Veelgemaakte fouten

Module 8: Verhuizen en je domein op orde · Leestijd: 13 minuten

Leerdoel: Na deze les kun je de twaalf meest gemaakte fouten met e-mail aan hun verschijnselen herkennen, verklaren waarom ze misgaan en ze oplossen.

Kernbegrippen: dubbel SPF-record, te veel SPF-opzoekingen, DMARC te vroeg op reject, DKIM niet aan bij een verzenddienst, doorsturen naar Gmail, catch-all, bezoeker als afzender, uitgaande server zonder authenticatie, mail.-servernaam zonder certificaat, volle mailbox, MX vergeten bij een verhuizing, POP3 op meerdere apparaten

Zo gebruik je deze les

Elke fout heeft dezelfde opbouw: wat je ziet (het verschijnsel, zoals een klant het meldt), waarom het misgaat, en hoe je het oplost. Vaak lijken de verschijnselen op elkaar ("mijn mail komt niet aan"), terwijl de oorzaak heel anders is. Daarom staat bij elke fout ook hoe je hem bevestigt: welk bewijs je zoekt voordat je iets verandert. Raad niet, meet eerst (les 6.3).

De nummers gebruik je in de opdracht.

Fouten in de DNS

Fout 1: twee SPF-records.
Je ziet: mail naar Gmail en Outlook.com belandt ineens in de spam, sinds je een nieuwe dienst (Microsoft 365, een nieuwsbrief, een boekhoudpakket) hebt gekoppeld. In de kopregels staat spf=permerror.
Waarom: de dienst zei "voeg dit SPF-record toe", en nu staan er twee TXT-records die met v=spf1 beginnen. Volgens RFC 7208 is dat een permanente fout: SPF telt helemaal niet meer.
Bevestig: zoek de TXT-records van je domein op en tel de v=spf1-records.
Oplossing: voeg alles samen in één record (les 4.2).

Fout 2: meer dan tien SPF-opzoekingen.
Je ziet: hetzelfde, spf=permerror, maar er is maar één record. Vaak na het toevoegen van de zoveelste include.
Waarom: elke include, a, mx, exists en redirect kost een DNS-opzoeking, ook binnen de includes. Boven de tien is SPF ongeldig.
Bevestig: laat een SPF-controle recursief tellen (opdracht Z4.2).
Oplossing: haal diensten weg die je niet meer gebruikt, vervang a en mx door ip4/ip6 als die vast zijn, of laat een dienst via een eigen bounce-subdomein versturen (les 7.1).

Fout 3: DMARC meteen op p=reject.
Je ziet: sinds een DMARC-record is gezet komen facturen uit het boekhoudpakket of mail van de website niet meer aan. Ontvangers geven 550 5.7.1 met een verwijzing naar DMARC.
Waarom: niet alle verzenders waren in beeld. Wat niet via uitgelijnde SPF of DKIM komt, wordt nu geweigerd.
Bevestig: het DMARC-record en de rapporten (les 4.5): welke bronnen falen?
Oplossing: terug naar p=none met een rapportadres, alle verzenders repareren, dan stap voor stap naar quarantine en reject (les 4.4). Dat is ook de advieslijn van deze cursus.

Fout 4: DKIM niet ingesteld bij de verzenddienst.
Je ziet: nieuwsbrieven halen bij steeds meer ontvangers de inbox niet. In de kopregels: dkim=pass header.d= het domein van de dienst, dmarc=fail.
Waarom: de dienst tekent met zijn eigen domein, dus DMARC kan niet slagen via DKIM, en SPF is ook niet uitgelijnd.
Bevestig: kopregels van een testnieuwsbrief (opdracht Z7.1).
Oplossing: authenticeer je domein bij de dienst (DKIM via CNAME, les 7.1).

Fouten met doorsturen en adressen

Fout 5: alles doorsturen naar Gmail.
Je ziet: mail van sommige afzenders komt niet aan op het Gmail-adres waar je je zakelijke mail heen stuurt, of belandt in de spam. Soms krijgen afzenders een bounce van Gmail.
Waarom: bij doorsturen komt de mail bij Gmail binnen van jouw server, die niet in de SPF van de oorspronkelijke afzender staat. Zonder DKIM of met een afzender met p=reject faalt DMARC. Daarnaast lijkt doorgestuurde spam voor Gmail spam die jij verstuurt, wat je reputatie schaadt.
Bevestig: de bounce of de kopregels bij Gmail (spf=fail of softfail met jouw server als bron).
Oplossing: niet doorsturen, maar de mailbox in de Gmail-app op je telefoon toevoegen via IMAP (les 2.4 en 3.3).

Fout 6: een catch-all.
Je ziet: veel spam op adressen die nooit hebben bestaan (xyz123@example.com), en een volle mailbox.
Waarom: een catch-all neemt mail aan voor elk denkbaar adres. Spammers proberen willekeurige adressen, en die komen allemaal binnen. Stuur je de catch-all ook nog door naar buiten, dan wordt het fout 5 in het groot.
Bevestig: kijk in de mailbox naar welke ontvangeradressen de spam ging.
Oplossing: catch-all uit, en voor elk echt gebruikt adres een alias of mailbox (les 3.3).

Fout 7: het bezoekersadres als afzender in een formulier.
Je ziet: berichten via het contactformulier komen soms wel en soms niet aan, vooral niet van bezoekers met een adres bij een grote aanbieder.
Waarom: je website verstuurt "namens" het domein van de bezoeker. Heeft dat domein p=reject of p=quarantine, dan weigert of filtert de ontvanger de mail (les 7.3).
Bevestig: kijk welke From het formulier gebruikt.
Oplossing: eigen adres in From, bezoeker in Reply-To.

Fouten bij het instellen

Fout 8: uitgaande server zonder authenticatie.
Je ziet: ontvangen werkt, versturen niet. Melding als "relay access denied", "authentication required" of 550 5.7.1. Op de iPhone vaak: de velden bij de uitgaande server leeg gelaten ("optioneel").
Waarom: een uitgaande server stuurt alleen mail door voor wie inlogt. Anders zou iedereen hem als spamkanon kunnen gebruiken.
Bevestig: de instellingen van de uitgaande server in het mailprogramma.
Oplossing: authenticatie aan, met het volledige e-mailadres en het wachtwoord, poort 587 met STARTTLS of 465 met SSL/TLS (les 1.4 en 2.3).

Fout 9: mail.<domein> als servernaam zonder passend certificaat.
Je ziet: een melding over een ongeldig certificaat of "kan identiteit van server niet verifiëren", of de verbinding lukt helemaal niet.
Waarom: het programma controleert of de servernaam in het certificaat staat. mail.example.com wijst misschien naar de server, maar staat niet in het certificaat. Of de naam wijst na een verhuizing nog naar de oude aanbieder.
Bevestig: laat de mailpoorten met de servernaam controleren (opdracht Z2.1 en Z8.4).
Oplossing: gebruik de servernaam die de aanbieder opgeeft, en klik nooit zomaar op "toch doorgaan" (les 2.1).

Fout 10: een volle mailbox.
Je ziet: afzenders krijgen een bounce met 452 4.2.2 of 552 5.2.2 (mailbox vol). Jij merkt niets, of alleen dat er geen nieuwe mail meer komt.
Waarom: de mailbox heeft zijn quota bereikt. Vaak door jaren aan bijlagen, of door een map Verzonden en Prullenbak die nooit leeg gaan.
Bevestig: het gebruik van de mailbox in het paneel of de webmail.
Oplossing: opruimen, archiveren, of de quota verhogen (les 3.2).

Fouten bij verhuizen

Fout 11: de MX vergeten bij een verhuizing.
Je ziet: na het verhuizen van de website of het domein komt er geen mail meer binnen, of hij komt binnen op een plek waar niemand kijkt. Of andersom: je hebt de mail naar een nieuwe aanbieder verhuisd, maar de MX wijst nog naar de oude.
Waarom: bij een nameserverwissel gaat de hele zone mee. Staan de MX-records van de mailaanbieder niet in de nieuwe zone, dan wijst je mail naar de nieuwe webserver. Of de MX is nooit aangepast.
Bevestig: MX opvragen bij de gezaghebbende nameserver (opdracht Z8.2).
Oplossing: zet de juiste MX-records in de zone die echt actief is, en kopieer daarna nog een keer de mail (les 8.2).

Fout 12: POP3 op meerdere apparaten.
Je ziet: mail staat op de laptop maar niet op de telefoon, of andersom. Na het vervangen van de laptop is jaren aan mail weg.
Waarom: POP3 haalt de mail van de server naar één apparaat en verwijdert hem daar vaak (les 1.3).
Bevestig: het accounttype in het mailprogramma.
Oplossing: overstappen naar IMAP; de mail die alleen lokaal staat eerst naar de IMAP-mailbox slepen.

Wat de fouten gemeen hebben

Bekijk de lijst nog eens. Bijna elke fout ontstaat doordat iemand een losse instructie volgde ("voeg dit record toe", "zet doorsturen aan") zonder het geheel te zien. De rode draad van deze cursus:

• weet wie er namens je domein mailt (inventaris, les 4.2 en 8.1);
• verander één ding tegelijk en controleer daarna;
• lees het bewijs: de bounce (les 6.1), de kopregels (les 1.5), het DMARC-rapport (les 4.5) en de DNS bij de gezaghebbende server.

Samenvatting

• DNS-fouten: twee SPF-records, te veel opzoekingen, DMARC te vroeg op reject, DKIM niet aan bij een verzenddienst.
• Adresfouten: doorsturen naar Gmail, catch-all, het bezoekersadres als From.
• Instelfouten: geen authenticatie uitgaand, een servernaam die niet in het certificaat staat, een volle mailbox.
• Verhuisfouten: MX vergeten, POP3 op meerdere apparaten.
• Bevestig de oorzaak altijd met bewijs voordat je iets verandert.

Quiz

Opdracht

Opdracht Z8.3: Welke fout is het? Je krijgt acht korte casussen, elk met een verschijnsel en een stukje bewijs (een kopregel, een bounce, een DNS-antwoord of een instelling). Kies per casus het nummer van de fout (1 tot en met 12). Het programma kijkt na met een vaste sleutel en laat bij een fout antwoord zien welk bewijs je over het hoofd zag.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 18.9: Ik ontvang geen e-mail meer
• DirectAdmin handleiding 18.10: Ik kan geen e-mail versturen
• Ik ontvang geen e-mail meer: zo zoek je de oorzaak
• Ik kan geen e-mail versturen (ontvangen werkt wel)
• E-mail doorsturen naar een ander adres (forwarders, catch-all afgeraden)
• Gratis DNS-cursus 8.4: Veelgemaakte fouten