Een SPF-record checken kost u een paar minuten, maar de uitkomst lezen is lastiger dan het opzoeken zelf.
Kort antwoord
U checkt uw SPF-record door de TXT-records van uw domein op te vragen met een online SPF-checker of met het commando nslookup. U zoekt naar één regel die begint met v=spf1. Daarna kijkt u in de kopregels van een verstuurde mail wat de ontvanger ervan vond: pass is goed, softfail en fail betekenen dat de verzender niet in uw lijst staat, en permerror betekent dat het record zelf kapot is.
Zo zoekt u uw SPF-record op
Wat SPF in het algemeen doet, staat in mijn artikel "SPF, DKIM en DMARC uitgelegd in gewone taal". Hier gaat het puur om controleren.
Er zijn twee eenvoudige manieren:
Online checker. Zoek op "SPF record checker", vul uw domeinnaam in (zonder www) en u ziet het record plus eventuele fouten.
Zelf opvragen. Open op Windows de opdrachtprompt en typ nslookup -type=txt uwdomein.nl. Op een Mac typt u in Terminal dig txt uwdomein.nl. U krijgt alle TXT-records te zien; het SPF-record is de regel met v=spf1.
Een voorbeeld van hoe zo'n regel eruitziet: v=spf1 include:_spf.google.com ~all
Lees hem van links naar rechts. Elk include: of ip4:-onderdeel is een partij of server die namens u mag mailen. Het stukje aan het eind bepaalt wat er met de rest gebeurt.
Wat de onderdelen betekenen
include: verwijst naar de lijst van een mailpartij, zoals Microsoft 365, Google Workspace of uw nieuwsbriefprogramma.
ip4: of ip6: noemt een vast serveradres.
a en mx betekenen: de server van mijn website of mijn mailserver mag ook versturen.
~all (tilde) zegt: alles wat niet in de lijst staat is verdacht, maar niet direct weigeren.
-all (streepje) zegt: alles buiten de lijst weigeren.
?all of +all zijn te slap. Vooral +all is gevaarlijk, want dan mag iedereen namens u mailen.
De uitkomsten bij de ontvanger
Of SPF goed werkt, ziet u pas echt in een mail die is aangekomen. In Gmail opent u een bericht, klikt u op de drie puntjes en kiest u "Origineel weergeven". In Outlook op de computer vindt u de kopregels via Bestand en dan Eigenschappen. Zoek naar spf=. Mogelijke uitkomsten:
pass: de verzendende server staat in uw record. Zo hoort het.
softfail: de server staat er niet in en uw record eindigt op ~all. De mail komt vaak nog aan, maar eerder in de spam.
fail: de server staat er niet in en uw record eindigt op -all. Grote kans op weigering.
neutral: uw record zegt niets stelligs, meestal door ?all.
none: er is helemaal geen SPF-record gevonden.
permerror: het record bevat een fout. Dat is erger dan het lijkt, want ontvangers behandelen het alsof u geen SPF heeft.
temperror: een tijdelijke DNS-storing. Later opnieuw proberen.
De drie fouten die ik het vaakst zie
Twee SPF-records. Iemand voegt voor een nieuwe dienst een tweede regel met v=spf1 toe. Er mag er maar één zijn; anders volgt permerror. De oplossing is alle onderdelen samenvoegen in één regel.
Te veel opzoekingen. Een SPF-record mag maximaal tien DNS-opzoekingen veroorzaken. Elke include telt mee, en includes die zelf weer includes bevatten ook. Bij veel diensten loopt u daar snel tegenaan. Haal diensten weg die u niet meer gebruikt.
Een vergeten verzender. Uw webshop, boekhoudpakket of contactformulier mailt via een eigen server die niet in de lijst staat. Die mails krijgen softfail of fail. Kijk bij elke dienst die "namens u" mailt welke include zij voorschrijven.
Wijzigt u iets, dan kan het even duren voordat de hele wereld de nieuwe versie ziet. Meestal gaat dat binnen een uur, soms langer.
Veelgestelde vragen
Moet ik ~all of -all gebruiken?
Begin met ~all zolang u niet zeker weet dat alle verzenders erin staan. Zodra uw DMARC-rapporten laten zien dat alles klopt, kunt u naar -all. Met een goed ingestelde DMARC maakt het verschil in de praktijk minder uit.
Mijn checker zegt dat alles goed is, maar mail komt toch in de spam. Hoe kan dat?
SPF is maar één onderdeel. DKIM, DMARC, de inhoud van de mail en de reputatie van de verzendende server tellen ook mee. Zie daarvoor mijn artikel "Waarom komt mijn zakelijke mail in de spam?".
Heeft een domein zonder mail ook een SPF-record nodig?
Ja, het is verstandig. Met v=spf1 -all zegt u dat er nooit mail van dat domein komt, wat misbruik door oplichters lastiger maakt.
Hulp nodig?
Komt u er niet uit of staan er meerdere diensten door elkaar in uw DNS, dan zoek ik het voor u uit. Kijk bij hosting en onderhoud of stuur me een berichtje.
