Checklist voor e-mailbezorging: SPF, DKIM en DMARC voor SaaS

Je kunt de perfecte welkomstmail schrijven, hem in milliseconden versturen en hem toch kwijtraken aan de spamfolder. Inboxproviders als Gmail, Outlook en Yahoo bepalen waar een bericht terechtkomt lang voordat iemand het leest, en het eerste wat ze controleren is of de afzender is wie hij zegt te zijn.

Drie DNS-records beantwoorden die vraag: SPF, DKIM en DMARC. Deze checklist legt ze alle drie in gewone taal uit en laat zien hoe je ze instelt voor het domein waarvandaan je verstuurt.

Waarom dit belangrijker is dan ooit

In februari 2024 begonnen Google en Yahoo strengere regels te handhaven voor iedereen die naar hun gebruikers mailt:

• Alle afzenders moeten zich authenticeren met SPF of DKIM, via TLS versturen en hun percentage spamklachten laag houden (Google vraagt om minder dan 0,3%).
• Bulkverzenders, grofweg 5.000 of meer berichten per dag naar Gmail, moeten SPF en DKIM en een DMARC-beleid hebben, waarbij het zichtbare From-domein daarmee in lijn is. Marketingmail heeft daarnaast afmelden met één klik nodig.

Andere providers hebben dit voorbeeld gevolgd. Berichten die deze controles niet doorstaan, worden steeds vaker direct geweigerd in plaats van alleen als spam gemarkeerd.

Waar Inbixio in past

Met Inbixio worden je e-mails afgeleverd door je eigen SMTP-server: de mailbox die je hebt gekoppeld onder Email Servers (e-mailservers). Je authenticatierecords beschrijven dus je mailprovider (Google Workspace, Microsoft 365, Zoho, je host), niet Inbixio. Stel ze één keer in voor je domein, en elke e-mail die via de API wordt verstuurd, profiteert ervan.

De voorbeelden hieronder gebruiken yourco.com. Vervang dat door je eigen domein.

1. SPF: wie mag namens je domein versturen

SPF (Sender Policy Framework) is een TXT-record met de servers die e-mail mogen versturen namens je domein. Ontvangers vergelijken de server die een bericht heeft afgeleverd met deze lijst.

Voeg één TXT-record toe op het hoofddomein:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

Het include:-deel hangt af van je provider:

Regels waar mensen over struikelen:

• Eén SPF-record per domein. Gebruik je twee diensten, combineer ze dan: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Twee aparte SPF-records maken allebei ongeldig.
• Maximaal 10 DNS-lookups. Elke include: telt mee, en de includes daarbinnen ook. Verwijder diensten die je niet meer gebruikt.
• Eindig met ~all (soft fail) zolang je aan het instellen bent. Stap over op -all (hard fail) zodra je zeker weet dat de lijst compleet is.

2. DKIM: een handtekening op elk bericht

DKIM (DomainKeys Identified Mail) voegt aan elke e-mail een cryptografische handtekening toe. Je mailprovider ondertekent met een privésleutel, en jij publiceert de bijbehorende publieke sleutel in DNS, zodat ontvangers kunnen controleren dat het bericht niet is gewijzigd en echt van je domein komt.

Dit record schrijf je niet met de hand. Je provider genereert het:

• Google Workspace: Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365: Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail: Admin console → Domains → je domein → Email configuration → DKIM.

Elk geeft je een record om te publiceren, meestal een TXT of CNAME op een naam als google._domainkey.yourco.com. Voeg het toe in je DNS, wacht tot het is doorgevoerd en klik dan in de console van de provider op Start authentication (of het equivalent daarvan). Gebruik een sleutel van 2048 bits als je die keuze krijgt.

3. DMARC: het beleid dat alles verbindt

DMARC vertelt ontvangers wat ze moeten doen als een bericht niet door SPF en DKIM komt, en vraagt ze om je rapporten te sturen. Het controleert ook de alignment: het domein in het zichtbare From-adres moet overeenkomen met het domein dat door SPF of DKIM is gekomen.

Begin in monitoringmodus:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none monitort alleen. Er wordt niets geblokkeerd terwijl je de rapporten bekijkt.
• rua= is waar de dagelijkse geaggregeerde rapporten naartoe gaan. Het zijn XML-bestanden, dus met een gratis DMARC-rapportviewer worden ze leesbaar.

Na twee tot vier weken schone rapporten maak je het beleid stap voor stap strenger: p=quarantine (mail die niet slaagt, gaat naar spam), daarna p=reject (mail die niet slaagt, wordt geweigerd). Die laatste stap is wat voorkomt dat anderen phishing in jouw naam versturen.

4. Houd je afzenderadres consistent

Met Inbixio worden e-mails verstuurd vanaf het adres van de SMTP-gebruikersnaam die je hebt gekoppeld, bijvoorbeeld notifications@yourco.com. Om de alignment eenvoudig te houden:

• verstuur vanaf een adres op hetzelfde domein waarvoor je SPF, DKIM en DMARC hebt ingesteld,
• gebruik een kleine, vaste set afzenderadressen (notifications@, security@, billing@), en
• moeten verschillende services verschillende adressen gebruiken, koppel dan één server per adres en zet elke API-sleutel vast op zijn server.

5. Gewoontes die je reputatie beschermen

Authenticatie bewijst wie je bent; je gedrag bepaalt of ontvangers je vertrouwen:

• Mail alleen mensen die het verwachten. Transactionele mail (betaalbewijzen, resets, codes) krijgt heel weinig klachten. Houd marketing gescheiden en op basis van opt-in.
• Verwijder adressen die bouncen. Herhaaldelijk mailen naar ongeldige mailboxen lijkt op de lijst van een spammer. Bouncemeldingen komen binnen in de mailbox waarvandaan je verstuurt (de mailbox die je aan Inbixio hebt gekoppeld), dus controleer die en verwijder die adressen uit je lijsten.
• Schrijf als een mens. Een duidelijk onderwerp, een opmaak die ook als platte tekst werkt, een afzenderadres dat antwoorden accepteert en geen linkverkorters.
• Bouw geleidelijk op. Een nieuw domein dat ineens 50.000 e-mails verstuurt, wekt argwaan. Verhoog het volume over een paar weken.

Zo controleer je je configuratie

1. Verstuur via Inbixio een test naar een Gmail-adres dat van jou is.
2. Open het bericht in Gmail, klik op ⋮ → Show original en zoek naar SPF: PASS, DKIM: PASS en DMARC: PASS.
3. Registreer je domein voor doorlopende monitoring bij Google Postmaster Tools om je spampercentage en reputatie te zien.

De checklist

• Eén SPF-record met je mailprovider erin, onder de 10 lookups
• DKIM ingeschakeld bij je provider, met het DNS-record gepubliceerd en geverifieerd
• DMARC op p=none met rapporten naar een adres dat wordt gelezen
• Afzenderadressen op hetzelfde domein als je SPF-, DKIM- en DMARC-records
• “Show original” in Gmail toont PASS voor alle drie
• Een herinnering om DMARC naar quarantine en daarna reject te zetten

Zet het vervolgens aan het werk voor de e-mails waar gebruikers het meest op wachten: OTP- en verificatiecodes en wachtwoordresets.