Zakelijke e-mail instellen: SPF, DKIM en DMARC

Waarom een e-mailadres op je eigen domein?

Een adres als info@jouwbedrijf.nl straalt meer vertrouwen uit dan een gratis adres van Gmail of Hotmail. Klanten zien direct bij wie de mail hoort. Bovendien blijft het adres van jou, ook als je ooit van maildienst wisselt. Je verhuist alleen de mailbox, niet het adres.

Je hebt daarvoor wel een eigen domeinnaam nodig. Heb je die nog niet, lees dan eerst ons artikel over domeinnaam kiezen. Daar leggen we ook uit hoe domein, hosting en e-mail met elkaar samenhangen.

Zakelijke e-mail instellen: de stappen

• Kies een maildienst. Veel gebruikt zijn Microsoft 365 en Google Workspace. Ook je hostingpartij biedt vaak mail aan. Reken als indicatie op een paar euro tot ruim tien euro per gebruiker per maand. Controleer de actuele prijs.
• Voeg je domein toe bij de maildienst. Je bewijst dat het domein van jou is met een code die je in je DNS zet.
• Pas de MX-records aan. Die vertellen de wereld bij welke server jouw mail binnenkomt.
• Maak de mailboxen aan, bijvoorbeeld voor jezelf, en gedeelde adressen zoals info@ of facturen@.
• Stel SPF, DKIM en DMARC in. Daarover gaat de rest van dit artikel.
• Zet tweestapsverificatie aan op alle mailaccounts.

De DNS is een soort telefoonboek van je domein. Je past het aan bij de partij waar je domeinnaam geregistreerd staat. Wijzigingen zijn meestal binnen een paar uur zichtbaar, soms duurt het langer.

SPF: wie mag namens jou mailen?

SPF staat voor Sender Policy Framework. Het is één regel tekst (een TXT-record) in je DNS met een lijst van servers die mail mogen versturen vanaf jouw domein. Een ontvangende server kijkt in die lijst. Staat de verzender er niet in, dan is dat verdacht.

Een SPF-record begint altijd met v=spf1 en eindigt meestal met ~all of -all. Daartussen staan de diensten die voor jou mailen, zoals je mailprovider, je nieuwsbriefprogramma en je boekhoudpakket dat facturen verstuurt. Let op deze punten:

• Je mag maar één SPF-record per domein hebben. Twee records maakt het ongeldig.
• Vergeet geen diensten die namens jou mailen, zoals een webshop, CRM of contactformulier op je website.
• Er zit een limiet op het aantal verwijzingen in één record. Bij heel veel diensten kan het record te lang worden.

DKIM: een digitale handtekening op je mail

DKIM staat voor DomainKeys Identified Mail. Je maildienst zet een digitale handtekening op elke uitgaande mail. In je DNS staat de bijbehorende publieke sleutel. De ontvanger controleert daarmee of de mail echt van jouw domein komt en onderweg niet is aangepast.

Je hoeft die sleutels niet zelf te maken. Je maildienst geeft je één of meer records die je in je DNS plakt. Daarna zet je DKIM aan in het beheerscherm van de maildienst. Doe dit ook voor andere diensten die namens jou mailen, zoals je nieuwsbriefprogramma. Die bieden meestal een eigen DKIM-instelling.

DMARC: wat moet er gebeuren met nepmail?

DMARC bouwt voort op SPF en DKIM. Het vertelt ontvangende servers wat ze moeten doen als een mail niet door de controle komt. En je krijgt rapporten waarin je ziet wie er allemaal mailt vanaf jouw domein. Het record staat op het adres _dmarc.jouwbedrijf.nl.

Er zijn drie standen, de zogenaamde policy:

• p=none: alleen meten, nog niets blokkeren. Hier begin je.
• p=quarantine: verdachte mail gaat naar de spammap van de ontvanger.
• p=reject: verdachte mail wordt geweigerd. Dit is het doel.

Begin met none en lees een paar weken de rapporten. Zie je een eigen dienst die faalt, zoals je boekhoudpakket, los dat dan eerst op. Pas daarna ga je naar quarantine en uiteindelijk naar reject. Zo voorkom je dat je eigen facturen ineens niet meer aankomen.

Overstappen naar een andere maildienst

Wissel je van maildienst, bijvoorbeeld van de mail bij je hostingpartij naar Microsoft 365 of Google Workspace? Dan is de volgorde belangrijk. Zo voorkom je dat er mail verdwijnt in de tussentijd.

• Maak eerst alle mailboxen aan bij de nieuwe dienst, voordat je iets aan de DNS verandert.
• Verhuis je oude mail, agenda en contacten met de migratietool van de nieuwe dienst.
• Pas pas daarna de MX-records aan, het liefst aan het eind van de dag.
• Werk je SPF-record bij: haal de oude dienst eruit en zet de nieuwe erin.
• Zet DKIM aan bij de nieuwe dienst en controleer of DMARC-rapporten geen fouten laten zien.
• Laat de oude mailboxen nog een paar weken bestaan, voor het geval er toch iets achterblijft.

Mail komt in spam: veelgemaakte fouten

• Geen SPF, DKIM of DMARC ingesteld. Grote maildiensten wegen dit steeds zwaarder mee.
• Een nieuwe dienst, zoals een webshop of offertetool, die mailt vanaf jouw adres maar niet in je SPF staat.
• Twee SPF-records naast elkaar na een overstap.
• DMARC direct op reject zetten zonder eerst te meten.
• Je contactformulier verstuurt mail vanaf het adres van de bezoeker. Laat het formulier vanaf je eigen domein mailen en zet het adres van de bezoeker als antwoordadres.

Komt mail van je website niet aan? Dat ligt vaak aan dit laatste punt. In ons artikel over een contactformulier dat converteert lees je meer over formulieren die goed werken.

Hulp bij e-mail en je website

Als we een website of webapplicatie voor je bouwen, zorgen we dat formulieren, bevestigingsmails en meldingen netjes vanaf je eigen domein worden verstuurd en goed aankomen. We kijken dan ook naar je SPF, DKIM en DMARC. Meer over hoe we websites bouwen lees je bij websites en apps. Een website op maat begint bij €1.799 excl. btw (€2.177 incl. btw).

Twijfel je of je mail goed is ingesteld, of wil je weten wat je website nodig heeft? Plan een gratis quickscan. Dat is een gesprek van 30 minuten, online of op locatie. Daarna krijg je kort schriftelijk advies met een prijsindicatie, zonder verplichtingen.

Veelgestelde vragen