SPF uitgelegd

Begrijp hoe een SPF-record bepaalt welke mailservers namens je domeinnaam mogen verzenden en hoe je het record veilig controleert of laat aanpassen.

Voor: beheerders van een domeinnaam en zakelijke e-mail

Wat is SPF?

SPF staat voor Sender Policy Framework. In een SPF-record staat welke mailservers e-mail namens je domeinnaam mogen versturen. Een ontvangende mailserver controleert of de verzender op deze lijst staat.

Een juist SPF-record helpt om misbruik van je domeinnaam te beperken en verkleint de kans dat legitieme e-mail wordt geweigerd of als ongewenst wordt behandeld.

Kort gezegd: neem iedere dienst die namens je domeinnaam e-mail verstuurt op in één geldig SPF-record en controleer het record opnieuw wanneer je van mailserver of verzenddienst wisselt.

Wat doet SPF wel en niet?

SPF controleert of een bericht via een toegestane mailserver is verzonden. Het controleert niet de inhoud van het bericht en biedt op zichzelf geen volledige bescherming tegen misbruik van het zichtbare afzenderadres.

Goed om te weten
SPF is één onderdeel van e-mailbeveiliging. Gebruik het samen met DKIM en DMARC voor een betere controle van de afzender.

Hoe leest een mailserver een SPF-record?

Een SPF-record is een TXT-record in de DNS. Een eenvoudig voorbeeld is:

v=spf1 include:_spf.voorbeeldprovider.nl -all

Onderdeel	Uitleg
`v=spf1`	Geeft aan dat dit een SPF-record is. Dit staat één keer aan het begin.
`include:`	Voegt de mailservers van een provider of verzenddienst toe.
`-all`	Geeft aan dat andere verzenders niet zijn toegestaan. Gebruik dit als alle verzenddiensten bekend en gecontroleerd zijn.
`~all`	Geeft een minder strenge uitkomst voor andere verzenders. Gebruik dit alleen als daar bewust voor is gekozen.

Let op
Een domeinnaam hoort één SPF-record te hebben. Maak geen tweede record voor een extra verzenddienst, maar voeg de benodigde onderdelen samen in het bestaande record. Meerdere SPF-records kunnen een blijvende SPF-fout veroorzaken.

Voor je begint

Bepaal wie de DNS van de domeinnaam beheert.
Maak een lijst van alle systemen die namens de domeinnaam verzenden, zoals de gewone mailboxen, Smart Software, een website, een boekhoudpakket of nieuwsbriefdienst.
Bewaar het huidige SPF-record voordat je iets laat wijzigen.

Waarschuwing
Verwijder een bestaande verzenddienst pas uit het SPF-record nadat je hebt gecontroleerd dat deze geen e-mail meer verstuurt. Een onvolledig of ongeldig record kan ervoor zorgen dat legitieme berichten als ongewenst worden behandeld of worden geweigerd. Laat een wijziging bij twijfel uitvoeren of controleren door de Troublefree-helpdesk.

Stap voor stap: een SPF-record controleren

Open een SPF-controle. Gebruik bijvoorbeeld het SPF-hulpmiddel van Kitterman.
Vul de domeinnaam in. Gebruik alleen de domeinnaam, bijvoorbeeld mijnfietswinkel.nl, en niet een volledig e-mailadres.
Vraag het bestaande SPF-record op. Controleer of het met v=spf1 begint en of maar één SPF-record wordt gevonden.
Controleer de verzenddiensten. Kijk of iedere gebruikte dienst is opgenomen. Vraag de leverancier om de juiste SPF-waarde als een dienst ontbreekt.
Laat de aangepaste waarde controleren. De DNS-beheerder kan de onderdelen samenvoegen en het volledige record valideren. Gebruik -all alleen als alle verzenddiensten bekend zijn.
Publiceer en test opnieuw. Houd rekening met verwerkingstijd van DNS-wijzigingen. Verstuur daarna een nieuw testbericht en controleer het SPF-resultaat.

SPF voor Troublefree en Smart Software

Neem alleen de waarden op van diensten die daadwerkelijk namens je domeinnaam e-mail versturen.

Verzenddienst	Toevoeging	Wanneer neem je deze op?
Mailservers van Troublefree	`include:_spf.troublefreehosting.nl`	Als de reguliere e-mail via de mailservers van Troublefree wordt verzonden.
Smart Software	`include:_spf.smartsoft.nu`	Als Smart Software namens dezelfde domeinnaam e-mail verstuurt.

Gebruikt een domein beide diensten en zijn er geen andere verzenders, dan kan het samengestelde record er als volgt uitzien:

v=spf1 include:_spf.troublefreehosting.nl include:_spf.smartsoft.nu -all

Dit is een voorbeeld, geen waarde om zonder controle over te nemen. Een website, scanner, nieuwsbriefdienst of ander pakket kan een extra toegestane verzender nodig hebben.

Wat verandert er na een SPF-wijziging?

Na publicatie gebruiken ontvangende mailservers het nieuwe record zodra hun eerder opgeslagen DNS-informatie is vernieuwd. Berichten van opgenomen verzenders kunnen daarna voor SPF slagen. Een niet-opgenomen verzender kan een zachte of harde SPF-fout krijgen, afhankelijk van het record.

Een geldig SPF-record garandeert niet dat ieder bericht in de inbox terechtkomt. Ontvangende partijen beoordelen ook DKIM, DMARC, de verzendreputatie, de berichtinhoud en hun eigen filters.

Te veel DNS-lookups in een SPF-record

Bij een SPF-controle mogen maximaal tien DNS-opzoekingen, ook wel lookups genoemd, nodig zijn. Verwijzingen met include: tellen mee. De records waarnaar deze verwijzen kunnen zelf ook weer lookups bevatten.

Wordt de grens overschreden, dan kan de SPF-controle een fout geven. Hierdoor kan legitieme e-mail als ongewenst worden behandeld of worden geweigerd.

Tip
Laat bij deze fout het volledige SPF-record controleren. Verwijder ongebruikte verzenddiensten en pas een waarde van een leverancier niet zelf aan. Splits het record ook niet op in meerdere SPF-records.

Veelvoorkomende SPF-problemen oplossen

Probleem	Waarschijnlijke oorzaak	Wat controleer je?
De controle vindt geen SPF-record.	Er is geen SPF-beleid gepubliceerd of het record staat bij een verkeerde naam.	Controleer met de DNS-beheerder waar het TXT-record is geplaatst en welke domeinnaam als technisch retouradres wordt gebruikt.
De controle meldt meerdere SPF-records.	Voor verschillende verzenddiensten zijn losse SPF-records aangemaakt.	Laat alle benodigde onderdelen samenvoegen tot één record dat één keer met `v=spf1` begint.
Een legitiem bericht krijgt SPF fail.	De gebruikte verzenddienst staat niet of niet juist in het SPF-record.	Controleer welke dienst het bericht heeft verstuurd en vergelijk het record met de instructies van die leverancier.
De controle meldt te veel DNS-opzoekingen.	Voor de controle zijn meer dan tien lookups nodig. Ook lookups binnen een `include:` tellen mee.	Laat de volledige keten controleren en verwijder ongebruikte verzenddiensten. Maak geen tweede SPF-record.
SPF slaagt, maar het bericht komt toch in de spam

SPF-record