Je verstuurt vanuit HubSpot een nieuwsbrief met marketing@bedrijf.nl als afzender. Voor de ontvanger lijkt die e-mail gewoon afkomstig van jouw organisatie, maar technisch wordt het bericht niet door je normale mailomgeving verstuurd. HubSpot verstuurt de e-mail namens jouw domein. Hoe weet Gmail of Outlook dan dat HubSpot daadwerkelijk namens bedrijf.nl mag mailen?
Dat is waar SPF, DKIM en DMARC een belangrijke rol spelen. Als deze e-mailauthenticatie niet goed is ingericht, kan je mail in de spam belanden of zelfs worden geweigerd. En dan kun je nog zo'n goede campagne bouwen, sterke content schrijven en je doelgroep perfect segmenteren: als je e-mail niet aankomt, is al dat werk voor niets.
Als marketeer hoef je SPF, DKIM en DMARC niet zelf technisch te beheren. Maar als je werkt met systemen die namens je organisatie e-mail versturen, moet je wel begrijpen wat ze doen en waarom een goede inrichting essentieel is voor je deliverability.
Een zichtbaar afzenderadres is op zichzelf geen bewijs dat een e-mail daadwerkelijk door die organisatie is verstuurd. Een kwaadwillende partij kan proberen een bericht te versturen dat eruitziet alsof het afkomstig is van facturen@bedrijf.nl. Dit noemen we spoofing.
Ontvangende mailservers hebben daarom manieren nodig om te controleren of een bericht betrouwbaar is. Daarbij spelen SPF, DKIM en DMARC een belangrijke rol. Heel simpel gezegd: SPF controleert de verzendende infrastructuur, DKIM controleert de digitale handtekening van het bericht en DMARC controleert of de authenticatie aansluit bij het domein dat de ontvanger als afzender ziet.
Samen helpen ze ontvangende mailservers beoordelen of een bericht daadwerkelijk namens jouw domein verzonden mag worden.
SPF staat voor Sender Policy Framework. Via DNS publiceer je welke verzendende infrastructuur geautoriseerd is om e-mail voor een bepaald domein te versturen.
Stel dat je organisatie Microsoft 365 gebruikt voor normale zakelijke e-mail en daarnaast HubSpot gebruikt voor marketingmail. Er zijn dan meerdere systemen die legitiem namens je organisatie e-mail versturen. SPF helpt een ontvangende mailserver controleren of de verzendende infrastructuur daarvoor geautoriseerd is.
Technisch kijkt SPF naar het domein dat tijdens de mailtransactie wordt gebruikt, het zogenaamde envelope-from- of return-path-domein. Dat hoeft niet hetzelfde te zijn als het afzenderadres dat iemand in zijn inbox ziet. Voor marketeers is vooral belangrijk om te onthouden: SPF controleert of de verzendende infrastructuur geautoriseerd is voor het gebruikte SPF-domein.
Hier gaat het regelmatig mis wanneer organisaties meerdere e-mailplatformen gebruiken. Stel dat Microsoft 365 al mail verstuurt en je vervolgens een nieuw verzendplatform aansluit. Je kunt dan niet simpelweg een tweede SPF-record voor dezelfde hostname publiceren.
Voor één hostname hoort één SPF-policy te bestaan. Daarbinnen kunnen meerdere verzenders worden toegestaan. Publiceer je meerdere SPF-records voor dezelfde hostname, dan kan SPF een permerror opleveren en werkt de controle niet zoals bedoeld.
Daarom moet je bij het aansluiten van een nieuw e-mailplatform altijd eerst controleren wat er al staat. Een nieuw verzendplatform toevoegen betekent niet automatisch een nieuw SPF-record toevoegen.
DKIM staat voor DomainKeys Identified Mail en werkt anders dan SPF. Bij DKIM wordt een e-mail cryptografisch ondertekend door het verzendende systeem. De ontvangende mailserver kan via DNS de publieke sleutel vinden en daarmee controleren of de handtekening geldig is.
Je kunt het vergelijken met een verzegelde brief. De ontvanger kan controleren of het zegel klopt en of de ondertekende onderdelen van het bericht sinds verzending niet zijn aangepast. Voor marketeers is de simpele versie: DKIM laat zien dat een bericht door een bevoegde verzender is ondertekend en dat de ondertekende inhoud onderweg intact is gebleven.
Anders dan bij SPF kunnen meerdere DKIM-configuraties naast elkaar bestaan. DKIM gebruikt hiervoor zogenaamde selectors. Microsoft 365 kan bijvoorbeeld selector1._domainkey.bedrijf.nl gebruiken, terwijl een ander platform een andere selector gebruikt. Daardoor kunnen verschillende verzendplatformen ieder hun eigen DKIM-sleutel gebruiken zonder elkaar te overschrijven.
DMARC staat voor Domain-based Message Authentication, Reporting & Conformance. DMARC gebruikt de resultaten van SPF en DKIM, maar voegt een belangrijke controle toe: alignment.
Stel dat de ontvanger een e-mail ziet van marketing@bedrijf.nl. DMARC controleert of het domein dat succesvol via SPF en/of DKIM is geauthenticeerd voldoende overeenkomt met bedrijf.nl, het domein dat de ontvanger in het zichtbare afzenderadres ziet.
Dat onderscheid is belangrijk. Een bericht kan technisch bijvoorbeeld SPF halen op een ander domein, terwijl de ontvanger bedrijf.nl als afzender ziet. DMARC controleert of die onderdelen daadwerkelijk bij elkaar aansluiten.
Om DMARC te laten slagen hoeft niet zowel SPF als DKIM aligned te slagen. Minimaal één van beide moet succesvol én aligned zijn.
De eigenaar van een domein kan daarnaast aangeven wat ontvangende mailservers met berichten moeten doen die DMARC niet halen:
| DMARC-policy | Betekenis |
|---|---|
| p=none | Monitoren zonder verzoek om falende berichten tegen te houden. |
| p=quarantine | Verzoek om falende berichten als verdacht te behandelen, bijvoorbeeld als spam. |
| p=reject | Verzoek om berichten die DMARC niet halen te weigeren. |
DMARC kan ook rapportages opleveren. Daarmee krijg je inzicht in welke systemen namens je domein e-mail versturen en of de authenticatie daarvan goed verloopt. Dat is handig voor deliverability, maar ook om onbekende of verkeerd geconfigureerde verzenders te ontdekken.
Stel dat HubSpot een marketingmail verstuurt met marketing@bedrijf.nl als zichtbare afzender. De ontvangende mailserver controleert onder andere of de verzendende infrastructuur via SPF geautoriseerd is en of de DKIM-handtekening geldig is. Vervolgens kijkt DMARC of minimaal één van deze succesvolle controles aligned is met het zichtbare afzenderdomein bedrijf.nl.
Je kunt het daarom zo onthouden:
| Techniek | Vraag die wordt beantwoord |
|---|---|
| SPF | Is deze verzendende infrastructuur geautoriseerd voor het SPF-domein? |
| DKIM | Is deze e-mail geldig digitaal ondertekend? |
| DMARC | Sluit de authenticatie aan bij het domein dat de ontvanger als afzender ziet? |
SPF, DKIM en DMARC doen dus niet drie keer dezelfde controle. Ze controleren verschillende onderdelen van dezelfde e-mail.
Omdat marketingteams steeds meer systemen gebruiken die namens de organisatie e-mail versturen. Denk aan HubSpot, marketing automation, transactionele e-mail, eventsoftware, enquêtetools en andere SaaS-platformen.
Iedere keer dat je zo'n platform aansluit, voeg je in feite een nieuwe verzender toe aan je e-mailinfrastructuur. Als een leverancier vervolgens vraagt om DNS-records toe te voegen, moet je daarom niet zomaar bestaande records verwijderen of vervangen.
Stel dat Microsoft 365 en verschillende marketingplatformen allemaal namens bedrijf.nl e-mail versturen. Dan moet de configuratie rekening houden met alle legitieme verzenders. Vervang je bijvoorbeeld een bestaand SPF-record door het SPF-record dat een nieuwe leverancier aanlevert, dan kun je daarmee onbedoeld bestaande verzenders uit je SPF-policy verwijderen.
Daarom is het belangrijk dat marketing en IT overzicht houden over welke systemen namens welke domeinen e-mail versturen.
SPF, DKIM en DMARC zijn belangrijk voor e-mailauthenticatie en deliverability, maar ze zijn geen garantie dat iedere e-mail in de inbox terechtkomt. Mailproviders kijken ook naar andere signalen, zoals verzendreputatie, spamklachten, engagement en verzendgedrag.
Je kunt SPF, DKIM en DMARC dus perfect hebben ingericht en alsnog in de spamfolder terechtkomen. Andersom wordt het zonder goede authenticatie steeds moeilijker om betrouwbaar grote hoeveelheden e-mail te versturen.
Zie SPF, DKIM en DMARC daarom als de technische identiteit en toegangscontrole van je e-mail, niet als een truc om automatisch betere inbox placement te krijgen.
Organisaties gebruiken voor marketing- en servicemails regelmatig subdomeinen zoals marketing.bedrijf.nl of service.bedrijf.nl. Hiermee kun je verschillende soorten e-mail technisch beter organiseren.
Maar een subdomein betekent niet automatisch dat alles volledig losstaat van het hoofddomein. SPF, DKIM, DMARC en verzendreputatie hebben ieder hun eigen werking en onderlinge relatie.
Daar gaan we in een volgende blog dieper op in: waarom zou je marketing- of servicemails vanaf een subdomein versturen en wat betekent dat voor je e-mailreputatie?
Je kunt de beste e-mailcampagne bouwen, sterke content schrijven en je doelgroep perfect segmenteren, maar als je e-mailauthenticatie niet goed is ingericht, kan je mail in de spam belanden of zelfs helemaal worden geweigerd. Dan is al dat werk voor niets. SPF, DKIM en DMARC lijken misschien technische IT-termen, maar hebben direct invloed op je e-mailmarketing. Als marketeer hoef je ze niet zelf te beheren, maar je moet wel begrijpen wat ze doen en waarom een goede inrichting essentieel is voor e-mail deliverability.
Wanneer je vanuit HubSpot een e-mail verstuurt met marketing@bedrijf.nl als afzender, ziet de ontvanger vooral jouw bedrijfsnaam en domein. Achter de schermen voeren mailservers ondertussen verschillende controles uit.
SPF controleert de verzendende infrastructuur. DKIM controleert de digitale handtekening. DMARC controleert of de authenticatie aansluit bij het zichtbare afzenderdomein en geeft beleid mee voor berichten die niet voldoen.
Als marketeer hoef je deze infrastructuur niet volledig zelf te beheren. Maar zodra je systemen aansluit die namens je organisatie e-mail versturen, moet je wel begrijpen wat er gebeurt. “Voeg deze DNS-records even toe” klinkt als een kleine technische handeling, maar je geeft daarmee een platform een plek binnen de e-mailinfrastructuur van je organisatie.