Waarom komt mijn mail in spam terecht bij de ontvanger?

Waarom komt je mail in spam? In de meeste gevallen omdat de mailserver van de ontvanger niet kan nagaan dat jij de afzender bent. Gmail en Outlook kijken daarvoor naar drie regels in de DNS van je domein: SPF, DKIM en DMARC. Wat elk doet, staat in SPF, DKIM en DMARC uitgelegd. Ontbreekt er een, of spreken ze elkaar tegen, dan belandt je mail in de spammap of in Ongewenst, ook als je tekst onberispelijk is.

Dat is sinds 2024 strenger geworden. Google vraagt sinds 1 februari 2024 aan elke afzender minstens SPF of DKIM, en aan wie meer dan 5.000 mails per dag naar Gmail stuurt alle drie. Microsoft doet hetzelfde voor Outlook.com en Hotmail sinds 5 mei 2025. Een kmo die een nieuwsbrief verstuurt naar een lijst van een paar duizend adressen valt al snel in die groep, of krijgt de gevolgen van een slordig record ook bij kleinere volumes.

De zes oorzaken in de volgorde waarin je ze nakijkt

De eerste vier zijn instellingen in je DNS en lossen zich in een uur op, de wachttijd tot de wijziging overal zichtbaar is niet meegeteld. Het nakijken doe je door de kopteksten van een mail te openen: in Gmail via "Origineel weergeven", in Outlook via de berichteigenschappen. Daar staat per controle pass of fail.

Wanneer het alleen bij Gmail of alleen bij Outlook gebeurt

Gmail en Microsoft wegen dezelfde records, maar niet op dezelfde manier. Gmail meet daarnaast hoe vaak ontvangers je mail als spam markeren: boven 0,3 procent in Postmaster Tools krijg je geen hulp meer van Google bij leveringsproblemen, en Google raadt aan onder 0,1 procent te blijven. Een lijst met oude of gekochte adressen duwt je daar snel boven. Microsoft kijkt bij grote verzenders sinds mei 2025 vooral naar de drie records en naar een echt antwoordadres.

Plots in spam, na jaren zonder probleem

Mail die gisteren aankwam en vandaag niet, wijst bijna altijd op een wijziging. De drie gewoonste:

1. Een nieuwe tool die namens je domein verstuurt. Een boekingssysteem, een factuurprogramma of een CRM dat facturen mailt met jouw adres als afzender. Staat het niet in je SPF en tekent het niet met DKIM, dan faalt elke mail ervan.
2. Een verhuis van domein of mail. Wie zijn domeinnaam verhuist of van mailprovider wisselt, neemt de oude records niet altijd mee. Na de verhuis wijst SPF nog naar de vorige server.
3. Een strengere DMARC-regel. Wie p=none vervangt door p=reject voor alle tools gekend zijn, laat de ontvanger mail van die vergeten tool weigeren. Dat is precies wat DMARC moet doen, maar het verrast als je het niet verwachtte.

Een vierde oorzaak: een mailbox die zelf gekraakt is en spam verstuurt. Zet tweestapsverificatie aan op elk account dat mail verstuurt, dan is een gestolen wachtwoord alleen niet genoeg om in te loggen.

Een vijfde heb je niet zelf in de hand: een gedeelde server bij een goedkope host waarop een andere klant spam verstuurt. Je records kloppen, maar de naam van het IP-adres is slecht. Dan helpt alleen versturen via een dienst met een eigen reputatie, zoals Microsoft 365, Google Workspace of Amazon SES.

Wat je instelt bij Microsoft 365 en Google Workspace

Verstuur je ook via een nieuwsbrieftool, dan voeg je haar include toe in hetzelfde SPF-record en zet je DKIM aan in die tool. Hoe je een nieuwsbrief schrijft die mensen openen en niet als spam markeren, staat in een nieuwsbrief schrijven. Na twee tot vier weken DMARC-rapporten zie je welke bronnen nog falen; pas dan zet je het beleid op quarantine en later op reject.

Formulieren op je site die in spam belanden

Een aanvraag via het contactformulier van je website die nooit aankomt, is een eigen geval. Veel sites, vooral op WordPress, laten de webserver zelf mailen, met je eigen adres als afzender maar zonder DKIM. Voor Gmail lijkt dat op vervalsing. Daarnaast trekt een open formulier zelf spam aan; hoe je dat stopt zonder klanten te hinderen, lees je in spam via je contactformulier. Bij Business Centrum stopte zo'n filter een golf van botberichten; het vlootformulier van Park & Wash verstuurt via VBS Mail, onze eigen mailservice op Amazon SES. Een gehackte site die spam verstuurt, zet je hele domein op een zwarte lijst; wat je dan doet, staat in website gehackt.