimp alternatief
• je kiest nieuwe e-mailmarketingsoftware
• je verhuist je domein, zie domein verhuizen zonder downtime
• je nieuwe website verstuurt formulieren via een andere mailserver

Bonus: DMARC maakt het moeilijker om jouw domein te misbruiken voor phishing. Dat past in je bredere websitebeveiliging.

De korte samenvatting

SPF, DKIM en DMARC zijn samen het bewijs dat een mail echt van jouw domein komt.

• SPF checkt de afzendende server.
• DKIM ondertekent de mail zelf.
• DMARC bepaalt wat er bij twijfel gebeurt en rapporteert wie namens jou mailt.

Zonder dat trio worden je zakelijke mails gewantrouwd.

Vooral je formulier- en lead-notificaties lekken dan weg in spam, precies de mails die het meest opleveren.

Breng je verzenders in kaart, zet de drie records op en bouw DMARC rustig op van monitoren naar afdwingen.

Wij bekijken mailbezorging als onderdeel van een website die betrouwbaar leads binnenhaalt.

Een formulier is pas af als de melding ook echt in je inbox landt.

Wil je zeker weten dat geen lead verloren gaat tussen je site en je mailbox? Neem contact op en we testen je formulieren en records.