Mail komt in spam bij de klant: zo zet u SPF, DKIM en DMARC op orde

Mail komt in spam: waar het aan kan liggen

Zegt een klant dat uw mail in spam komt, kijk dan eerst naar de afzender en pas daarna naar de tekst. Een ontvangende mailserver, zoals die van Gmail of Outlook, gaat na of een bericht echt komt van het domein dat erop staat. Lukt dat niet, dan beslist die server zelf wat hij doet: het bericht weigeren, het in de map ongewenste e-mail zetten of het toch afleveren.

Deze oorzaken kunt u zelf nakijken:

• Uw domein noemt niet alle verzenders. Gewone mail uit uw mailbox, facturen uit een boekhoudpakket, rapporten uit uw servicesoftware: allemaal met @uwbedrijf.be als afzender, terwijl uw SPF-record er maar één kent.
• Er is geen DKIM-handtekening, of ze staat op naam van het domein van de dienst in plaats van het uwe.
• Er is geen DMARC-record. Dan krijgt u ook geen rapporten over wat er misloopt.
• Er staan twee SPF-records, omdat een nieuw pakket vroeg om "een SPF-record toe te voegen".
• U mailt vanaf een gratis adres. Voor gmail.com of hotmail.com kunt u geen SPF of DKIM instellen, want dat domein is niet van u.
• Ontvangers markeren uw mail als spam. Bij Gmail telt dat mee in het spampercentage van uw domein.

Wat het kost, merkt u later: een factuur die niemand las, een afspraakherinnering die in spam lag, en telkens een telefoontje om alles opnieuw te sturen.

SPF, DKIM en DMARC in gewone woorden

Alle drie zijn records in de DNS van uw domein, de lijst die uw domeinbeheerder bijhoudt. Ze vertellen een ontvanger wat hij mag verwachten van mail met uw domein als afzender.

DMARC kijkt ook of het domein waarvoor SPF of DKIM slaagt, hetzelfde is als het domein in het Van-adres dat uw klant ziet. Slaagt een factuurdienst voor SPF met zijn eigen domein, dan telt dat voor uw DMARC niet mee; het domein moet het uwe zijn.

In welke volgorde stelt u SPF, DKIM en DMARC in?

1. Maak de lijst van alles wat met uw domein mailt. Uw mailbox, het boekhoudpakket, uw servicesoftware, de nieuwsbrief, het contactformulier van de website. Vraag elke dienst welke SPF-regel en welke DKIM-sleutel hij nodig heeft.
2. Zet SPF in één record. Volgens Microsoft is er maar één SPF-record per domein toegestaan, en mislukt de controle als ze meer dan tien DNS-zoekopdrachten vraagt. Voor een dienst die u niet zelf beheert, zoals een nieuwsbrief, raadt Microsoft een subdomein aan, bijvoorbeeld nieuws.uwbedrijf.be.
3. Zet DKIM aan bij elke dienst. De dienst maakt de sleutel aan, u zet de record bij uw domeinbeheerder, daarna zet u de ondertekening aan. Volgens Google kan het tot 48 uur duren voor de verificatie werkt. Voor Microsoft 365 staat de werkwijze in de handleiding van Microsoft.
4. Publiceer daarna DMARC, op "none". Google vraagt eerst SPF en/of DKIM aan te zetten, 48 uur te wachten en te beginnen met het beleid none, bijvoorbeeld "v=DMARC1; p=none; rua=mailto:[email protected]". De rapporten komen binnen op het adres na rua; Google raadt daarvoor een aparte mailbox aan.
5. Lees de rapporten en verstrak daarna. Faalt een bron die van u is, voeg ze dan toe of geef ze een subdomein. Slagen uw eigen bronnen, dan gaat u volgens Google in de loop van de tijd naar quarantine of reject.

De records zet u bij uw domeinbeheerder, of u laat ze zetten door uw IT-partner, met de lijst uit stap 1.

Hoe kijkt u na of SPF, DKIM en DMARC werken?

Stuur een testmail naar een Gmail-adres en een Outlook.com-adres die u zelf beheert, en open de volledige koptekst: in Gmail via Meer en Origineel tonen (hulp van Google), in Outlook via de kopteksten van internetberichten. Zoek de regel Authentication-Results.

De betekenis van elke waarde staat in de uitleg van Microsoft over berichtkoppen.

Wat vragen Gmail en Outlook van afzenders?

Gmail vraagt in zijn richtlijnen voor e-mailafzenders van elke afzender naar persoonlijke Gmail-accounts onder meer SPF of DKIM, geldige DNS-records voor het verzenddomein of IP-adres, een TLS-verbinding en een spampercentage onder 0,3 % in Postmaster Tools. Wie 5.000 of meer berichten per dag stuurt, heeft SPF én DKIM nodig, een DMARC-record (het beleid none volstaat), een Van-domein dat overeenkomt met het SPF- of DKIM-domein en, voor marketingberichten, afmelden met één klik.

Outlook.com vraagt van wie 5.000 of meer berichten met hetzelfde domein naar de consumentendiensten van Microsoft stuurt: SPF en DKIM die slagen, een DMARC-record (minstens p=none) en SPF of DKIM die overeenkomt met het Van-domein. Anders weigert Outlook.com het bericht met de fout 550 5.7.515.

Met SPF, DKIM en DMARC op orde voldoet u aan de verificatie die beide aanbieders van grote afzenders vragen, ook als u ver onder die drempel blijft. Hoe de mailserver van een bedrijfsklant filtert, bepaalt die klant zelf.

Goede gewoonten voor facturen, rapporten en herinneringen

• Eén domein, uw eigen, nooit een gratis adres.
• Een antwoordadres dat iemand leest, zodat een vraag over een factuur bij de boekhouding aankomt.
• Een onderwerp dat de klant herkent, zoals "Factuur 2026-0412 van [bedrijfsnaam]".
• Een paar zinnen bij de bijlage: wie u bent, waarover het gaat en wie de klant kan bellen.
• Geen verkorte links. De klant moet zien waar een link naartoe gaat.
• Een testmail na elke nieuwe dienst die mailt, zodra die in SPF en DKIM staat.

Een voorbeeld: rapporten van een warmtepompinstallateur in spam

Een bedrijf dat warmtepompen plaatst en onderhoudt, mailt vanuit zijn kantoormailbox, zijn boekhoudpakket en zijn servicesoftware, telkens met hetzelfde domein. Particuliere klanten met een Gmail-adres vinden de rapporten in hun spam. De zaakvoerder stuurt een testrapport naar zijn eigen Gmail-adres en leest in de koptekst spf=permerror en dkim=none. Een DMARC-record is er niet.

Zijn IT-partner vindt twee SPF-records: het oude van de hosting en een nieuw voor het boekhoudpakket. Hij voegt ze samen tot één record met de drie diensten en zet DKIM aan waar het ontbrak. Twee dagen later publiceert hij DMARC op none, met de rapporten naar een aparte mailbox. Na een week tonen die rapporten nog één bron die faalt, de nieuwsbriefdienst, die een eigen subdomein krijgt. De volgende testmail toont spf=pass, dkim=pass en dmarc=pass.

Hoe dat werkt in Digitalnatie Service Suite

Service Suite stuurt onder meer interventierapporten, facturen, uitnodigingen en wachtwoordlinks per e-mail. Om ze vanaf het adres van uw bedrijf te laten vertrekken, koppelt de beheerder een domein en een uitgaande server in Configuratie › E-mail en communicatie.

• Domein en server: in Afzender, blok Maildomeinen, voegt de beheerder uw Domein toe. In Mailservers koppelt hij de Uitgaande mail (SMTP) van uw mailprovider: server, poort, beveiliging (bijvoorbeeld STARTTLS op poort 587), gebruikersnaam en wachtwoord. Het E-mailadres van uw bedrijf staat op de documenten en dient als antwoordadres.
• Testen: Testmail sturen stuurt een bericht naar uw eigen adres, langs de echte weg: server, afzender en domein. Lees de koptekst ervan zoals hierboven. Vertrekt de e-mail nog onder een domein van het platform, dan toont het scherm een gele waarschuwing.
• Facturen en rapporten: Versturen op een geboekte factuur en Rapport verzenden op een afgewerkte interventie sturen de pdf per e-mail, vanaf het gekoppelde e-mailaccount. De melding "Rapport verzonden" toont de ontvanger, de afzender en "aanvaard door de mailserver". Meer over de facturatie.
• Herinneringen: er vertrekt geen e-mail naar een klant zolang het e-mailaccount van uw organisatie niet gekoppeld is. Voor uw eigen regels in Werk › Automatiseringen moet ook E-mails aan klanten toegestaan aan staan, een instelling die u aan Digitalnatie vraagt.

Goed om te weten:

• De DNS-records, zoals MX, SPF en DKIM, stelt u in bij uw domeinbeheerder, niet in de applicatie. Welke waarden u nodig hebt, hangt af van de uitgaande server die u koppelt: vraag ze aan uw mailprovider of IT-partner.
• Zodra de e-mail gekoppeld is, zijn de verzendingen echt. Zonder gekoppelde e-mail downloadt u het document en bezorgt u het zelf.
• "Aanvaard door de mailserver" bevestigt dat de server het bericht aannam. In welke map het bij de klant terechtkomt, staat er niet bij.

Wat u doet als een factuur onbetaald blijft, leest u in een betalingsherinnering sturen, en wat er in het rapport hoort in het interventierapport naar de klant. Over de mail die klanten u sturen, gaat een gedeelde mailbox voor serviceaanvragen.

Veelgestelde vragen

Waarom komt mijn mail in spam terecht bij klanten?

Een ontvangende server gaat na of het bericht echt van uw domein komt. Staat de verzendende dienst niet in uw SPF-record, ontbreekt een DKIM-handtekening of heeft uw domein geen DMARC-record, dan kan hij dat niet nagaan en beslist hij zelf wat hij met het bericht doet. Bij Gmail telt ook mee hoe vaak ontvangers uw mail als spam markeren.

Wat is het verschil tussen SPF, DKIM en DMARC?

SPF zegt welke servers mogen mailen met uw domein als afzender. DKIM zet een handtekening op elk bericht, die de ontvanger controleert met een sleutel in uw DNS. DMARC zegt wat een ontvanger moet doen met mail die SPF en DKIM niet haalt voor uw domein, en naar welk adres hij rapporten stuurt.

Moet ik DMARC meteen op reject zetten?

Nee. Google raadt aan te beginnen met het beleid none, de rapporten te lezen en pas in de loop van de tijd naar quarantine of reject te gaan. Zo ziet u eerst welke diensten met uw domein mailen, voor hun berichten geweigerd worden.

Stelt Service Suite SPF, DKIM of DMARC voor mij in?

Nee. De DNS-records stelt u in bij uw domeinbeheerder. In Service Suite koppelt de beheerder uw domein en de uitgaande server van uw mailprovider, en stuurt hij een testmail langs de echte weg. In de koptekst van die testmail ziet u of de controles slagen.