E-mails die in de spam-map belanden ondermijnen de betrouwbaarheid van je domein en zorgen ervoor dat belangrijke berichten niet aankomen. Door SPF (Sender Policy Framework) en DKIM (DomainKeys Identified Mail) correct te configureren, verifieer je dat jouw mailserver geautoriseerd is om e-mail te versturen namens je domein. Dit verhoogt de deliverability en het vertrouwen bij ontvangende mailservers.

Wat zijn SPF en DKIM?

SPF (Sender Policy Framework)

SPF is een DNS TXT-record die aangeeft welke mailservers geautoriseerd zijn om e-mail te verzenden voor jouw domeinnaam. Ontvangende mailservers controleren dit record om te verifiëren dat de verzender legitiem is.

DKIM (DomainKeys Identified Mail)

DKIM voegt een digitale handtekening toe aan uitgaande e-mails via een private key op de mailserver. De publieke sleutel wordt gepubliceerd in een DNS TXT-record, waardoor ontvangers de authenticiteit van het bericht kunnen verifiëren.

Wat heb je nodig?

• Toegang tot je DNS-beheeromgeving (https://web1.ping64.net of https://web4.ping64.net )
• Webhosting met e-mail functionaliteit
• Kennis van je verzendende mailserver IP-adres(sen)

SPF configureren

Stap 1: Bepaal je SPF-record

Voor webhosting gebruik je doorgaans:

"v=spf1 a mx include:spf.ping64.net ip6:2a03:3a61:a2:0:0:0:0:2 ~all"

Uitleg van de syntax:

• v=spf1 - SPF versie 1
• include: - verwijst naar SPF-record van andere partij
• ~all - soft fail (e-mails die niet matchen worden gemarkeerd maar niet geblokkeerd)
• -all - hard fail (strengere variant, gebruik alleen als je zeker bent)

Stap 2: SPF-record toevoegen in DNS

1. Log in op https://web1.ping64.net of https://web4.ping64.net
2. Ga naar je DNS-beheer
3. Voeg een TXT-record toe met de volgende gegevens:
   • Naam/Host: @ (of laat leeg voor root domein)
   • Type: TXT
   • Waarde: je SPF-record (zie stap 1)
   • TTL: 3600 (1 uur) of standaardwaarde

Let op: Gebruik maximaal 1 SPF-record per domein. Meerdere SPF-records zorgen voor een validatiefout.

Stap 3: Valideer je SPF-record

Controleer na DNS-propagatie (kan tot 24 uur duren, meestal binnen 1-2 uur):

dig TXT joudomein.nl +short

Of gebruik online tools zoals:

• https://mxtoolbox.com/spf.aspx
• https://www.kitterman.com/spf/validate.html

DKIM configureren

Stap 1: DKIM-sleutel genereren

Als je toegang hebt tot het webpanel:

1. Log in op het webpanel via http://web1.ping64.net:2222 of http://web4.ping64.net:2222
2. Ga naar E-Mail Accounts → ENABLE DKIM

Stap 2: DKIM-record toevoegen in DNS

Door op Enable DKIM te klikken wordt deze record automatisch toegevoegd aan je DNS.

Stap 3: Valideer je DKIM-record

dig TXT default._domainkey.joudomein.nl +short

Of gebruik https://mxtoolbox.com/dkim.aspx

Test door een e-mail te versturen naar een Gmail-account en de headers te inspecteren (Show original) - je moet DKIM: PASS zien.

Aanvullende aanbevelingen

DMARC configureren

DMARC bouwt voort op SPF en DKIM en geeft instructies aan ontvangende servers over hoe om te gaan met verificatiefouten.

Basis DMARC-record:

• Naam: _dmarc
• Type: TXT
• Waarde: v=DMARC1; p=none; rua=mailto:[email protected]

Uitleg:

• p=none - monitormodus (geen actie, alleen rapporten)
• p=quarantine - verdachte mails naar spam
• p=reject - verdachte mails weigeren
• rua= - e-mailadres voor aggregated reports

Aanbeveling: Begin met p=none en analyseer rapporten voordat je overschakelt naar quarantine of reject.

Reverse DNS (PTR-record)

Voor VPS/dedicated servers: zorg dat het IP-adres een correct PTR-record heeft dat verwijst naar je mailserver hostname.

IP-reputatie controleren

Controleer of je server-IP op blacklists staat:

• https://mxtoolbox.com/blacklists.aspx
• https://multirbl.valli.org/

Veelvoorkomende problemen en oplossingen

E-mails komen nog steeds in spam

Mogelijke oorzaken:

• DNS-records zijn nog niet gepropageerd (wacht 24 uur)
• SPF en DKIM zijn geconfigureerd maar DMARC ontbreekt
• Server-IP heeft slechte reputatie of staat op blacklist
• E-mail content triggert spamfilters (te veel hoofdletters, verdachte links, ontbrekende afmeldlink bij nieuwsbrieven)
• Ontbrekende reverse DNS (PTR-record)

Oplossing:

1. Valideer alle records met MXToolbox
2. Stuur testmail naar https://www.mail-tester.com voor complete analyse
3. Controleer IP-reputatie en vraag eventueel delisting aan

SPF hard limit overschreden

SPF heeft een maximum van 10 DNS lookups. Te veel include: statements veroorzaken een validatiefout.

Oplossing:

• Gebruik SPF flattening tools
• Vervang includes door directe IP-adressen waar mogelijk: ip4:192.0.2.1

DKIM signature verification failed

Mogelijke oorzaken:

• Private en publieke sleutel komen niet overeen
• DNS-record bevat typefouten of is onvolledig
• Selector naam in DNS komt niet overeen met mailserver configuratie

Oplossing:

• Regenereer DKIM-sleutelpaar
• Controleer DNS-record op extra spaties of ontbrekende karakters
• Verifieer selector naam (default is standaard)

Meerdere SPF-records

Dit veroorzaakt een validatiefout. Je mag slechts 1 SPF TXT-record hebben.

Oplossing - combineer alle verzendende servers in één record:

v=spf1 include:spf.etheron.nl include:_spf.google.com ip4:203.0.113.10 ~all

Verificatie checklist

• SPF-record gepubliceerd en gevalideerd
• DKIM-sleutel gegenereerd en publieke key in DNS gepubliceerd
• DKIM signature verschijnt in e-mail headers (test met Gmail "Show original")
• DMARC-record aangemaakt (optioneel maar aanbevolen)
• PTR-record correct geconfigureerd (voor VPS/dedicated)
• Test via mail-tester.com geeft score 8/10 of hoger
• IP-adres niet op blacklists
• 24-48 uur gewacht voor volledige DNS-propagatie

Nuttige bronnen

• SPF Record Syntax: http://www.open-spf.org/SPF_Record_Syntax/
• DKIM Core Specification: https://datatracker.ietf.org/doc/html/rfc6376
• DMARC Overview: https://dmarc.org/overview/
• Google Admin Toolbox: https://toolbox.googleapps.com/apps/checkmx/