Module 7 · 7.1

Microsoft 365 koppelen

Module 7: Externe diensten koppelen · Leestijd: 9 minuten

Leerdoel: Na deze les kun je de DNS-records voor Microsoft 365 plaatsen en controleren of ze goed staan.

Kernbegrippen: verificatie-TXT (MS=ms...), MX naar Microsoft, SPF-include, DKIM-CNAME (selector1 en selector2), autodiscover, beheercentrum

Waarom Microsoft 365 records nodig heeft

Met Microsoft 365 komt je e-mail binnen bij Microsoft. Je website kan gewoon bij je eigen webhost blijven. Voor die splitsing heeft Microsoft een paar dingen van je DNS nodig:

een bewijs dat het domein van jou is (verificatie);
de plek waar mail binnenkomt (MX);
toestemming om namens jouw domein te mailen (SPF);
een handtekening onder je mail (DKIM);
een record waarmee Outlook zelf de instellingen vindt (autodiscover).

Je zet die records bij de partij die de DNS van je domein beheert. Weet je niet wie dat is? Kijk naar de nameservers van je domein (les 2.1). Wijzig je op een andere plek, dan gebeurt er niets.

Belangrijkste regel van deze les: neem altijd over wat het beheercentrum van Microsoft voor jouw domein toont. De voorbeelden hieronder laten zien hoe de records eruitzien. De exacte waarden verschillen per domein en per abonnement, en Microsoft past het formaat soms aan.

Stap 1: het domein verifiëren

Als je in het Microsoft 365-beheercentrum een domein toevoegt, krijg je een TXT-record met een code:

example.com.   3600   IN   TXT   "MS=ms12345678"

Zet dit record op de kale domeinnaam (@). Klik daarna in het beheercentrum op verifiëren. Lukt dat niet meteen, wacht dan een kwartier en probeer het opnieuw: soms heeft een resolver nog het oude antwoord in de cache (les 6.1). Dit TXT-record mag naast andere TXT-records staan, ook naast je SPF-record (les 4.2).

Stap 2: de MX naar Microsoft

Het MX-record wijst naar een mailserver die bij jouw domein hoort. Lang was dat de domeinnaam met streepjes in plaats van punten, met mail.protection.outlook.com erachter:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Nieuwere abonnementen krijgen soms een adres dat eindigt op mx.microsoft, bijvoorbeeld iets als example-com.x-v1.mx.microsoft. Dat is geen tikfout: .microsoft is een echte topleveldomein. Welk van de twee jij krijgt, zie je in het beheercentrum. Neem het precies over, met de punt aan het eind als je paneel daarom vraagt (les 2.2).

Twee dingen gaan hier vaak mis:

Oude MX-records laten staan. Haal de MX-records naar je vorige mailserver weg. Blijven ze staan, dan komt een deel van je mail nog op de oude plek binnen, ook bij een hogere prioriteit (les 4.1).
Lokale aflevering bij je webhost. Veel hostingpanelen leveren mail van je eigen website (contactformulier, webwinkel) direct af in de mailbox op dezelfde server, als die denkt dat jouw mail daar woont. In DirectAdmin heet die instelling "Gebruik deze server om mijn e-mails af te handelen". Zet je de MX naar Microsoft, zet die lokale aflevering dan uit. Anders komen formulieren nooit bij Microsoft aan. In andere panelen heet dit bijvoorbeeld "Remote mail exchanger" of "Lokale mail uitschakelen".

Stap 3: SPF aanvullen, niet verdubbelen

Microsoft wil in je SPF-record staan:

include:spf.protection.outlook.com

Heb je al een SPF-record? Maak dan geen tweede, maar zet de include in het bestaande record. Twee SPF-records maken je SPF ongeldig (les 4.3). Mailt je website via de server van je webhost, laat die dan ook in het record staan:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Let op de limiet van tien DNS-opzoekingen: elke include telt mee, en de includes van Microsoft tellen zelf ook weer opzoekingen.

Stap 4: DKIM met twee CNAME-records

Microsoft ondertekent je mail met een sleutel die bij Microsoft staat. Jij maakt alleen twee verwijzingen, als CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Sinds mei 2025 krijgen nieuwe domeinen dit formaat, eindigend op dkim.mail.microsoft. De letter vóór -v1 (hier x) verschilt per abonnement. Oudere domeinen hebben vaak nog het formaat dat eindigt op onmicrosoft.com, bijvoorbeeld selector1-example-com._domainkey.example.onmicrosoft.com. Beide werken. Ook hier geldt: kopieer de waarden uit het beheercentrum (bij DKIM-instellingen in het Defender-portal) en verzin ze niet zelf.

Waarom twee? Microsoft wisselt de sleutels af en toe om (sleutelrotatie). Staat alleen selector1 in je DNS, dan werkt DKIM tot de eerste wissel en valt daarna ineens weg. Maak dus altijd allebei.

Zijn de CNAME-records zichtbaar, zet DKIM dan aan in het beheercentrum. Een veelgemaakte fout is een TXT-record maken waar een CNAME gevraagd wordt; Microsoft meldt dan dat de CNAME ontbreekt.

Let op de naam: vul in je paneel meestal alleen selector1._domainkey in. Typ je de hele naam en plakt je paneel er zelf je domein achter, dan krijg je selector1._domainkey.example.com.example.com (les 8.4).

Stap 5: autodiscover

Outlook zoekt bij het instellen van een account naar autodiscover.<jouw domein>. Laat die naam naar Microsoft wijzen:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

Staat er al een A-record of een wildcard die autodiscover naar je webserver stuurt? Een CNAME met dezelfde naam mag niet naast een ander record staan: verwijder het A-record voor autodiscover eerst. Tegen een wildcard (*) hoef je niets te doen: een naam die apart staat, gaat voor (les 3.3).

En DMARC?

Microsoft vraagt er niet om bij het instellen, maar zonder DMARC komt mail vaker in de spam. Heb je al een DMARC-record, dan kan het blijven staan. Zorg wel dat SPF en DKIM voor Microsoft eerst goed staan voordat je het beleid op quarantine of reject zet (les 4.5).

Microsoft 365 koppelen met Snel instellen 1:01

In de praktijk: zo ziet het eruit in een paneel

In het voorbeeldpaneel Mijn WebOké staat op het tabblad DNS van een domein een kaart E-mail-instellingen met Snel instellen. Kies je daar Microsoft 365, dan zie je vooraf welke records er komen: MX, SPF-aanvulling en autodiscover, en de lokale aflevering gaat uit. De verificatie-TXT en de DKIM-CNAMEs krijg je van Microsoft zelf; die voeg je los toe met Record toevoegen. In DirectAdmin doe je hetzelfde via MX Records (sjabloon Microsoft 365, en het vinkje voor aflevering uit) en DNS Beheer.

Gebruik je een ander paneel, zoals cPanel, Plesk, Cloudflare of het DNS-scherm van je registrar? Daar heten de knoppen anders, maar de velden zijn hetzelfde: naam, type, waarde en TTL. Sommige registrars hebben ook een knop "Microsoft 365" die de records in één keer zet.

Samenvatting

Neem alle waarden over uit het Microsoft 365-beheercentrum, niet uit een voorbeeld.
Verificatie: TXT MS=ms... op @. MX: het adres dat Microsoft voor je domein geeft; haal oude MX-records weg.
SPF: voeg include:spf.protection.outlook.com toe aan je bestaande record, maak geen tweede.
DKIM: twee CNAMEs, selector1 en selector2, allebei nodig vanwege sleutelrotatie.
Autodiscover: CNAME naar autodiscover.outlook.com, en zet lokale aflevering bij je webhost uit.

Quiz

Opdracht

Z7.1 (opzoeken). Bekijk hoe twee echte organisaties Microsoft 365 gebruiken: microsoft.com en sidn.nl.

Zoek het MX-record van sidn.nl en van microsoft.com. Welke van de twee gebruikt het oude formaat (mail.protection.outlook.com) en welke het nieuwe (mx.microsoft)?
Zoek in het SPF-record van sidn.nl de include van Microsoft en schrijf hem over.
Zoek het CNAME-record van selector1._domainkey.sidn.nl. Op welk woord eindigt de doelnaam (de laatste twee labels)?

Vul je antwoorden in het invulveld in. De controle vraagt de records op het moment van inleveren live op, dus als de organisatie iets verandert, telt het nieuwe antwoord.

O7.1 (zelf instellen, oefenzone). Koppel je oefenzone <code>.dnspractice.eu aan een nagebootste Microsoft 365. In de oefenzone gebruik je de nepdienst office-demo.dnspractice.eu; bij je echte domein neem je de waarden over uit het beheercentrum van Microsoft 365.

Verificatie: zet een TXT-record op <code>.dnspractice.eu met de code die de opdrachtpagina je geeft (MS=oefen-<code>-<...>).
MX: laat <code>.dnspractice.eu mail ontvangen op mail.protection.office-demo.dnspractice.eu. met prioriteit 0. Haal andere MX-records op <code>.dnspractice.eu weg.
SPF: vul het bestaande SPF-record op <code>.dnspractice.eu aan met include:_spf.office-demo.dnspractice.eu, en laat mx erin staan. Er mag maar één SPF-record zijn.
DKIM: maak een CNAME selector1._domainkey.<code>.dnspractice.eu naar selector1.dkim.office-demo.dnspractice.eu. en een CNAME selector2._domainkey.<code>.dnspractice.eu naar selector2.dkim.office-demo.dnspractice.eu.
Autodiscover: maak een CNAME autodiscover.<code>.dnspractice.eu naar autodiscover.office-demo.dnspractice.eu.

Opdracht O7.1 Deze opdracht doe je in je eigen oefenzone. De oefenzone komt later beschikbaar.

Verder lezen

Deze pagina's beschrijven de stappen in de panelen van WebOké (DirectAdmin en Mijn WebOké). In andere panelen werkt het op dezelfde manier.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing