SPF, DKIM en DMARC: zo belandt je zakelijke mail niet in de spam

Je verstuurt een offerte en hoort niks terug. Weken later blijkt: de mail zat in de spam. Frustrerend — en vaker dan je denkt ligt de oorzaak niet bij de ontvanger, maar bij drie onzichtbare instellingen van je eigen domein: SPF, DKIM en DMARC. Sinds Gmail en Microsoft in 2024 hun regels aanscherpten, is dit geen technisch detail meer maar een voorwaarde om überhaupt bezorgd te worden. Gelukkig is het in gewone taal prima uit te leggen.

Waarom dit bestaat: iedereen kan jouw afzender naapen

E-mail is een oud systeem: technisch kan iedereen een mail versturen met jouw domein als afzender. Daar maken oplichters dankbaar gebruik van. SPF, DKIM en DMARC zijn drie afspraken — vastgelegd als DNS-records bij je domein — waarmee ontvangende mailservers kunnen controleren of een mail écht namens jou is verstuurd. Staan ze goed, dan komt je mail betrouwbaarder over. Ontbreken ze, dan behandelen Gmail en Outlook je post met wantrouwen.

De drie records in gewone taal

• SPF: de gastenlijst. Een lijstje met servers die namens jouw domein mogen mailen — je mailprovider, je nieuwsbriefdienst, je webshop. Stuurt een server die niet op de lijst staat, dan valt dat op.
• DKIM: het waszegel. Elke mail krijgt een digitale handtekening mee. De ontvanger kan daarmee controleren dat de mail echt van jou komt én onderweg niet is aangepast.
• DMARC: de instructie. Dit record vertelt ontvangers wat ze moeten doen met mail die de controles niet doorstaat: gewoon bezorgen, in de spam zetten of weigeren — en waar ze rapportages naartoe mogen sturen.

Vergeet de mail vanaf je website niet

Hier gaat het in de praktijk het vaakst mis. Je contactformulier en je webshopmails (orderbevestigingen!) worden standaard verstuurd door je webserver — en die staat zelden op de SPF-gastenlijst. Gevolg: klanten ontvangen hun bevestiging niet en jij mist aanvragen. De oplossing is je website via SMTP of een maildienst laten versturen, met een plugin zoals WP Mail SMTP, zodat die mails via een goedgekeurde server lopen en netjes ondertekend worden.

Zo controleer je het

Met een gratis tool als MXToolbox of Learndmarc.com zie je binnen een minuut of je domein SPF, DKIM en DMARC goed heeft staan. Stuur ook eens een testmail naar een Gmail-adres en bekijk daar de “originele berichtweergave”: daar staat per controle een pass of fail. Drie keer pass? Dan zit het goed. Zie je een fail — of heb je nog helemaal geen DMARC-record — dan is dat meestal in een uurtje door je websitebeheerder of hostingpartij recht te zetten.

Twijfel je of de mails van jouw website en domein goed aankomen? We checken het graag voor je.