De eisen van Gmail, Yahoo en Microsoft

Module 5: Reputatie en de grote ontvangers · Leestijd: 11 minuten

Leerdoel: Na deze les kun je de eisen opsommen die Gmail, Yahoo en Microsoft stellen aan alle verzenders en aan bulkverzenders, uitleggen wat afmelden met één klik is, en je eigen domein aan die eisen toetsen.

Kernbegrippen: verzendrichtlijnen, bulkverzender (5.000 per dag), SPF of DKIM, SPF én DKIM, DMARC met minstens p=none, uitlijning, PTR en FCrDNS, TLS, klachtenpercentage (0,1% en 0,3%), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Waarom deze eisen er zijn

Gmail, Yahoo en Microsoft (Outlook.com, Hotmail, Live.com, MSN) ontvangen samen een groot deel van alle persoonlijke mail. Lange tijd waren SPF, DKIM en DMARC "aanbevolen". In oktober 2023 kondigden Google en Yahoo aan dat ze per februari 2024 eisen gingen stellen. Microsoft volgde voor Outlook.com en de andere consumentenadressen met eisen die vanaf mei 2025 worden gehandhaafd.

De eisen zijn bedoeld tegen vervalste afzenders en tegen ongewenste massamail. Voor de meeste kleine afzenders betekent het: zorg dat de basis van module 4 klopt. Voor wie nieuwsbrieven of veel transactiemail verstuurt, komt er meer bij.

Eisen voor iedereen

Gmail en Yahoo stellen deze eisen aan alle verzenders naar hun gebruikers:

Daarnaast zegt Google: doe je niet voor als Gmail. Wie mail verstuurt met een @gmail.com-adres als afzender via een andere server dan die van Google (bijvoorbeeld via een nieuwsbriefdienst), faalt op DMARC: die server mag niet namens gmail.com ondertekenen en staat niet in het SPF van gmail.com. Google schrijft dat Gmail zulke mail met een quarantainebeleid behandelt. Verstuur dus altijd vanaf een adres op je eigen domein.

Extra eisen voor bulkverzenders

Google noemt je een bulkverzender als je in 24 uur ongeveer 5.000 mails of meer naar persoonlijke Gmail-adressen stuurt. Mail van subdomeinen telt mee bij het hoofddomein. En belangrijk: wie die grens één keer heeft gehaald, blijft bulkverzender. Die status verloopt niet. Yahoo hanteert geen hard getal, Microsoft ook 5.000 per dag.

Voor bulkverzenders komt erbij:

1. SPF én DKIM moeten allebei ingesteld zijn (niet een van beide).
2. DMARC moet er zijn, met minstens p=none. Een strenger beleid mag, hoeft niet. Yahoo raadt een rapportadres (rua) sterk aan.
3. Uitlijning: het domein in het zichtbare From:-adres moet overeenkomen met het SPF-domein (Return-Path) of het DKIM-domein (d=). Dat is precies wat DMARC controleert (les 4.4). Kort gezegd: de mail moet door DMARC komen.
4. Afmelden met één klik voor marketing- en abonneemail, plus een duidelijk zichtbare afmeldlink in de tekst.
5. Afmeldingen binnen twee dagen verwerken.
6. Klachten onder 0,3%, en liever onder 0,1%.

Dit sluit precies aan op de advieslijn uit module 4: begin DMARC met p=none en een rapportadres. Daarmee voldoe je aan de eis, zonder het risico dat je eigen mail geweigerd wordt.

Microsoft: SPF én DKIM én DMARC

Microsoft stelt voor verzenders van 5.000 of meer mails per dag naar Outlook.com, Hotmail, Live.com en MSN (alle met hetzelfde domein in het From:-adres) deze eisen:

• SPF moet slagen;
• DKIM moet slagen;
• er moet een DMARC-record zijn, minstens p=none, en de mail moet door DMARC komen.

Let op het verschil: bij DMARC is één van de twee genoeg (SPF of DKIM, uitgelijnd). Microsoft eist voor bulkverzenders dat allebei slagen. Mail die niet voldoet, gaat niet naar de map Ongewenst maar wordt geweigerd met:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Een domein dat DMARC haalt via DKIM maar waarvan SPF faalt (bijvoorbeeld omdat een dienst ontbreekt in het SPF-record), kan dus toch deze fout krijgen.

Afmelden met één klik

Bij een nieuwsbrief verwachten ontvangers een afmeldlink. Gmail, Yahoo en Apple Mail tonen daarnaast een eigen knop "Afmelden" bovenaan de mail. Die knop werkt met twee kopregels:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) geeft een of meer manieren om af te melden: een webadres en/of een mailadres.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) zegt: als je een POST-verzoek naar dat webadres stuurt, is de ontvanger meteen afgemeld. Zonder extra pagina, zonder inloggen, zonder "weet je het zeker?".

Beide kopregels moeten onder de DKIM-handtekening vallen, zodat niemand ze onderweg kan veranderen (RFC 8058 vraagt dat). Een nieuwsbriefdienst regelt dit voor je. Verstuur je zelf, dan moet je het zelf bouwen (les 7.2).

Wat gebeurt er als je niet voldoet?

Google zegt dat mail die niet voldoet, tijdelijk of definitief kan worden geweigerd, of in de spam terechtkomt. Sinds november 2025 is Gmail die handhaving verder aan het opvoeren. De foutmeldingen zijn specifiek (een volledige lijst staat in les 6.2), bijvoorbeeld:

Een code met een 4 is tijdelijk (de verzendende server probeert het later opnieuw), een code met een 5 definitief (les 6.1).

Meten: Postmaster Tools en SNDS

Je kunt niet in de mailbox van ontvangers kijken, maar de grote ontvangers geven wel cijfers:

• Google Postmaster Tools (postmaster.google.com): na het bevestigen van je domein met een TXT-record zie je onder meer het klachtenpercentage, of je mail door SPF, DKIM en DMARC komt, en of er versleuteld wordt. Je ziet pas cijfers als je genoeg mail naar Gmail stuurt.
• Microsoft SNDS (Smart Network Data Services): gegevens per IP-adres. Alleen nuttig als je een eigen IP-adres hebt (les 6.4).
• Yahoo Sender Hub: Yahoo's eigen plek voor verzenders, met een klachtenfeed.

Verstuur je via een nieuwsbriefdienst, dan laat die dienst meestal zelf het klachtenpercentage per verzending zien.

In de praktijk

Voor een gewone zakelijke mailbox bij een hostingbedrijf of maildienst kom je meestal al door de eisen voor iedereen: de aanbieder regelt PTR en TLS, en jij zorgt voor SPF, DKIM en een DMARC-record. Bij WebOké laat de kaart E-mail instellen in Mijn WebOké per record zien of het klopt; bij andere aanbieders heet zo'n controle anders, of gebruik je een onafhankelijke tool zoals internet.nl.

Verstuur je nieuwsbrieven, dan horen daar SPF én DKIM bij de verzenddienst bij (eigen DKIM-sleutel op jouw domein, les 4.3 en 7.1), een DMARC-record en een afmeldknop die met één klik werkt.

Samenvatting

• Iedereen: SPF of DKIM, kloppende PTR, nette berichten, TLS, klachten onder 0,3%.
• Bulkverzenders (vanaf ongeveer 5.000 per dag, en dat blijf je): SPF én DKIM, DMARC met minstens p=none, uitlijning, afmelden met één klik, afmeldingen binnen twee dagen.
• Microsoft eist van bulkverzenders dat SPF én DKIM slagen, anders 550 5.7.515.
• Afmelden met één klik = List-Unsubscribe met een https-adres plus List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Meet met Google Postmaster Tools, Microsoft SNDS of de cijfers van je verzenddienst.

Quiz

Opdracht

Opdracht Z5.3: Je domein naast de eisen. Vul je eigen domein in en een DKIM-selector die je in de kopregels van een eigen mail hebt gevonden (s= in DKIM-Signature, les 4.3). Vul per eis in of je denkt dat je eraan voldoet: SPF aanwezig en geldig, DKIM-sleutel gevonden, DMARC aanwezig met een geldig p, rapportadres aanwezig, PTR van je MX-server klopt. Het programma doet dezelfde controles live en zet de uitslag naast jouw inschatting. Geen eigen domein? Gebruik dan sidn.nl (zonder DKIM-selector).

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Mijn e-mail komt niet aan of belandt in de spam: zo zoek je het uit
• Wat is DMARC? Uitleg in gewone taal
• Mag ik een mailing versturen via mijn hostingpakket bij WebOké?
• WebOké handleiding 6.7: De kaart E-mail instellen (MX, SPF, DKIM, DMARC)
• Google, Richtlijnen voor afzenders: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, Fout 550 5.7.515 in Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (afmelden met één klik)