Mail-instellingen (SPF, DKIM en DMARC)

Er zijn enkele dingen die je als beheerder kan doen om te zorgen dat e-mails die verzonden worden vanaf de server van Gebiedonline, correct worden afgeleverd. Het belangrijkste wat je moet doen, is nooit een domeinnaam gebruiken die je niet zelf beheert, zoals gmail.com of outlook.com. Mails die verzonden worden met deze domeinen als afzender, worden snel als spam beschouwd.

Verder zijn drie belangrijk technieken: SPF, DKIM en DMARC. Opmerking vooraf: tot nu toe werkt verzending van mails het beste zonder SPF, DKIM en DMARC record in de DNS. Problemen ontstaan zodra er iets is ingesteld, maar niet goed of volledig. Dus als je je er niet in wilt verdiepen, verwijder dan deze records uit de DNS (indien ze er zijn).

Voor als je je er wel in wilt verdiepen, is hier wat korte uitleg.

SPF (Sender Policy Framework)
SPF is een manier om te bepalen welke servers e-mails mogen versturen namens jouw domeinnaam (bijv. buurtgroen020.nl). Het is niet verplicht om dit te doen, maar als je het niet doet, mogen alle servers op de wereld e-mails versturen namens jouw domeinnaam. Dus beter is om wel een SPF-record in je DNS op te nemen. Als je een SPF-record invult, moet je aangeven dat je de server van Gebiedonline toestaat om mails vanaf jouw domeinnaam te versturen. Als je dat verkeerd invult, kan het zijn dat de e-mail niet goed wordt afgeleverd, bijv. doordat de e-mail wordt geweigerd of gemarkeerd als spam.

Hoe stel je SPF in?
Voeg een SPF-record toe aan je DNS. Een goed voorbeeld is:

Type: TXT
Name: @
Content: "v=spf1 a -all"

Dit werkt goed in combinatie met een A-record waarin het IP-adres van de Gebiedonline-server is ingevuld. Als de domeinnaam van jouw emailadres gelijk is aan het domeinnaam van de website, heb je dit al gedaan bij het opstarten van de website (zie gebiedonline.nl/starten).

Met deze instelling is tevens ingesteld dat alleen de Gebiedonline-server e-mails van jouw domein mag versturen (door de "-all").

Als er meerdere servers mails mogen versturen met jouw domeinnaam als afzender, dan wordt het ingewikkelder. Dit komt bijv. voor als de domeinnaam die jij nu gebruikt als afzender van de emails, al langer in gebruik is. In dat geval is er al een SPF-record en moet het ip-adres van de Gebiedonline-server worden toegevoegd aan het bestaande SPF-record. Geef dan ons IP-adres door aan de DNS-beheerder: 83.96.254.177.
DKIM (DomainKeys Identified Mail)
DKIM voegt een digitale handtekening toe aan je e-mails. Deze handtekening zorgt ervoor dat de e-mail niet gewijzigd kan worden tijdens het transport. Ontvangers kunnen verifiëren dat de e-mail echt van jouw domein komt en niet is vervalst. Het instellen van DKIM is voor ons soort gebruik niet noodzakelijk, maar als je het wilt gebruiken, kunnen we een publieke DKIM-key (hieronder aangeduid met JOUW_PUBLIEKE_SLEUTEL) en een DKIM-selector (hieronder aangeduid met JOUW_SELECTOR) aanleveren.

Hoe stel je DKIM in?
Voeg een DKIM-record toe aan je DNS. Een goed voorbeeld is:

Type: TXT
Name: JOUW_SELECTOR._domainkey
Content: "v=DKIM1; k=rsa; p=JOUW_PUBLIEKE_SLEUTEL"

Sommige DNS-providers vullen de name automatisch aan. Stel dat je domein voorbeeld.nl is. Dan kan de provider cxmail._domainkey automatisch veranderen in cxmail._domainkey.voorbeeld.nl. Er zijn helaas ook providers die de domeinnaam niet automatisch toevoegen, maar waarbij dat wel nodig is. Meestal is dit af te leiden uit de manier waarop jouw DNS-provider andere records in de DNS weergeeft.

LET OP: laat me weten zodra je de DKIM hebt ingesteld (via Signal), want vanaf dat moment activeer ik de DKIM ook bij het verzenden van de mails vanaf de Gebiedonline-server.
DMARC (Domain-based Message Authentication, Reporting & Conformance)
DMARC is een beleid waarmee je controle hebt over wat er gebeurt als een e-mail niet door SPF of DKIM komt. Je kunt instellen dat e-mails die niet geverifieerd kunnen worden, worden geweigerd, of dat je een rapport ontvangt over verdachte e-mails.

Hoe stel je DMARC in?
Voeg een DMARC-record toe aan je DNS-instellingen. Een goed voorbeeld is:

Type: TXT
Name: _dmarc
Content: "v=DMARC1; p=reject;"

Hiermee geef je aan dat mails met jouw domeinnaam die niet van de server van Gebiedonline komen, niet worden afgeleverd bij de ontvanger.

Let op: DMARC werkt alleen als je SPF of DKIM goed hebt geconfigureerd. Als je niet zeker weet wat je doet, gebruik dan beter geen DMARC of betrek een specialist erbij. Voor het dagelijkse gebruik van Gebiedonline is een DMARC-instelling niet essentieel.

Testen

Je kan je instellingen testen via bijv. https://mail-tester.com. Je krijgt daar direct een e-mailadres om een mail mee te testen. Stuur hier bijv. je nieuwsbrief heen via de testmail-optie. Ga daarna terug naar mail-tester en check je score. Je krijgt een uitgebreid rapport over wat er wel of niet goed is aan je mail. Het liefst zien we score 10/10, maar 9.8/10 is ook echt goed genoeg. Als je score lager is dan 9/10, dan is er een reële kans dat jouw e-mail wordt geweigerd of als spam wordt beschouwd.

Meer weten?

Uiteraard valt er veel meer te weten over SPF, DKIM en DMARC. Bovenstaand is een zeer korte samenvatting, gericht op beheerders bij Gebiedonline met weinig technische kennis. Als je meer over wilt weten, is er op het Internet veel over te vinden.

P.S. Als je je DNS-instellingen wilt controleren zonder in te loggen op je DNS, dan kan je https://mxtoolbox.com gebruiken, maar dit vraagt wel iets meer technische handigheid.