Nieuwsbrieven vanaf je eigen domein

Module 7: Nieuwsbrieven en mail vanaf je website · Leestijd: 11 minuten

Leerdoel: Na deze les kun je een verzenddienst zo koppelen dat je nieuwsbrief namens je eigen domein door SPF, DKIM en DMARC komt, en kun je in de kopregels controleren of dat gelukt is.

Kernbegrippen: verzenddienst, From-domein, Return-Path (bounce-domein), DKIM-domein (d=), uitlijning (alignment), eigen bounce-domein via CNAME, DKIM via CNAME, subdomein voor marketing, verzendlimiet, opwarmen (warm-up)

Waarom een nieuwsbrief iets anders is dan gewone mail

Een mail aan een klant of collega verstuur je vanuit je eigen mailbox. Een nieuwsbrief gaat naar honderden of duizenden mensen tegelijk. Voor ontvangers als Gmail, Outlook.com en T-Online is dat een ander soort verkeer: bulkmail. Ze kijken er strenger naar, omdat bijna alle spam ook bulkmail is.

Drie dingen maken het verschil tussen een nieuwsbrief die in de inbox komt en een die in de spam verdwijnt:

1. Techniek: de mail moet aantoonbaar van jouw domein komen. Dat regelen SPF, DKIM en DMARC, en vooral de uitlijning daartussen.
2. Reputatie: de servers en het domein waarmee je verstuurt, moeten een goede naam hebben (les 5.2).
3. Gedrag van je ontvangers: openen ze je mail, of klikken ze op "Dit is spam"? Dat hangt af van je lijst en van toestemming (les 7.2).

Deze les gaat over het eerste punt. De basis van de records staat in de DNS-cursus, les 7.4. Hier kijken we hoe je in de praktijk controleert of alles klopt.

Waarom niet gewoon via je eigen mailbox?

Het kan verleidelijk zijn om een nieuwsbrief met BCC vanuit je gewone mailprogramma te sturen, of met een mailinglijst op je hostingpakket. Voor een kleine vereniging met dertig leden die elkaar kennen, is een mailinglijst prima. Voor een echte nieuwsbrief niet, om vier redenen:

• Verzendlimieten. Bijna elke aanbieder begrenst hoeveel mail een mailbox of pakket per dag mag versturen, om misbruik te beperken. Bij WebOké zie je die limiet in DirectAdmin bij de gebruikersstatistieken; bij andere aanbieders staat hij in de voorwaarden of het klantpaneel. Een nieuwsbrief aan 2.000 mensen gaat daar ruim overheen.
• Gedeelde reputatie. Je deelt de verzendserver met andere klanten. Klagen ontvangers over jouw nieuwsbrief, dan raakt dat ook hun mail, en omgekeerd.
• Geen afmeldknop en geen bouncebeheer. Een verzenddienst zet automatisch de afmeldkopregels in elke mail (les 7.2), haalt adressen die niet meer bestaan van je lijst en verwerkt klachten. Dat doe je met de hand nooit goed.
• Privacy. Eén verkeerde klik en je stuurt iedereen elkaars adres in het Aan-veld.

Een verzenddienst (nieuwsbriefdienst zoals Laposta, Brevo, MailerLite of Mailchimp, of een transactiedienst voor bevestigingen en facturen) is gemaakt voor dit werk. Maar dan verstuurt een ander namens jouw domein, en dat moet je aantonen.

Drie domeinen in één mail

Elke mail heeft minstens drie plekken waar een domein staat. Bij gewone mail vanuit je eigen mailbox zijn die meestal gelijk. Bij een verzenddienst niet vanzelf.

DMARC (les 4.4) keurt een mail goed als SPF of DKIM slaagt, en het domein dat slaagde uitgelijnd is met het From-domein. Uitgelijnd betekent bij de standaardinstelling (relaxed) dat het hetzelfde organisatiedomein is: mail.example.com is uitgelijnd met example.com, maar sender.example niet.

Zonder eigen instellingen ziet een nieuwsbrief er dan zo uit:

Return-Path: <bounce-8f3a@mail.sender.example>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=sender.example; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=mail.sender.example;
       dkim=pass header.d=sender.example;
       dmarc=fail header.from=example.com

SPF slaagt en DKIM slaagt, maar allebei voor het domein van de dienst. Geen van beide is uitgelijnd met example.com, dus DMARC faalt. Staat je DMARC-beleid op p=none, dan merk je daar alleen iets van in je rapporten (les 4.5). Staat het op quarantine of reject, dan verdwijnt je nieuwsbrief in de spam of wordt hij geweigerd.

De oplossing: domein authenticeren bij de dienst

Elke serieuze verzenddienst heeft een stap die "domein authenticeren", "domein verifiëren" of "afzenderdomein instellen" heet. De dienst geeft je dan een paar records om in je DNS te zetten. Meestal zijn dat:

1. DKIM via CNAME, bijvoorbeeld s1._domainkey.example.com naar een naam bij de dienst. Daarna tekent de dienst je mail met d=example.com. Dit is het belangrijkste record: daarmee slaagt DMARC via DKIM.
2. Een eigen bounce-domein, vaak een CNAME op een subdomein, bijvoorbeeld bounce.example.com naar de dienst. Dan wordt het Return-Path ...@bounce.example.com. SPF van dat subdomein wijst via de CNAME naar de dienst, en SPF is dan ook uitgelijnd. Niet elke dienst biedt dit; DKIM alleen is genoeg voor DMARC.
3. Soms een SPF-include in je eigen record, als de dienst je hoofddomein als Return-Path gebruikt. Doe dat alleen als de dienst erom vraagt, en altijd in je bestaande SPF-record (les 4.2).
4. Soms een verificatie-TXT om te bewijzen dat het domein van jou is.

Na de juiste instellingen ziet dezelfde nieuwsbrief er zo uit:

Return-Path: <bounce-8f3a@bounce.example.com>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=bounce.example.com;
       dkim=pass header.d=example.com;
       dmarc=pass header.from=example.com

Neem de namen en doelen altijd letterlijk over uit het dashboard van je dienst. Ze verschillen per dienst en soms per account.

Een apart subdomein voor marketing?

Grote verzenders gebruiken vaak een eigen subdomein voor nieuwsbrieven, zoals nieuws.example.com of info.example.com, met als afzender nieuwsbrief@nieuws.example.com. Het idee: de reputatie van je marketingmail staat dan los van je gewone mail. Gaat een campagne mis, dan lijdt je dagelijkse mail met klanten er minder onder.

Voor wie een paar keer per maand een nieuwsbrief verstuurt, is dat niet nodig. Het maakt het beheer wel ingewikkelder: het subdomein heeft eigen DKIM nodig, en je DMARC-beleid voor subdomeinen (sp=) moet erbij passen. Overweeg het als je veel verstuurt of als je naast nieuwsbrieven ook veel transactiemail (bestellingen, wachtwoorden) hebt. Die wil je nooit laten lijden onder een mislukte actie.

Belangrijk: zet op een verzendsubdomein geen MX-record naar de dienst als je dat niet nodig hebt, en wijzig nooit de MX van je hoofddomein voor een nieuwsbrief. De MX bepaalt waar mail binnenkomt; antwoorden op je nieuwsbrief moeten gewoon in je eigen mailbox landen.

Opwarmen: niet meteen met alles beginnen

Verstuur je voor het eerst met een nieuwe dienst of een nieuw domein, of stuur je ineens tien keer zoveel als normaal? Dan kennen de ontvangers je nog niet. Grote ontvangers remmen onbekende verzenders af (bij Microsoft zie je dan tijdelijke weigeringen zoals 451 4.7.500, les 6.4). Begin daarom klein: eerst je actiefste lezers, daarna elke keer een groter deel. Dat heet opwarmen. Bij een gedeelde verzenddienst doet de dienst veel hiervan zelf, maar ook daar telt de reputatie van jouw domein.

In de praktijk: zo ziet het eruit in een paneel

Je zet de records van de dienst in het DNS-beheer van je domein. Bij WebOké is dat het tabblad DNS in Mijn WebOké of DNS Beheer in DirectAdmin; bij andere aanbieders heet het DNS-beheer, zonebeheer of DNS-records en werkt het vergelijkbaar. Let op de twee klassieke fouten: de domeinnaam dubbel in de naam (s1._domainkey.example.com.example.com), en een TXT-record maken waar de dienst om een CNAME vraagt.

Klaar? Stuur een testnieuwsbrief naar een eigen Gmail- of Outlook.com-adres en open de kopregels (les 1.5). Je wilt bij Authentication-Results zien: dkim=pass met header.d= jouw domein, en dmarc=pass.

Samenvatting

• Een nieuwsbrief is bulkmail: ontvangers kijken strenger. Gebruik een verzenddienst, niet je gewone mailbox.
• In elke mail staan drie domeinen: From (DMARC), Return-Path (SPF) en het DKIM-domein d=.
• DMARC slaagt alleen als SPF of DKIM slaagt voor een domein dat uitgelijnd is met het From-domein.
• Authenticeer je domein bij de dienst: DKIM via CNAME is het belangrijkste, een eigen bounce-domein is een plus.
• Controleer met een testmail: dkim=pass header.d=<jouw domein> en dmarc=pass. Begin bij een nieuwe dienst klein.

Quiz

Opdracht

Opdracht Z7.1: Uitlijning van een nieuwsbrief controleren. Stuur een nieuwsbrief van je eigen verzenddienst naar jezelf (of gebruik het voorbeeldbestand nieuwsbrief-kopregels-1.txt uit de cursus) en plak de kopregels. Vul in: het From-domein, het Return-Path-domein, het DKIM-domein (d=) en of DMARC volgens jou slaagt (ja/nee) en via welke weg (SPF, DKIM, beide of geen). Het programma ontleedt de kopregels zelf, controleert de DKIM-selector live in de DNS en het DMARC-record van het From-domein, en zet zijn uitkomst naast de jouwe.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• Gratis DNS-cursus 7.4: Nieuwsbrief- en verzenddiensten
• Gratis DNS-cursus 4.5: DMARC: wat ontvangers moeten doen met nepmail
• DirectAdmin handleiding 5.8: DKIM aanzetten en controleren
• DirectAdmin handleiding 7.10: Mailing Lijsten
• Limiet voor het versturen van mail
• Mag ik een mailing versturen via mijn hostingpakket bij WebOké?
• Google, Richtlijnen voor afzenders (Email sender guidelines): https://support.google.com/a/answer/81126