Zakelijke e-mail belandt in spam? Zo stel je SPF, DKIM en DMARC in

Je zakelijke e-mail belandt meestal in spam omdat de ontvangende server niet kan controleren dat de mail echt van jouw domein komt: SPF, DKIM of DMARC ontbreekt, staat fout of dekt niet alle diensten die namens jou mailen. Zet je die drie DNS-records goed, dan is het grootste deel van het probleem opgelost.

Het is sinds 2024 ook geen vrijblijvende kwestie meer. Gmail en Yahoo eisen authenticatie voor iedereen die naar hun gebruikers mailt, Microsoft deed hetzelfde voor Outlook.com en Hotmail sinds 5 mei 2025, en Gmail weigert sinds november 2025 steeds vaker mails die niet voldoen.

Voor een kmo of mkb-bedrijf betekent een offerte in de spammap een gemiste klant, en een factuur die niet aankomt een betaling die op zich laat wachten. Hieronder lees je hoe je de oorzaak vindt en de drie records stap voor stap instelt, met voorbeelden die je kan overnemen.

#Waarom belandt je zakelijke mail in spam? De zeven meest voorkomende oorzaken

In de meeste gevallen gaat het om authenticatie, maar er zijn nog zes andere oorzaken die je moet uitsluiten. Loop ze in deze volgorde na.

1. SPF, DKIM of DMARC ontbreekt of is fout. De meest voorkomende oorzaak, en de makkelijkste om op te lossen.
2. Een dienst mailt namens jou zonder toestemming in je DNS. Denk aan je webshop, nieuwsbriefprogramma, CRM, boekhoudpakket of afsprakentool.
3. Je website verstuurt mails "als" de bezoeker. Contactformulieren die het adres van de bezoeker als afzender gebruiken, falen voor DMARC.
4. Een slechte reputatie van je domein of van het IP-adres van je mailserver, bijvoorbeeld door gedeelde hosting of een eerdere hack.
5. Een nieuw domein dat plots veel mails verstuurt, zonder opgebouwde reputatie.
6. Inhoud die verdacht oogt: alleen een grote afbeelding, verkorte links, veel links naar andere domeinen, of een bijlage met macro's.
7. Ontvangers markeren je mails als spam, omdat ze zich nooit inschreven of niet makkelijk kunnen afmelden.

#Wat zijn SPF, DKIM en DMARC? In gewone taal

SPF, DKIM en DMARC zijn drie DNS-records die samen bewijzen dat een mail echt van jouw domein komt. Je zet ze bij je domeinbeheerder, dezelfde plek waar je domeinnaam (.be, .nl of .com) geregistreerd of beheerd wordt.

Het belangrijkste begrip is alignment (overeenstemming). DMARC slaagt alleen als SPF of DKIM slaagt voor hetzelfde domein als het adres in het Van-veld dat de ontvanger ziet. Een nieuwsbriefdienst kan perfect SPF doorstaan voor zijn eigen domein, maar als jouw domein in het Van-veld staat en de DKIM-handtekening niet van jouw domein is, faalt DMARC toch.

#Wat eisen Gmail, Yahoo en Outlook sinds 2024?

Iedereen die naar Gmail, Yahoo of Outlook mailt, moet minstens SPF of DKIM hebben; wie veel verstuurt, heeft SPF, DKIM én DMARC nodig. De grens voor "bulkverzender" ligt bij alle drie rond 5.000 mails per dag naar hun gebruikers.

Bronnen: de richtlijnen voor afzenders van Gmail (opent in een nieuw venster), de best practices van Yahoo (opent in een nieuw venster) en de aankondiging van Microsoft (opent in een nieuw venster).

Drie dingen om te onthouden:

• Gmail telt per domein, en wie ooit als bulkverzender is ingedeeld, blijft dat volgens de FAQ van Gmail (opent in een nieuw venster) permanent. Sinds november 2025 leidt niet voldoen tot tijdelijke en definitieve weigeringen.
• Outlook stuurt niet-conforme mails van grote verzenders naar Ongewenste e-mail en kan ze weigeren met de foutcode 550 5.7.515 Access denied.
• Ook als je geen 5.000 mails per dag verstuurt, wegen deze signalen mee. De eisen voor bulkverzenders zijn in de praktijk de standaard geworden.

#Stap 1: SPF instellen voor je domein

Maak één SPF-record aan dat alle diensten opsomt die namens jouw domein mailen, en sluit af met ~all of -all. Een SPF-record is een TXT-record op je hoofddomein dat begint met v=spf1.

Voorbeelden:

• Alleen Google Workspace: v=spf1 include:_spf.google.com ~all (bron: Google (opent in een nieuw venster))
• Alleen Microsoft 365: v=spf1 include:spf.protection.outlook.com -all (bron: Microsoft (opent in een nieuw venster))
• Microsoft 365 plus een nieuwsbriefdienst: v=spf1 include:spf.protection.outlook.com include:[waarde van je dienst] -all

De regels die het vaakst fout gaan, volgens de SPF-standaard (RFC 7208) (opent in een nieuw venster):

• Maar één SPF-record per domein. Twee records betekent dat SPF volledig faalt. Voeg ze samen.
• Maximaal 10 DNS-opzoekingen. Elke include, a, mx, exists en redirect telt mee, ook de includes binnen een include. Boven de 10 faalt SPF.
• Nooit +all. Dat laat de hele wereld toe om namens jou te mailen.
• Geen tikfouten: geen punt achter een domeinnaam, geen spatie na de dubbele punt, include: en niet include=.

Gebruik je een domein niet om te mailen, zet er dan v=spf1 -all op. Zo kunnen oplichters het niet misbruiken.

#Stap 2: DKIM activeren bij elke dienst die mailt

DKIM zet je aan in het beheerpaneel van elke dienst die namens jou mailt, en publiceer je daarna als DNS-record dat die dienst je geeft. Elke dienst heeft een eigen sleutel met een eigen naam, de selector.

• Google Workspace: activeer DKIM in de Admin-console; standaard is de selector google. Google adviseert een sleutel van 2048 bits.
• Microsoft 365: je publiceert twee CNAME-records (selector1 en selector2) en zet DKIM daarna aan in de Defender-portal.
• Nieuwsbrief-, CRM- en webshopplatformen: zoek in de instellingen naar "domeinauthenticatie" of "eigen verzenddomein". Je krijgt meestal twee of drie CNAME-records.

Controleer daarna in de mailheaders of er dkim=pass staat met jouw domein achter header.d=. Staat daar het domein van de dienst, dan tekent die nog met zijn eigen sleutel en helpt het niet voor DMARC.

#Stap 3: DMARC publiceren en stap voor stap aanscherpen

Begin met een DMARC-record in monitormodus (p=none), lees enkele weken de rapporten en schakel pas daarna over naar quarantine en reject. Zo verlies je geen legitieme mails. Dit is ook de aanpak die Google aanbeveelt (opent in een nieuw venster).

Het record is een TXT-record op _dmarc.jouwdomein.be (of .nl):

1. Start: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.be
2. Na analyse: v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwdomein.be (falende mails gaan naar spam)
3. Eindfase: v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.be (falende mails worden geweigerd)

De rua-rapporten zijn XML-bestanden die ontvangers dagelijks sturen. Ze tonen welke servers namens je domein mailen en of die slagen. Lees ze met een DMARC-rapportagetool; ruwe XML is niet te doen. Zie je een legitieme dienst falen, zet hem dan eerst in SPF en DKIM voor je strenger wordt.

#Mails vanuit je website of webshop: de vergeten bron

Contactformulieren, bestelbevestigingen en wachtwoordmails vanuit je website zijn een van de vaakste oorzaken van spamproblemen, omdat ze vaak buiten SPF en DKIM om gaan. Veel sites mailen rechtstreeks vanaf de webserver.

Zo zet je het goed:

• Verstuur vanaf je eigen domein, bijvoorbeeld noreply@jouwdomein.be of bestellingen@jouwdomein.nl, nooit met het adres van de bezoeker als afzender.
• Zet het adres van de bezoeker in Reply-To, zodat "Beantwoorden" gewoon werkt.
• Laat de site mailen via een geauthenticeerde SMTP-server of een transactionele maildienst met DKIM op jouw domein.
• Test elke soort mail: contactformulier, offerteaanvraag, bestelling, verzending, wachtwoordreset, factuur.

Een aparte subdomeinnaam voor nieuwsbrieven, zoals nieuws.jouwdomein.be, is ook een goed idee. Microsoft raadt dat aan: problemen met marketingmails raken dan niet de reputatie van je gewone mail.

Laat je een nieuwe website of webshop bouwen, vraag dan uitdrukkelijk hoe transactionele mails verstuurd worden. Meer over wat er bij een nieuwe site komt kijken, lees je in website laten maken en webshop laten maken.

#Meer dan techniek: reputatie, inhoud en toestemming

Goede authenticatie zorgt dat ontvangers weten wie je bent; of je mail in de inbox komt, hangt daarna af van je reputatie en van hoe ontvangers reageren. Houd deze punten in het oog:

• Volg je reputatie op met Google Postmaster Tools. Daar zie je onder meer je spamklachten en of je voldoet aan de eisen voor afzenders.
• Bouw een nieuw domein rustig op. Begin met mails naar mensen die je kennen en verhoog het volume geleidelijk.
• Houd je adressenlijst schoon. Verwijder adressen die bouncen en mensen die al lang niets openen.
• Schrijf als een mens: een duidelijke onderwerpregel, tekst naast afbeeldingen, links naar je eigen domein, geen verkorte links.
• Maak afmelden makkelijk, met een zichtbare link en bij marketingmails de afmeldknop met één klik.

Toestemming is ook wettelijk verplicht. In België mag je reclame per e-mail in principe alleen sturen met voorafgaande toestemming; de FOD Economie (opent in een nieuw venster) ziet daarop toe. In Nederland geldt hetzelfde principe via de Telecommunicatiewet, met toezicht door de ACM (opent in een nieuw venster). In beide landen bestaat een uitzondering voor bestaande klanten en vergelijkbare producten, zolang ze zich makkelijk kunnen afmelden.

#Checklist: je domein in 30 minuten nakijken

Met deze checklist loop je in een half uur alles na wat je zelf kan controleren.

• Maak een lijst van alle diensten die namens je domein mailen: mailbox, website, webshop, nieuwsbrief, CRM, boekhouding, facturatie, afsprakentool.
• Controleer dat er precies één SPF-record is met alle diensten, onder de 10 opzoekingen, eindigend op ~all of -all.
• Zet DKIM aan bij elke dienst en controleer dat de handtekening op jouw domein staat.
• Publiceer een DMARC-record met minstens p=none en een rua-adres.
• Laat je contactformulier en webshop vanaf je eigen domein mailen, met Reply-To.
• Stuur een testmail naar Gmail en Outlook en controleer de headers op SPF, DKIM en DMARC = pass.
• Plan over enkele weken een moment om de DMARC-rapporten te bekijken en je beleid aan te scherpen.
• Zet v=spf1 -all en een DMARC-record met p=reject op domeinen die je niet gebruikt om te mailen.

#Gratis tools en richtlijnen in België en Nederland

Je kan je domein gratis laten controleren, en in beide landen raden de overheden SPF, DKIM en DMARC uitdrukkelijk aan.

• Nederland: de e-mailtest van Internet.nl (opent in een nieuw venster) controleert SPF, DKIM, DMARC en versleuteling. Voor Nederlandse overheden zijn deze standaarden verplicht via Forum Standaardisatie, met een strikt beleid (p=quarantine of p=reject).
• België: het Centrum voor Cybersecurity België (CCB) raadt via Safeonweb@work (opent in een nieuw venster) bedrijven aan om SPF, DKIM, DMARC en DNSSEC in te stellen, ook tegen spoofing (misbruik van je domein door oplichters).
• Brisk: onze mail- en domeincheck toont in enkele seconden of SPF, DKIM en DMARC in orde zijn, met uitleg over wat je moet aanpassen.

#Nog steeds in spam na het instellen? Zo zoek je verder

Staan SPF, DKIM en DMARC op pass en belanden je mails toch in spam, dan ligt het aan reputatie of inhoud, niet aan de basisinstellingen. Werk dan zo verder:

1. Test met een neutrale mail: een korte tekst zonder links of bijlagen. Komt die wel aan, dan zit het probleem in de inhoud.
2. Controleer blocklists voor het IP-adres van je mailserver en voor je domein. Staat je gedeelde server erop, vraag je provider dan om een oplossing of een ander IP-adres.
3. Kijk in Google Postmaster Tools of je spamklachten te hoog zijn.
4. Vraag enkele vaste contacten om je mail uit de spammap te halen en als "geen spam" te markeren. Dat helpt je reputatie bij hun provider.

Blijft het probleem, laat dan iemand meekijken die de headers kan lezen. Meestal zit de oorzaak in één dienst die je over het hoofd zag.