Module 4 · 4.1

Nederlands

Nederlands Deutsch

Waarom mail in de spam belandt

Module 4: Afleverbaarheid: SPF, DKIM en DMARC in de praktijk · Leestijd: 10 minuten

Leerdoel: Na deze les kun je de vier lagen benoemen waarop een ontvanger een binnenkomende mail beoordeelt, uitleggen waarom "bij mij komt het wel aan" niets bewijst, en met een test vaststellen in welke laag een probleem zit.

Kernbegrippen: afleverbaarheid (deliverability), aflevering vs. inbox, technische netheid, authenticatie (SPF, DKIM, DMARC), uitlijning, IP-reputatie, domeinreputatie, inhoud, gedrag van ontvangers (klachten, openen, verwijderen), filters per ontvanger, Authentication-Results, testmail, meettools

Afgeleverd is niet hetzelfde als aangekomen

Als jouw server een mail heeft overgedragen aan de server van de ontvanger, en die antwoordde met 250 OK, dan is de mail afgeleverd. Daarmee weet je nog niet of hij in de Postvak IN staat. De ontvangende server kan hem daarna in de spammap zetten, in een tabblad "Reclame", in quarantaine, of zelfs stilletjes weggooien.

Afleverbaarheid (in het Engels deliverability) gaat over die tweede stap: komt je mail waar hij hoort? En dat besluit iedere ontvanger zelf. Gmail weegt anders dan Microsoft, en een bedrijf met een eigen spamfilter weer anders. Er is geen centrale lijst van regels. Wel zijn de lagen waarop ze beoordelen overal ongeveer dezelfde.

Laag 1: technische netheid

Voordat een filter naar de inhoud kijkt, kijkt het naar de verbinding:

Heeft het IP-adres van de verzendende server een nette reverse DNS (PTR), die terugwijst naar hetzelfde adres? (Les 5.1.)
Stelt de server zich netjes voor met een echte naam in EHLO?
Wordt de verbinding versleuteld met TLS?
Houdt de server zich aan de regels van SMTP, en probeert hij het opnieuw na een tijdelijke weigering?

Bij een mailbox van een hostingbedrijf of een grote maildienst is dit vrijwel altijd in orde. Het wordt een punt als je zelf een server draait, zoals een VPS die rechtstreeks mailt, of een printer of camera die zelf mail verstuurt.

Laag 2: authenticatie

Dit is de laag waar jij als domeinbeheerder het meeste aan kunt doen, en waar deze module over gaat:

SPF (les 4.2): mag deze server namens het domein mailen?
DKIM (les 4.3): is de mail ondertekend, en klopt de handtekening?
DMARC (les 4.4): hoort de geslaagde controle bij het domein in het Van-adres (uitlijning), en wat moet de ontvanger doen als dat niet zo is?

De basis van deze drie records staat in de DNS-cursus, module 4. Hier gaat het over de praktijk: alle diensten die namens je mailen in beeld krijgen, en het beleid stap voor stap aanscherpen.

Ontbreekt de authenticatie, dan zakt de beoordeling. Sinds 2024 en 2025 is het bij de grote ontvangers ook een harde eis: Gmail, Yahoo en Microsoft willen minstens SPF of DKIM van iedereen, en van bulkverzenders SPF, DKIM en DMARC met uitlijning. Dat komt in les 5.3 uitgebreid aan bod.

Laag 3: reputatie

Een ontvanger onthoudt wat hij eerder van een afzender kreeg. Daarbij kijkt hij naar:

IP-reputatie: wat kwam er eerder van dit IP-adres? Bij gedeelde hosting en grote maildiensten delen veel afzenders een IP; één slechte afzender kan dan iedereen raken. Een nieuw IP zonder geschiedenis wordt voorzichtig behandeld.
Domeinreputatie: wat kwam er eerder van dit domein (het domein in het Van-adres en het DKIM-domein)? Dit weegt steeds zwaarder, juist omdat DKIM en DMARC een domein betrouwbaar herkenbaar maken. Een goede domeinreputatie neem je mee als je van server wisselt.
Blocklists: openbare lijsten met IP-adressen of domeinen die spam verstuurden (les 5.2).

Reputatie bouw je langzaam op en verlies je snel.

Laag 4: inhoud en gedrag

Pas als laatste kijkt een filter naar de mail zelf, en naar wat ontvangers ermee doen:

Inhoud: links naar domeinen met een slechte naam, verkorte links, alleen een groot plaatje zonder tekst, bijlagen met macro's, een onderwerp dat niets met de inhoud te maken heeft, kapotte opmaak.
Gedrag van ontvangers: dit weegt bij de grote maildiensten het zwaarst. Klikken veel ontvangers op "Dit is spam", dan zakt je reputatie. Worden je mails geopend, beantwoord of uit de spammap gehaald, dan stijgt hij. Gmail wil dat minder dan 0,3% van de ontvangers je mail als spam markeert, en liever minder dan 0,1%.

Het idee dat losse "spamwoorden" als gratis of aanbieding je mail tegenhouden, is grotendeels een mythe. Moderne filters wegen het geheel. Een nieuwsbrief met het woord gratis van een afzender met goede authenticatie en een goede reputatie komt prima aan; een nette tekst van een onbekende server zonder SPF niet.

Waarom "bij mij komt het wel aan" niets zegt

Je stuurt een testmail naar je eigen Gmail-adres en hij staat in de Postvak IN. Dus is alles goed? Niet per se:

Je hebt waarschijnlijk eerder mail met dat adres uitgewisseld. Een filter vertrouwt een afzender met wie je contact hebt meer.
Eén ontvanger is niet de andere. Microsoft kan een mail weigeren die Gmail accepteert.
Eén mail is niet duizend. Een nieuwsbrief aan duizend adressen wordt anders beoordeeld dan een losse mail.

Een testmail is wel nuttig, maar dan om de kopregels te lezen (les 1.5). Daar staat precies wat de ontvanger vond:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Hier slagen alle drie. Staat er spf=softfail, dkim=none of dmarc=fail, dan weet je in welke laag je moet zoeken. Zo stel je het probleem vast in plaats van te gokken.

Een aanpak in drie stappen

Controleer je DNS met een tool die MX, SPF, DKIM, DMARC en blocklists bekijkt. Voorbeelden: de E-mailcheck en Domein gezondheid van WebOké, internet.nl, MXToolbox. Die laten zien wat er in de DNS staat, maar niet hoe een echte mail wordt beoordeeld.
Stuur een echte testmail naar een adres bij Gmail en bij Outlook.com, of naar een testdienst zoals mail-tester, en lees de kopregels of het rapport. Zo zie je of de mail in de praktijk door SPF, DKIM en DMARC komt.
Kijk naar reputatie en gedrag als de techniek klopt: staat je IP op een blocklist? Verstuur je nieuwsbrieven aan mensen die erom hebben gevraagd? Als grote verzender kun je bij Google Postmaster Tools en Microsoft SNDS meekijken.

In de praktijk: zo ziet het eruit in een paneel

Op de website van WebOké staat de gratis E-mailcheck (www.weboke.nl/emailcheck): je vult een domein in en ziet een score met MX, SPF, DMARC en de blocklistcontrole van de eerste mailserver, met advies. In Mijn WebOké controleert Domein gezondheid hetzelfde voor je eigen domeinen, met herstelknoppen. Het zijn twee tools van vele; internet.nl en MXToolbox doen vergelijkbare controles, en elke aanbieder heeft zijn eigen versie. Gebruik er een paar naast elkaar: geen enkele tool ziet alles.

Samenvatting

Afgeleverd betekent alleen dat de ontvangende server de mail heeft aangenomen; of hij in de inbox komt, beslist de ontvanger.
Ontvangers beoordelen in vier lagen: techniek, authenticatie, reputatie en inhoud/gedrag.
Authenticatie (SPF, DKIM, DMARC) heb je zelf in de hand en is bij grote ontvangers een harde eis.
Klachten van ontvangers wegen zwaarder dan losse woorden in je tekst.
Lees de kopregel Authentication-Results van een testmail om te zien waar het misgaat.

Quiz

Opdracht

Opdracht Z4.1: Je domein door de e-mailcheck halen. Vul je eigen domein in (of, als je dat niet hebt, internet.nl). Het programma controleert MX, SPF, DKIM-selectors die het kan vinden, DMARC en de blocklistcontrole van de eerste mailserver. Vul daarna zelf in: welk SPF-einde het domein heeft, welk DMARC-beleid, en of de eerste mailserver op een blocklist staat. Het programma zet jouw antwoorden naast de live uitkomst. Leg in één zin uit in welke van de vier lagen jouw domein het meest te verbeteren heeft.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing