SPF instellen: uitleg en veelgemaakte fouten

Je nieuwsbrief is af, de lijst is schoon, en toch belandt een deel in de spam. Vaak ligt de oorzaak niet bij de inhoud maar bij iets wat je lezer nooit ziet: de authenticatie van je domein. SPF is daarvan het eerste onderdeel, en het is in een kwartier geregeld als je weet waar je op moet letten.

In dit artikel lees je wat SPF doet, hoe je het instelt en welke fouten je beter kunt voorkomen.

Wat is SPF?

SPF staat voor Sender Policy Framework. Het is een regel tekst in de DNS-instellingen van je domein waarin staat welke servers namens jou e-mail mogen versturen.

Komt er een e-mail binnen bij Gmail of Outlook, dan kijkt de ontvangende server naar het IP-adres van de afzender en legt dat naast jouw lijst. Staat het erop, dan slaagt de controle. Staat het er niet op, dan is dat een signaal dat er iets niet klopt.

Eén ding wordt vaak verkeerd begrepen: SPF controleert niet het afzenderadres dat je lezer ziet. Het controleert het technische afzenderadres, het zogeheten return-path of envelope-from. Dat is het adres waar bounces naartoe gaan. Bij veel e-mailplatformen is dat standaard een domein van het platform zelf en niet het jouwe. Daarover verderop meer.

Zo ziet een SPF-record eruit

Een SPF-record is een TXT-record en ziet er bijvoorbeeld zo uit:

v=spf1 include:_spf.google.com include:spf.jouwplatform.nl ~all

De onderdelen:

v=spf1 geeft aan dat dit een SPF-record is. Hiermee begint het altijd.
include: verwijst naar de lijst van een andere partij, bijvoorbeeld je e-mailplatform of Google Workspace.
ip4: of ip6: noemt een los IP-adres, bijvoorbeeld van je eigen mailserver.
~all zegt wat er moet gebeuren met alles wat niet op de lijst staat.

SPF instellen in vijf stappen

1. Zet al je afzenders op een rij

Dit is de stap waar het meeste werk in zit. Denk niet alleen aan je e-mailplatform, maar aan alles wat mailt vanaf jouw domein:

je e-mailplatform voor nieuwsbrieven en flows
de zakelijke mail van collega’s (Google Workspace, Microsoft 365)
je webshop of boekingssysteem (orderbevestigingen)
factuur- en boekhoudsoftware
CRM, helpdesk en enquêtetools

2. Zoek per dienst de juiste waarde op

Elke dienst heeft in zijn documentatie een pagina over SPF. Daar staat welke include: of welk IP-adres je moet toevoegen. Neem die letterlijk over en gok niet.

Kijk meteen of je platform een eigen return-path-domein ondersteunt, vaak via een subdomein zoals bounce.jouwdomein.nl. In dat geval stel je SPF in op dat subdomein, meestal met een CNAME-record dat het platform je aanlevert, en hoeft het platform niet in het record van je hoofddomein.

3. Voeg alles samen tot één record

Je mag per domein maar één SPF-record hebben. Alle afzenders komen dus achter elkaar in dezelfde regel, met één keer v=spf1 vooraan en één keer ~all achteraan.

4. Plaats het record in je DNS

Log in bij de partij die je DNS beheert. Dat is vaak je domeinregistrar of hostingpartij. Maak een TXT-record aan met als naam @ (het hoofddomein) en als waarde je SPF-regel. Bestaat er al een SPF-record, pas dat dan aan in plaats van een tweede toe te voegen.

5. Test of het werkt

Stuur een testmail naar een Gmail-adres, open het bericht en kies Origineel weergeven. Bovenaan staat of SPF geslaagd is (PASS) en voor welk domein. Controleer het record daarnaast met de domein-checker, die ook telt hoeveel DNS-lookups je gebruikt.

DNS-wijzigingen zijn meestal binnen een uur zichtbaar, maar het kan langer duren.

Zes veelgemaakte fouten

1. Twee SPF-records op één domein

De meest voorkomende fout. Iemand voegt voor een nieuwe tool een tweede record toe in plaats van het bestaande aan te vullen. Het gevolg is dat de controle helemaal mislukt, ook voor afzenders die wel goed stonden.

2. Meer dan tien DNS-lookups

SPF staat maximaal tien DNS-opvragingen toe. Elke include: telt mee, en ook de includes die daarbinnen weer zitten. Met vier of vijf diensten zit je er sneller aan dan je denkt. Losse IP-adressen (ip4:, ip6:) tellen niet mee.

Zit je over de tien, verwijder dan ongebruikte diensten of verplaats afzenders naar een eigen subdomein, zoals nieuws.jouwdomein.nl. Elk subdomein heeft een eigen record en dus een eigen limiet.

3. Oude diensten laten staan

Het platform waar je twee jaar geleden bent weggegaan staat er vaak nog in. Dat kost lookups en geeft een partij toestemming die je niet meer gebruikt.

4. Een afzender vergeten

Het boekhoudpakket dat één keer per maand facturen mailt, is de klassieker. Die facturen zakken dan stilletjes weg in de spam.

5. Eindigen op +all

+all betekent: iedereen mag namens dit domein mailen. Daarmee schakel je SPF in feite uit. Gebruik het nooit.

6. Denken dat SPF genoeg is

SPF heeft twee beperkingen. Het breekt als een e-mail wordt doorgestuurd, omdat het bericht dan van een andere server komt. En het zegt niets over het afzenderadres dat je lezer ziet. Daarvoor heb je DKIM en DMARC nodig. Samen vormen die drie de basis.

~all of -all?

Het laatste deel van je record bepaalt wat er gebeurt met servers die niet op de lijst staan:

~all (softfail): waarschijnlijk niet van ons, behandel met argwaan.
-all (fail): niet van ons, weigeren mag.

Gebruik ~all voor domeinen waarvandaan je mailt. Samen met DMARC is dat voldoende, en het voorkomt dat doorgestuurde berichten te vroeg worden geweigerd. Gebruik -all voor domeinen die nooit e-mail versturen, zoals een geparkeerd domein:

v=spf1 -all

Waarom je dit nu moet regelen

Gmail en Yahoo eisen sinds februari 2024 dat elke afzender minimaal SPF of DKIM heeft ingesteld. Wie veel verstuurt, heeft SPF, DKIM en DMARC alle drie nodig. Microsoft stelt vergelijkbare eisen. Lees de details in De afzendereisen van Gmail, Yahoo en Microsoft.

Samengevat

SPF is één TXT-record met alle servers die namens je domein mogen mailen.
Je mag maar één record per domein hebben, met maximaal tien DNS-lookups.
Inventariseer eerst al je afzenders; daar gaat het meestal mis.
Eindig op ~all voor domeinen die mailen en op -all voor domeinen die dat niet doen.
SPF is de eerste stap. Ga daarna door met DKIM en DMARC.