Direct naar de inhoud
Aan de slag

SPF-checker en recordgenerator

Zoek het SPF-record van elk domein op, zie elke include die het volgt en of het binnen de 10 DNS-lookups blijft die ontvangers toestaan. Maak daarna een schoon record voor de diensten die je mail versturen.

SPF-record maken
Screenshot van TXT-records in de DNS-manager van DNSense
Gratis SPF-tools

Controleer of maak een SPF-record

Uitleg

Hoe SPF werkt en hoe je een record leest

SPF (Sender Policy Framework) is een DNS TXT-record met de servers die namens je domein mail mogen versturen. Een ontvangende server zoekt het record op van het domein in de envelope-afzender, vergelijkt het IP-adres van de verbinding ermee en besluit het bericht te accepteren, te markeren of te weigeren. Zonder SPF kan iedereen mail versturen die van jou lijkt te komen. SPF is ook een van de controles achter DMARC, dat grote mailproviders inmiddels van elke afzender verwachten.

Een record is een lijst met termen die van links naar rechts wordt gelezen. De eerste term die bij de verzendende server past, bepaalt de uitkomst.

TermBetekenis
v=spf1Markeert het record als SPF. Staat altijd vooraan.
ip4:203.0.113.5, ip6:2001:db8::/32Staat een IP-adres of reeks toe. Kost geen DNS-lookup.
include:_spf.google.comStaat ook alles toe wat het SPF-record van het andere domein toestaat. Kost een lookup, plus de lookups erin.
mx, aStaat de servers uit je MX-records toe, of het adres waar je domein naar verwijst. Elk een lookup.
~allSoftfail: andere afzenders zijn verdacht. Gebruik -all om ze te weigeren.

SPF staat als TXT-record op de root van je domein. Met DNSense bewerk je het bij elke provider vanuit een tabel en bewaar je een back-up van de zone voordat je iets wijzigt.

Valkuilen

Zes SPF-fouten die mail laten mislukken

De meeste mislukte SPF-controles komen neer op een van deze fouten.

Meer dan 10 DNS-lookups

Elke include, a, mx, ptr, exists en redirect telt mee, ook in ingesloten records. Meer dan 10 is een permanente fout. Verwijder ongebruikte diensten of vervang een include door de ip4- en ip6-reeksen erin.

Twee SPF-records

Een domein mag maar een TXT-record hebben dat met v=spf1 begint. Voeg ze samen.

+all of ?all

Beide laten iedereen als jouw domein mailen. Sluit het record af met ~all of -all.

Een typefout in een include

Een include naar een naam zonder SPF-record is een permanente fout voor het hele record.

Een afzender vergeten

Met -all wordt mail van een niet-opgenomen nieuwsbriefdienst of factuursysteem geweigerd. Begin met ~all, bekijk je DMARC-rapporten en scherp daarna aan.

Lookups zonder resultaat

Meer dan 2 lege lookups is ook een fout. Verwijder de a-, mx- of exists-termen die naar namen zonder records wijzen.

Vragen

Veelgestelde vragen over SPF

Een SPF-record is een DNS TXT-record met de mailservers en diensten die e-mail mogen versturen voor je domein. Ontvangende servers controleren het om te bepalen of een bericht echt van jou komt.

Vul je domein in bij de checker. Die leest het TXT-record uit DNS, volgt elke include, telt de DNS-lookups en toont fouten en waarschuwingen, met bij elk een oplossing.

SPF staat 10 DNS-lookups per controle toe, waarbij elke include, a, mx, ptr, exists en redirect meetelt, ook in ingesloten records. Daarboven geven ontvangers een permanente fout en kan je mail de authenticatie niet doorstaan.

Met ~all (softfail) zeg je tegen ontvangers dat andere afzenders verdacht zijn maar toch geaccepteerd kunnen worden. Met -all (fail) vraag je mail van niet-opgenomen afzenders te weigeren. Begin met ~all en stap over op -all zodra elke afzender is opgenomen.

Nee. Twee TXT-records die met v=spf1 beginnen veroorzaken een permanente fout. Zet alle afzenders samen in een record.

Maak een TXT-record op de root van je domein (naam @) met het record als waarde. Vervang een bestaand SPF-record in plaats van een tweede toe te voegen. De wijziging is zichtbaar zodra de TTL van het oude record is verstreken.

Niet volledig. SPF controleert de envelope-afzender, niet het Van-adres dat mensen zien. Combineer het met DKIM en een DMARC-beleid om ook het zichtbare Van-adres te beschermen.

Nee. De checker zoekt de openbare DNS-records van het ingevulde domein op en toont het resultaat. De generator draait in je browser.