Waarom je zakelijke e-mail in de spam belandt: SPF, DKIM, DMARC

Waarom je zakelijke e-mail in de spam belandt: authenticatie is het eerste filter

Je e-mail belandt zelden in de spam door verdachte woorden in de onderwerpregel. Hij belandt in de spam omdat de ontvangende servers van Gmail, Outlook en Yahoo niet kunnen controleren of je bent wie je zegt dat je bent.

Deze providers controleren tegenwoordig SPF, DKIM en DMARC voordat ze bepalen waar je bericht terechtkomt. Ontbreekt een van deze records of is hij verkeerd ingesteld, dan wordt je zakelijke e-mail in quarantaine geplaatst of geweigerd voordat iemand hem ooit ziet.

Deze drie records in orde maken is de meest concrete stap die je kunt zetten om je spamprobleem met e-mail op te lossen.

SPF: vertel ontvangende servers welke IP-adressen namens je domein mogen versturen

SPF is een TXT-record in de DNS van je domein dat precies aangeeft welke IP-adressen of servers namens jou e-mail mogen versturen.

Krijgt een ontvangende server een bericht van jouw domein, dan vergelijkt hij het verzendende IP-adres met je SPF-lijst. Staat het IP-adres er niet op, dan markeert de server het bericht als verdacht of weigert hij het meteen.

De meest voorkomende fout die ik in de praktijk zie, is vergeten het IP-adres van je bulkmailtool of CRM aan het SPF-record toe te voegen. Die ene omissie stuurt je hele marketingcampagne naar de spammap.

`~all` gebruiken in plaats van `+all` is acceptabel tijdens een overgangsperiode, maar het is geen blijvende oplossing.

DKIM: een cryptografisch zegel dat doorsturen overleeft

DKIM voegt aan elke e-mail die je verstuurt een versleutelde handtekening toe. De ontvangende server controleert die handtekening met een publieke sleutel die in de DNS van je domein staat.

Is de handtekening geldig, dan weet de server dat het bericht onderweg niet is gewijzigd en echt van jouw infrastructuur komt. Dat verhoogt je vertrouwensscore bij Gmail en Outlook.

Een verkeerde selector of een te korte sleutel maakt de handtekening ongeldig, wat tot weigeringen kan leiden, zelfs als SPF slaagt.

De meeste e-mailproviders geven je een kant-en-klaar DKIM-record om in je DNS te kopiëren. Eén extra spatie of regeleinde in dat record is genoeg om de authenticatie te laten mislukken.

DMARC: het beleid dat Gmail en Outlook vertelt wat ze met mislukkingen moeten doen

DMARC legt een beleid vast voor e-mails die jouw domein gebruiken maar niet slagen voor SPF of DKIM. Je kunt ontvangende servers laten weten dat ze niets moeten doen, het bericht in quarantaine moeten plaatsen of het moeten weigeren.

Zonder DMARC kan een aanvaller je domein vervalsen om nepfacturen of phishingmails naar je klanten te sturen. Ontvangende systemen kunnen die berichten niet tegenhouden, omdat jij geen expliciete regel hebt ingesteld.

Begin met `p=none` en voeg een rapportageadres (`rua`) toe, zodat je je eigen e-mailverkeer kunt volgen voordat je strengere regels afdwingt.

Stap pas over op `p=quarantine` of `p=reject` als je hebt bevestigd dat elke legitieme verzendbron slaagt voor SPF en DKIM.

Wat Gmail en Outlook verwachten: domeinreputatie en bulkverzending

Gmail en Outlook kijken niet alleen naar je SPF-, DKIM- en DMARC-records. Ze beoordelen ook de reputatie van je verzendende IP-adres en domein door de tijd heen.

Verstuur je bulkmail, dan schaadt het mengen van marketingberichten en transactionele berichten op hetzelfde IP-adres je reputatie, omdat marketingmails van nature meer spamklachten opleveren.

Met Google Postmaster Tools en Microsoft SNDS kun je die reputatie volgen. Schiet je percentage spamklachten omhoog, dan zie je een waarschuwing voordat de bezorging volledig mislukt.

Wil je een beschadigde reputatie herstellen, maak dan eerst je verzendvolume stabiel en verwijder daarna inactieve adressen uit je lijst.

Veelvoorkomende symptomen van een verkeerde configuratie en een handhavingsroute die werkt

Komen sommige van je zakelijke e-mails in de inbox terecht, belanden andere in de spam en verdwijnen er weer andere helemaal? Dan ligt de oorzaak bijna altijd bij ontbrekende of tegenstrijdige DNS-records.

Controleer je domein met MXToolbox of een vergelijkbare tool. Zie je fouten in SPF, DKIM of DMARC, dan doet het herstellen daarvan meer voor je bezorgbaarheid dan een andere onderwerpregel.

Houd deze volgorde aan: maak eerst je SPF-record compleet, voer daarna DKIM in en zet vervolgens DMARC aan met `p=none` en bekijk de rapporten.

Spring je meteen naar `p=reject`, dan blokkeer je legitieme e-mails die via doorstuurdiensten of mailinglijsten lopen. Een voorzichtige overgang is essentieel.

Uit onze praktijkervaring blijkt dat bedrijven die deze drie records goed instellen de meeste klachten over e-mail in de spam binnen enkele weken oplossen.