Wat SPF, DKIM en DMARC elk bewijzen, hoe ze samenwerken, en een builder die geldige SPF- en DMARC-records schrijft en SPF DNS-lookups telt.
SPF somt de servers op die namens uw domein mail mogen versturen. DKIM voegt een handtekening toe die bewijst dat een bericht niet is gewijzigd en die het ondertekenende domein noemt. DMARC controleert of een van beide slaagt voor het domein in de Van-regel en vertelt ontvangers vervolgens of mail die faalt moet worden afgeleverd, in quarantaine geplaatst of geweigerd.
Wat elk record is en waar het staat
Als u facturen, boekingsbevestigingen of nieuwsbrieven vanaf uw eigen domein verstuurt, bepalen deze drie DNS-vermeldingen of ze in de inbox of in de spammap belanden. Elk is een TXT-record, een vrije tekstregel in DNS die u bij uw DNS-host kunt toevoegen. De builders hieronder schrijven de SPF- en DMARC-regels voor u en controleren de syntaxis aan de hand van de gepubliceerde standaarden. DKIM werkt anders: uw e-mailprovider genereert de sleutel, dus u kopieert de waarde in plaats van er zelf een te schrijven.
Sinds oktober 2026 vraagt Gmail elke afzender om SPF of DKIM, en wie 5,000 of meer berichten per dag naar Gmail-accounts stuurt, heeft SPF, DKIM en DMARC nodig. Yahoo vraagt bulkverzenders om SPF, DKIM en een DMARC-beleid van minstens p=none. Alle drie instellen is voor elk zakelijk domein het eenvoudige antwoord.
Het teken voor all is een qualifier. Een min betekent fail, een tilde betekent softfail, een vraagteken betekent neutral en een plus betekent pass. De meeste domeinen eindigen op -all of ~all; +all zou elke server op internet goedkeuren en mag nooit worden gebruikt.
De SPF-standaard zegt dat controleurs moeten stoppen na 10 termen die een DNS-query vereisen: include, a, mx, ptr, exists en redirect. Includes binnen includes tellen ook mee. Wie eroverheen gaat, krijgt een permanente fout (permerror), zodat SPF niet meer als pass telt.
DMARC telt een pass alleen als het domein dat SPF of DKIM heeft gecontroleerd overeenkomt met het domein in de Van-regel. Soepele alignment, de standaard, accepteert een subdomein van dezelfde organisatie; strikte alignment vereist een exacte overeenkomst.
In de beheeromgeving van uw e-mailprovider, meestal onder authenticatie of domeininstellingen. U krijgt een selectornaam en een publieke sleutel. U publiceert die bij die selector onder _domainkey, en de provider ondertekent uitgaande mail met de bijbehorende privésleutel.
Dat kan, als een dienst die als uw domein verstuurt ontbreekt in SPF en niet met DKIM ondertekent. Daarom komen de rapporten van p=none eerst: ze tonen elke server die als u verstuurt, zodat u die kunt oplossen voordat u het beleid aanscherpt.
Tags worden gescheiden door puntkomma's. v moet als eerste komen en p is verplicht; al het andere is optioneel.
DMARC-tags uit RFC 7489
Eén include en één IP-adres kosten samen één DNS-lookup, en al het andere faalt.
Selector s1 op example.com wordt opgezocht op s1._domainkey.example.com. De sleutel zelf komt van uw provider.
Er wordt nog niets geblokkeerd; ontvangers sturen dagelijkse overzichten van wie als uw domein heeft gemaild.
SPF-recordbuilder
Vink de diensten aan die als uw domein versturen en voeg andere servers toe. Het resultaat komt in één TXT-record bij @.
Diensten die uw mail versturen
Extra IPv4-adressen of -bereiken, gescheiden door spaties
Andere include-domeinen van uw providers, gescheiden door spaties
Mail van niet-vermelde servers
DMARC-recordbuilder
Publiceer het resultaat als een TXT-record met de naam _dmarc. Begin met none en scherp daarna aan.
Beleid (p)
Verzamelrapporten sturen naar (e-mail)
Percentage falende mail waarop het beleid van toepassing is (pct)
DKIM-alignment (adkim)
SPF-alignment (aspf)
Recordnaam
Recordwaarde
Weigeren (-all)
Markeren als verdacht (~all)
Geen oordeel (?all)
DNS-lookups in dit record: {n} van 10. Includes binnen de records van uw providers komen daar nog bij.
Meer dan 10 lookups: ontvangers geven een permanente fout.
Geen geldig IPv4-adres of -bereik: {v}
Geen geldige domeinnaam: {v}
Er staat niets in de lijst, dus dit record keurt helemaal geen servers goed.
none: alleen rapporteren
quarantine: naar spam sturen
reject: aflevering weigeren
Soepel (r)
Strikt (s)
Het rapportadres lijkt geen e-mailadres te zijn.
pct moet een geheel getal van 0 tot 100 zijn.
De syntaxis lijkt geldig.
Gratis beginnen · Geen creditcard nodig