Module 7 · 7.2

Google Workspace koppelen

Module 7: Externe diensten koppelen · Leestijd: 8 minuten

Leerdoel: Na deze les kun je de DNS-records voor Google Workspace plaatsen en controleren of ze goed staan.

Kernbegrippen: verificatie-TXT (google-site-verification=), MX smtp.google.com, oude ASPMX-set, SPF include:_spf.google.com, DKIM-TXT google._domainkey, Google Admin-console

Wat Google van je DNS nodig heeft

Google Workspace (Gmail, Agenda en Drive met je eigen domein) werkt in grote lijnen hetzelfde als Microsoft 365 uit les 7.1. Je regelt vier dingen in de DNS:

verificatie: bewijzen dat het domein van jou is;
MX: mail laten binnenkomen bij Google;
SPF: Google toestemming geven om namens je domein te mailen;
DKIM: een handtekening onder je mail.

Daarna komt DMARC (les 4.5). Een autodiscover-record zoals bij Microsoft is voor Gmail niet nodig.

Ook hier geldt: neem de waarden over uit de Google Admin-console voor jouw domein. Google past de instructies af en toe aan. De voorbeelden hieronder zijn juist op het moment van schrijven.

Stap 1: verificatie met een TXT-record

Bij het toevoegen van je domein geeft Google een code. Die zet je als TXT-record op de kale domeinnaam:

example.com.   3600   IN   TXT   "google-site-verification=AbCdEf123456..."

Hetzelfde soort record gebruikt Google Search Console. Heb je daar al een code staan, dan mag de nieuwe er gewoon naast. Meerdere TXT-records op @ zijn toegestaan; alleen SPF mag maar één keer voorkomen (les 4.2).

Google kan ook een CNAME-record voor verificatie geven, met een naam die op een lange code lijkt. Kies wat het makkelijkst is in je paneel. Beide werken.

Stap 2: de MX naar Google

Sinds 2023 geeft Google voor nieuwe domeinen één MX-record op:

example.com.   3600   IN   MX   1 smtp.google.com.

Kom je in oudere handleidingen of bij bestaande domeinen een set van vijf records tegen? Die werkt nog steeds:

example.com.   3600   IN   MX   1  aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt1.aspmx.l.google.com.
example.com.   3600   IN   MX   5  alt2.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt3.aspmx.l.google.com.
example.com.   3600   IN   MX   10 alt4.aspmx.l.google.com.

Je hoeft een werkende oude set niet om te zetten. Kies wel één van de twee manieren, en meng ze niet met MX-records van je vorige provider.

Net als bij Microsoft geldt:

Haal de oude MX-records weg. Laat je ze staan, dan probeert een deel van de afzenders ze toch, bijvoorbeeld als Google even niet antwoordt. Die mail komt dan op de oude plek binnen.
Zet lokale aflevering bij je webhost uit. Draait je website bij een hostingpartij die ook mail aanbiedt, dan levert die server mail van je eigen formulieren misschien nog lokaal af. In DirectAdmin is dat het vinkje "Gebruik deze server om mijn e-mails af te handelen".

Het getal vóór de mailserver (1) is de prioriteit. Bij één MX-record maakt het getal niet uit; neem over wat Google opgeeft (les 4.1).

Stap 3: SPF aanvullen

Google wil in je SPF-record staan met:

include:_spf.google.com

Let op het lage streepje vóór spf. Vul je bestaande SPF-record aan in plaats van een tweede te maken:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:_spf.google.com ~all"

Gebruik je je webhost niet meer om te mailen, dan kun je include:spf.hosting.example weghalen. Twijfel je, laat het staan: een contactformulier op je website mailt vaak via de webserver.

Stap 4: DKIM met een TXT-record

Bij Google is DKIM een TXT-record met een publieke sleutel, en geen CNAME zoals bij Microsoft. Je maakt de sleutel eerst aan in de Admin-console (bij de instellingen voor Gmail, onder het onderdeel voor het verifiëren van e-mail). Google geeft je dan:

google._domainkey.example.com.   3600   IN   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

De naam is google._domainkey. google is de selector (les 4.4). Je mag in de Admin-console een andere selector kiezen; dan verandert de naam mee.
De waarde is lang. Kies in de Admin-console bij voorkeur een sleutel van 2048 bits. Sommige panelen kunnen geen TXT-waarde langer dan 255 tekens opslaan; kies dan 1024 bits, of gebruik een paneel dat lange waarden zelf in stukken knipt.
Plak de waarde in één keer, zonder extra spaties of regelafbrekingen.

Staat het record online, klik dan in de Admin-console op de knop om de ondertekening te starten. Pas dan ondertekent Google je mail. Zie je bij een testmail in Gmail onder "Origineel weergeven" bij DKIM PASS met d=example.com, dan is het gelukt.

DKIM-records van verschillende diensten zitten elkaar niet in de weg, omdat elke selector een eigen naam heeft. Een sleutel van je webhost (bijvoorbeeld x._domainkey) mag dus blijven staan naast google._domainkey.

Stap 5: DMARC

Gmail is een van de partijen die bij grote verzenders sinds 2024 een DMARC-record verwachten. Heb je nog geen DMARC-record, begin dan met p=none en een rapportadres, en scherp later aan (les 4.5):

_dmarc.example.com.   3600   IN   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Google Workspace koppelen met Snel instellen 0:56

In de praktijk: zo ziet het eruit in een paneel

In het voorbeeldpaneel Mijn WebOké kies je op het tabblad DNS bij Snel instellen voor Google Workspace. Je ziet vooraf de MX en de SPF-aanvulling, en de lokale aflevering gaat uit. De verificatiecode en de DKIM-sleutel krijg je van Google; die voeg je zelf toe als TXT-record. In DirectAdmin kies je bij MX Records het sjabloon Google Workspace en zet je het vinkje voor aflevering uit.

In andere panelen, zoals cPanel, Plesk, Cloudflare of het DNS-scherm van je registrar, heten de knoppen anders, maar vul je dezelfde velden in: naam, type, waarde en TTL. Sommige registrars hebben een kant-en-klaar sjabloon voor Google.

Samenvatting

Neem de waarden over uit de Google Admin-console.
Verificatie: TXT google-site-verification=... op @ (of de CNAME die Google aanbiedt).
MX: 1 smtp.google.com.; de oude set van vijf ASPMX-records werkt ook. Haal MX-records van je vorige provider weg.
SPF: include:_spf.google.com toevoegen aan het bestaande record.
DKIM: TXT op google._domainkey, daarna de ondertekening aanzetten in de Admin-console.

Quiz

Opdracht

Z7.2 (opzoeken). Vergelijk de oude en de nieuwe manier van Google-mail.

Zoek het MX-record van google.com. Schrijf de naam van de mailserver over.
Zoek de MX-records van shopify.com. Dit bedrijf gebruikt Google-mail met de oudere set. Hoeveel MX-records zie je, en welke naam heeft de laagste prioriteit (het laagste getal)?
Zoek het SPF-record van google.com en schrijf de include over.

Vul je antwoorden in. De controle vraagt de records live op bij het inleveren.

O7.2 (zelf instellen, oefenzone). Koppel je oefenzone <code>.dnspractice.eu aan een nagebootste Google Workspace. In de oefenzone gebruik je de nepdienst mailsuite-demo.dnspractice.eu; bij je echte domein neem je de waarden over uit de Google Admin-console.

Verificatie: zet een TXT-record op <code>.dnspractice.eu met de code die de opdrachtpagina je geeft (google-site-verification=oefen-<code>-<...>).
MX: laat <code>.dnspractice.eu mail ontvangen op smtp.mailsuite-demo.dnspractice.eu. met prioriteit 1. Er mag geen andere MX meer op <code>.dnspractice.eu staan, ook niet die van een vorige opdracht.
SPF: zorg dat het SPF-record op <code>.dnspractice.eu include:_spf.mailsuite-demo.dnspractice.eu bevat. Er mag maar één SPF-record zijn.

Opdracht O7.2 Deze opdracht doe je in je eigen oefenzone. De oefenzone komt later beschikbaar.

Verder lezen

Deze pagina's beschrijven de stappen in de panelen van WebOké (DirectAdmin en Mijn WebOké). In andere panelen werkt het op dezelfde manier.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing