Gratis e-mailtool

SPF record check en DMARC checker

Met deze SPF record check en DMARC checker zie je in een paar seconden of andere mailservers e-mail van jouw domein kunnen vertrouwen. Vul je domein in en je ziet je SPF record en het aantal DNS lookups, je DMARC beleid en rapportadres, en of er een DKIM sleutel staat op de gangbare selectors.

Gratis, geen account nodig

Is mijn e-mail goed ingesteld?

Je e-mail is goed ingesteld als je domein precies één geldig SPF record heeft, een DMARC record op _dmarc met het beleid quarantine of reject, en DKIM ondertekening via je mailprovider. SPF noemt de servers die namens je domein mogen mailen, DKIM ondertekent elk bericht en DMARC vertelt ontvangers wat ze moeten doen als een bericht niet slaagt. Ontbrekende records maken het makkelijker om je adres te vervalsen en kunnen je echte mail in de spam laten belanden.

Wat deze check bekijkt

De tool leest de openbare DNS records van je domein, dezelfde records die een ontvangende mailserver leest als jouw e-mail binnenkomt. Er wordt niets vanuit je mailbox verstuurd en je hoeft nergens in te loggen. Je krijgt drie resultaatkaarten: een voor SPF, een voor DMARC en een voor DKIM. Elke kaart is groen, oranje of rood en laat het gevonden record zien, met een korte uitleg bij elk probleem.
  • SPF: of er een record is, of het geldig is en hoeveel van de 10 toegestane DNS lookups het gebruikt
  • SPF: meer dan één record, syntaxfouten, includes naar een domein zonder SPF, het verouderde ptr mechanisme en hoe het record eindigt (~all, -all, ?all of +all)
  • DMARC: of er een record op _dmarc staat, welk beleid het instelt en welke rapportadressen (rua) erin staan
  • DMARC: meer dan één record, een ongeldig beleid, een ontbrekend rapportadres en een pct waarde onder de 100
  • DKIM: of er een sleutel staat op de gangbare selectors

Zo lees je de uitkomst

Groen betekent dat het record er is en dat de tool geen problemen vond. Oranje betekent dat het werkt maar een gat laat, bijvoorbeeld een DMARC beleid none of geen DKIM sleutel op de selectors die we probeerden. Rood betekent dat het record ontbreekt of kapot is, zodat ontvangers er niets mee kunnen. SPF telt alleen als geldig als het binnen 10 DNS lookups blijft. Elke include, a, mx, ptr en exists telt mee, net als de redirect modifier, en includes binnen een include tellen ook. Boven de 10 is de uitkomst een permanente fout, en ontvangers behandelen je mail dan alsof SPF faalde. ip4 en ip6 regels kosten geen lookups. Het einde van je SPF record bepaalt wat er gebeurt met mail van servers die er niet in staan. -all vraagt ontvangers die mail af te keuren, ~all vraagt ze de mail aan te nemen maar te markeren (softfail), ?all zegt niets en +all laat elke server ter wereld namens jou mailen. Een record zonder all aan het eind werkt als ?all. Bij DMARC verzamelt none alleen rapporten, vraagt quarantine ontvangers mislukte mail als verdacht te behandelen (meestal de spammap) en vraagt reject ze die mail te weigeren.

Veelgemaakte fouten

De meeste problemen ontstaan als er een nieuwe e-maildienst bij komt zonder dat de oude instellingen worden opgeruimd.
  • Twee SPF records op één domein, bijvoorbeeld een van je hostingpartij en een van je nieuwsbrieftool. Ontvangers geven dan een fout en SPF telt niet mee. Voeg ze samen tot één record.
  • Te veel includes. Elke dienst die mailt voegt een eigen include toe, en sommige daarvan bevatten weer andere includes, dus je zit sneller boven de 10 lookups dan je denkt.
  • Een record dat eindigt op +all of ?all, wat niets beschermt.
  • Een DMARC record dat jarenlang op p=none blijft staan, zodat vervalste mail gewoon wordt afgeleverd.
  • Geen rapportadres (rua) in DMARC, waardoor je nooit ziet welke servers mail in jouw naam versturen.
  • Het DMARC record op het domein zelf zetten in plaats van op _dmarc.jouwdomein.
  • Denken dat DKIM ontbreekt omdat de check geen sleutel vond. De tool probeert alleen de gangbare selectors, dus een provider met een eigen selectornaam kan je mail toch ondertekenen. Vraag je provider welke selector ze gebruiken.

Wat je daarna doet

Los eerst de rode kaarten op. Ontbreekt SPF of is het kapot, maak dan één schoon record met de SPF generator en vervang het oude record bij je DNS beheerder. Ontbreekt DMARC, zet dan een record met p=none en een rapportadres, lees een paar weken de rapporten en ga naar quarantine en daarna reject zodra al je echte mail slaagt. Die geleidelijke route beschrijft de DMARC standaard ook voor domeineigenaren. Verstuur je meer dan 5.000 berichten per dag naar Gmail adressen, dan eist Google SPF, DKIM en DMARC (beleid none is genoeg) en een afzenderdomein in de From regel dat overeenkomt met SPF of DKIM. Alle andere afzenders hebben minimaal SPF of DKIM nodig. DNS wijzigingen hebben tijd nodig om overal zichtbaar te worden, vaak een paar uur. Doe daarna de check opnieuw om te zien of het nieuwe record live staat.

Zo gebruik je de check

  1. Vul je domein in

    Typ het domein waarmee je mailt, bijvoorbeeld jouwbedrijf.nl, zonder https:// of www.

  2. Lees de drie kaarten

    Begin bij de rode kaarten, daarna de oranje. Elke kaart toont het gevonden record en wat het probleem betekent.

  3. Herstel en check opnieuw

    Pas het record aan bij je DNS beheerder, wacht een paar uur en doe de check opnieuw ter controle.

Veelgestelde vragen

Wat is het verschil tussen SPF, DKIM en DMARC?
SPF is een lijst in DNS met de servers die namens je domein mogen mailen. DKIM zet een digitale handtekening op elk bericht, die ontvangers controleren met een publieke sleutel in je DNS. DMARC verbindt de twee: het controleert of SPF of DKIM slaagt voor het domein in het zichtbare From adres en vertelt ontvangers wat ze moeten doen als geen van beide slaagt.
Waarom moet mijn SPF record binnen 10 lookups blijven?
De SPF standaard (RFC 7208) beperkt include, a, mx, ptr, exists en de redirect modifier tot 10 per controle. Daarboven is de uitkomst een permanente fout en behandelen ontvangers je mail alsof SPF faalde. Haal diensten weg die je niet meer gebruikt, of vraag een provider om vaste ip4 of ip6 adressen, die geen lookups kosten.
Gebruik ik ~all of -all?
~all (softfail) is een veilige start zolang je nog uitzoekt welke diensten allemaal namens je mailen. Staat elke echte afzender in het record, dan geeft -all het duidelijkste signaal. Microsoft raadt bijvoorbeeld -all aan voor domeinen die ook DKIM en DMARC gebruiken.
Mijn domein heeft twee SPF records. Is dat een probleem?
Ja. Een domein mag maar één SPF record hebben. Met twee records geven ontvangers een fout en negeren ze SPF. Voeg de regels van beide samen in één record dat begint met v=spf1 en eindigt met één all.
De check vindt geen DKIM sleutel. Ontbreekt DKIM?
Niet per se. Een DKIM sleutel staat onder een selectornaam die elke provider zelf kiest, en de tool probeert de gangbare namen. Vraag je mailprovider om de selector en het DKIM record, en voeg het toe als het er nog niet staat.
Regelt SitePack deze records voor mij?
Voor domeinen die bij SitePack worden beheerd, worden de SPF en DKIM records voor je SitePack e-mail voor je aangemaakt. Een DMARC record voeg je zelf toe bij de DNS records van je domein, en DNS beheer zit er gratis bij.

Gerelateerde tools en gidsen

Zakelijke e-mail die meteen goed staat

Een website vanaf €15 per maand, jaarlijks gefactureerd, met je eigen domein, een mailbox van 5 GB en SPF en DKIM al voor je ingesteld. Probeer het 14 dagen gratis, zonder betaalgegevens.

Start je gratis proefperiode Bekijk de prijzen
Cookievoorkeuren

Cookies helpen ons bij het leveren, beschermen en verbeteren van onze producten en diensten. Door onze website te gebruiken, gaat u akkoord met ons gebruik van cookies.