SPF-record instellen: stap voor stap met voorbeeld

Een SPF-record vertelt ontvangende mailservers welke servers namens jouw domein e-mail mogen versturen. Zonder een correct SPF-record belandt je e-mail sneller in de spammap of komt hij helemaal niet aan. In dit artikel stel je stap voor stap een SPF-record in als TXT-record, met een voorbeeld en de fouten die je moet vermijden. SPF werkt het best samen met DKIM en DMARC: het volledige overzicht lees je in SPF, DKIM en DMARC instellen.

Wat is een SPF-record?

SPF staat voor Sender Policy Framework. Het is een TXT-record in je DNS waarin staat welke servers e-mail mogen versturen voor jouw domein. Ontvangt een mailserver een bericht dat zegt van jouwbedrijf.nl te komen, dan controleert die server het SPF-record. Staat de verzendende server er niet in, dan kan het bericht worden geweigerd of als spam worden gemarkeerd.

Hoe ziet een SPF-record eruit?

Een SPF-record is een enkele regel die begint met v=spf1 en eindigt met een instructie voor de rest. Een typisch voorbeeld voor e-mail via Webosa:

v=spf1 include:webosa.nl ~all

De onderdelen betekenen:

SPF-record instellen: stap voor stap

1. Log in op het Klantenpaneel en open het DNS-beheer van je domein. Zie ook DNS wijzigen stap voor stap.
2. Controleer of er al een SPF-record bestaat (een TXT-record dat begint met v=spf1). Er mag er maar één zijn.
3. Maak een nieuw TXT-record of pas het bestaande aan. Laat de naam op de root van je domein staan (vaak @).
4. Zet als waarde je SPF-regel, bijvoorbeeld v=spf1 include:webosa.nl ~all. Verstuur je ook via andere diensten, voeg dan hun include toe binnen dezelfde regel.
5. Sla op. Door propagatie kan het even duren voordat de wijziging overal geldt.

~all of -all: welke kies je?

Begin met ~all (softfail). Je e-mail komt dan gewoon aan terwijl je controleert of alle verzendende diensten in je record staan. Weet je zeker dat het record compleet is, dan kun je overstappen naar -all (hardfail) voor de strengste bescherming.

Veelgemaakte fouten

De meest voorkomende fout is meer dan één SPF-record. Volgens de standaard mag een domein maar één TXT-record met v=spf1 hebben. Twee records maken je SPF ongeldig, waardoor controles mislukken.

• Meerdere SPF-records. Combineer alles in één regel met meerdere include-onderdelen.
• Te veel DNS-lookups. SPF staat maximaal tien lookups toe. Te veel include-verwijzingen breekt het record.
• Een verzenddienst vergeten. Verstuur je nieuwsbrieven of formulieren via een externe dienst, dan moet die er ook in staan.
• Meteen -all gebruiken. Begin met ~all tot je zeker weet dat alles klopt.

Controleren of het werkt

Stuur na de wijziging een testmail naar een adres bij een grote provider en bekijk in de berichtdetails of SPF slaagt (spf=pass). Blijft je e-mail toch hangen, kijk dan in waarom komt mijn e-mail niet aan.

Veelgestelde vragen

Kan ik meerdere SPF-records hebben?

Nee. Een domein mag maar één SPF-record hebben. Meerdere diensten voeg je samen in één regel met meerdere include-onderdelen.

Wat is het verschil tussen ~all en -all?

Met ~all worden onbekende servers als verdacht gemarkeerd maar niet geweigerd. Met -all worden ze geweigerd. Begin met ~all en stap over naar -all als je record compleet is.

Is alleen een SPF-record genoeg?

SPF is een belangrijke basis, maar voor betrouwbare bezorging combineer je het met DKIM en DMARC. Lees daarvoor DKIM uitgelegd en DMARC uitgelegd.

Hoelang duurt het voordat mijn SPF-record werkt?

Een DNS-wijziging is meestal binnen enkele minuten tot een paar uur actief, afhankelijk van de TTL van het record.

Wil je in één keer alle e-mailbeveiliging goed zetten? Volg dan de complete gids SPF, DKIM en DMARC instellen, of bekijk de zakelijke e-mail van Webosa.