E-mail die aankomt: SPF, DKIM en DMARC uitgelegd voor ondernemers

Een klant vult je contactformulier in, maar je antwoord komt nooit aan. Of je offerte belandt in de spammap. Vaak ligt dat niet aan de inhoud van de mail, maar aan de techniek eromheen: je domein heeft niet bewezen dat jij de afzender bent. Daar dienen drie DNS-instellingen voor: SPF, DKIM en DMARC. In dit artikel leggen we uit wat ze doen, wat Gmail van afzenders eist en hoe je ze stap voor stap controleert.

Het probleem: afzenders zijn makkelijk te vervalsen

In e-mail kan elke server beweren dat een bericht van jouw domein komt. Daarom hebben ontvangers technieken nodig om te controleren of een bericht echt van jou is. Dat beschermt jou (tegen misbruik van je domein voor phishing) en je klanten, en het verhoogt de kans dat je eigen mail wordt afgeleverd.

SPF: wie mag namens mijn domein versturen?

Sender Policy Framework (SPF), beschreven in RFC 7208, laat je in een DNS-record vastleggen welke servers e-mail mogen versturen voor je domein. De ontvangende server vergelijkt de afzender met die lijst. Heb je meerdere diensten die mail versturen (bijvoorbeeld je mailbox, je nieuwsbriefdienst en je factuurprogramma), dan moeten ze allemaal in één SPF-record staan. Meerdere SPF-records voor hetzelfde domein veroorzaken fouten.

DKIM: is het bericht onderweg onveranderd gebleven?

DomainKeys Identified Mail (DKIM), beschreven in RFC 6376, voegt een digitale handtekening toe aan elk bericht. De verzendende dienst tekent met een privésleutel; de bijbehorende publieke sleutel staat in jouw DNS. De ontvanger kan daarmee controleren dat het bericht door een gemachtigde dienst is verstuurd en niet onderweg is aangepast. Elke dienst die voor jou mailt, heeft doorgaans zijn eigen DKIM-instelling, die je bij je DNS-beheerder invoert.

DMARC: wat moet er gebeuren als het misgaat?

Domain-based Message Authentication, Reporting and Conformance (DMARC), beschreven in RFC 7489, bouwt voort op SPF en DKIM. Je geeft in DNS aan wat ontvangers moeten doen met berichten die de controle niet doorstaan: niets (“none”), in quarantaine plaatsen of weigeren. Bovendien kun je rapporten laten sturen, zodat je ziet wie er mail verstuurt namens jouw domein. Een belangrijk onderdeel is alignment: het domein in het zichtbare “Van”-adres moet overeenkomen met het domein dat SPF of DKIM heeft goedgekeurd.

Wat vraagt Gmail van afzenders?

Gmail publiceert eisen voor afzenders. Volgens de officiële hulppagina gelden sinds 1 februari 2024 deze eisen voor alle afzenders naar Gmail-accounts:

• SPF of DKIM instellen voor het verzenddomein.
• Geldige forward- en reverse-DNS-records (PTR) voor de verzendende servers.
• Een TLS-verbinding gebruiken voor het verzenden.
• Het spampercentage in Postmaster Tools onder 0,3 procent houden.
• Berichten opmaken volgens RFC 5322.
• Geen Gmail-afzenderadressen vervalsen.

Wie meer dan 5.000 berichten per dag naar Gmail-accounts stuurt, moet daarbovenop SPF én DKIM én DMARC instellen (het DMARC-beleid mag op “none” staan), zorgen voor alignment tussen het “Van”-domein en het SPF- of DKIM-domein, en bij marketing- en abonnementsmail een eenklik-afmeldoptie en een zichtbare afmeldlink aanbieden. Als je onder die drempel zit, adviseert Google toch alle drie in te stellen, omdat dat de kans vergroot dat berichten worden afgeleverd.

Zo controleer je wat je nu hebt

1. Maak een lijst van alle diensten die mail versturen met jouw domein: mailbox, website (contactformulier), nieuwsbriefdienst, boekhouding, CRM, webshop.
2. Zoek je huidige DNS-records op bij je domeinregistrar of hosting. Controleer of er precies één SPF-record is en of elke dienst erin voorkomt.
3. Activeer DKIM bij elke dienst die dat ondersteunt en voer de gevraagde records in DNS in.
4. Zet DMARC eerst op “none” met een rapportageadres. Zo zie je wat er gebeurt zonder dat mail wordt geblokkeerd.
5. Stuur een testbericht naar een Gmail-adres en bekijk via “Origineel weergeven” of SPF, DKIM en DMARC op “PASS” staan.
6. Verscherp DMARC pas naar quarantaine of reject als de rapporten laten zien dat al je legitieme afzenders slagen.

Contactformulieren: een klassieke valkuil

Veel websites sturen formuliermail via de webserver, met jouw eigen adres als afzender. Die server staat vaak niet in je SPF-record en heeft geen DKIM-handtekening. Het resultaat: je eigen formuliermail belandt in spam of wordt geweigerd. De betere aanpak is verzenden via een geauthenticeerde mailbox of een transactionele maildienst waarvoor je SPF en DKIM hebt ingesteld, en het “Van”-adres een adres van je eigen domein te laten zijn.

Andere dingen die de aflevering beïnvloeden

• Spamklachten. Gmail noemt een spampercentage onder 0,3 procent als eis. Stuur dus alleen naar mensen die er echt voor kozen en maak afmelden makkelijk.
• Consistente afzender. Wissel niet steeds van adres of domein.
• Heldere inhoud. Geen misleidende onderwerpregels en niet alleen afbeeldingen.
• Opgeschoonde lijsten. Verwijder adressen die steeds terugkaatsen.

Wat je er niet van moet verwachten

SPF, DKIM en DMARC garanderen geen inbox-plaatsing. Ze zijn een voorwaarde dat ontvangers je als betrouwbaar kunnen herkennen. Of een bericht in de inbox of spam belandt, hangt ook af van gedrag van ontvangers en van de reputatie van je domein en verzendende server.

Tot slot

E-mail instellen klinkt klein, maar het raakt direct je omzet: offertes, bevestigingen en facturen moeten aankomen. Bij CUBO Agency controleren we bij elk project de DNS-instellingen voor mail en leggen we hosting en onderhoud goed vast. Wil je ook repetitieve mailstromen automatiseren? Bekijk dan automatisering of plan een gratis kennismaking.

Bronnen

Gecontroleerd op 28 oktober 2026 aan de hand van de bronnen hieronder. Regels en richtlijnen veranderen; dit artikel is algemene informatie en geen juridisch of fiscaal advies.

• Email sender guidelines (Gmail Help)
• RFC 7208: Sender Policy Framework (SPF) (IETF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (IETF)
• RFC 7489: DMARC (IETF)

Plan kennismaking