SPF, DKIM, DMARC: wat is het verschil?

De drie zijn ontstaan als antwoord op hetzelfde probleem: in het oorspronkelijke mailprotocol kan iedereen elk adres als afzender invullen. SPF werd in 2006 voor het eerst vastgelegd, DKIM in 2007, DMARC in 2015. Pas toen Gmail ze in februari 2024 verplicht maakte voor grote verzenders, en Microsoft in mei 2025 volgde, werden ze iets waar elke kmo mee te maken krijgt. Wie vandaag mail in de spammap ziet belanden, vindt de oorzaak bijna altijd in een van de drie; hoe je die zoekt, staat in waarom komt mijn mail in spam.

Drie controles op een envelop

Denk aan een brief. SPF is de gastenlijst aan de deur van je domein: welke postkantoren mogen namens jou brieven versturen. DKIM is de verzegelde envelop: een handtekening die bewijst dat de brief onderweg niet geopend of veranderd is. DMARC is de huisregel: wat de ontvanger doet als de gastenlijst of het zegel niet klopt, en naar wie hij daarover een rapport stuurt.

Het verschil tussen de eerste twee is belangrijk. SPF controleert de server die verstuurt, niet het adres dat je ontvanger ziet. Daarom faalt SPF vaak bij doorgestuurde mail. DKIM reist mee in de mail zelf en overleeft een doorsturing. DMARC verbindt beide aan het adres in het veld Van: een van de twee moet slagen voor hetzelfde domein dat je ontvanger ziet. Zonder die uitlijning kan een oplichter SPF laten slagen voor zijn eigen domein en toch jouw naam als afzender tonen.

Een record regel per regel

Zo ziet de set eruit voor een bedrijf dat mailt met Microsoft 365 en een nieuwsbrief verstuurt met Mailchimp, op het voorbeelddomein jouwbedrijf.be. Je zet ze bij wie je DNS beheert, meestal de registrar waar je je domeinnaam kocht:

Drie details maken het verschil. Het teken voor all in SPF: -all betekent weigeren wat niet op de lijst staat, ~all betekent verdacht markeren. Elke include telt als een DNS-opzoeking, en meer dan tien laat SPF als geheel falen; wie er veel tools aan hangt, zit daar snel boven. En een domein heeft precies een SPF-record: een tweede ernaast maakt beide ongeldig. Verhuis je je domein of je mail, neem de drie dan mee; wat er nog meer verhuist, lees je in domeinnaam verhuizen.

Van p=none naar p=reject

DMARC kent drie standen. Met p=none gebeurt er niets met falende mail, maar je krijgt rapporten. Met p=quarantine gaat ze naar de spammap. Met p=reject weigert de ontvanger ze. De weg ernaartoe:

1. Zet DMARC op p=none met een rapportadres, en lees twee tot vier weken de rapporten.
2. Zoek elke dienst die namens je domein mailt: je mailbox, je nieuwsbrieftool, je boekhoudpakket dat facturen verstuurt, het contactformulier van je site. Geef elke dienst SPF en DKIM.
3. Ga naar p=quarantine, eventueel eerst met pct=25 voor een kwart van je mail.
4. Ga naar p=reject zodra de rapporten een paar weken niets onverwachts tonen.

Wat Gmail en Outlook sinds 2024 vragen

Gmail vraagt sinds 1 februari 2024 van elke afzender SPF of DKIM, en van wie meer dan 5.000 mails per dag stuurt alle drie, met DMARC minstens op p=none. Microsoft vraagt hetzelfde voor Outlook.com en Hotmail sinds 5 mei 2025 en zet niet-conforme mail van grote verzenders in Ongewenst. Een nieuwsbrief naar een paar duizend adressen per week haalt die grens niet per dag, maar wie zijn records op orde heeft, hoeft er niet over na te denken. Een tweede slot op elke mailbox, tweestapsverificatie, houdt een gestolen wachtwoord tegen; DMARC houdt een vervalste afzender tegen. Je hebt beide nodig.