SPF en DKIM Correct Maar Toch In Spam: De Oplossing

Je hebt SPF, DKIM en DMARC correct ingesteld. De DNS-records kloppen. Toch belanden je e-mails in de spambox van ontvangers. Dit is een van de meest frustrerende e-mailproblemen en de oorzaak zit zelden in de DNS-records zelf. Dit artikel legt de drie meest voorkomende oorzaken uit en hoe je ze oplost.

Oorzaak 1: E-mail Doorsturing Breekt SPF

Dit is de meest voorkomende oorzaak. Als een gebruiker zijn e-mails doorstuurt naar een ander adres (bijv. van zakelijk naar Gmail), verandert de verzendende server. De ontvangende server ziet dan een IP-adres dat niet in je SPF-record staat, en markeert de mail als verdacht.

Oplossing: Schakel e-mail doorsturing uit als het niet noodzakelijk is. Ga naar Admin Console > Apps > Google Workspace > Gmail > End User Access. Zet "Allow users to automatically forward incoming email" uit of beperk het tot bepaalde domeinen.

Alternatieven voor doorsturing: gebruik Google Groups, alias-adressen of een Collaborative Inbox.

Als doorsturing noodzakelijk is, overweeg SRS (Sender Rewriting Scheme). Dit herschrijft het afzenderadres zodat SPF-controles bij de tussenstop slagen. Dit is een geavanceerde configuratie via je e-mailgateway.

Oorzaak 2: Slechte IP-Reputatie

Zelfs met perfecte DNS-records kan je IP-reputatie slecht zijn. Dit gebeurt als je domein eerder is misbruikt voor spam, als je een nieuw domein hebt, of als je IP-adres wordt gedeeld met andere verzenders die spam sturen.

Oplossing: Controleer je reputatie via Google Postmaster Tools (postmaster.google.com). Registreer je domein en bekijk de dashboards voor:

• Domain reputation (goed/laag/slecht)
• IP reputation
• Spam rate

Een lage reputatie bouw je op door:

• Alleen te mailen naar actieve adressen (verwijder bounces en inactieven)
• Geleidelijk de verzendvolumes te verhogen
• Erop te zorgen dat ontvangers zich echt hebben aangemeld

Oorzaak 3: DKIM Alignment Mismatch

DMARC vereist dat het domein in de "From" header overeenkomt met het DKIM-ondertekeningsdomein. Als je e-mails verstuurt via een externe tool (bijv. een nieuwsbriefplatform) maar het "From" adres is naam@jouwdomein.nl terwijl het platform ondertekent met zijn eigen DKIM-sleutel, faalt de DMARC-controle.

Oplossing: Voeg je eigen DKIM-sleutel toe aan het externe platform, of voeg het platform toe als geauthoriseerde verzender in je SPF-record. De meeste e-mailmarketingplatforms bieden instructies voor "custom domain authentication".

Aanvullende Checks

Controleer via MXToolbox (mxtoolbox.com):

• Staat je IP op een blacklist?
• Kloppen je MX-records?
• Is je PTR-record correct ingesteld?

Controleer de e-mailheaders: Vraag een ontvanger om de volledige e-mailheaders te delen. Open die in Google Admin Toolbox > Message Header Analyzer. Hier zie je exact waar de mail wordt gemarkeerd en waarom.

DMARC Rapportage Instellen

DMARC kan je rapportages sturen over alle e-mails die namens je domein worden verstuurd. Voeg een rapportering-adres toe aan je DMARC-record:

v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwdomein.nl; rua=mailto:dmarc@jouwdomein.nl; pct=100

Gebruik een DMARC-analysetool als dmarcian.com of postmaster.google.com om de rapporten te lezen. Zo zie je welke bronnen namens je domein mailen en of ze slagen voor SPF en DKIM.