Een zakelijke mailbox is vaak verbonden met meerdere verzenddiensten. SPF (Sender Policy Framework) helpt een ontvangende mailserver om te controleren of de server die de e-mail aanbiedt namens een bepaald envelope-domein mag verzenden. De toegestane bronnen staan in een DNS TXT-record.

Hoe ziet een SPF-record eruit?

Een gangbaar voorbeeld:

voorbeeld.nl TXT "v=spf1 include:spf.protection.outlook.com -all"

De eigenaar staat hiermee toe dat servers die via de opgegeven include worden geautoriseerd namens het betreffende domein verzenden. -all geeft aan dat andere bronnen voor die SPF-identiteit ongeautoriseerd zijn. Een DNS-zone mag meerdere TXT-records bevatten; per domeinnaam hoort maximaal één geldig SPF-beleidsrecord te bestaan.

Wanneer slaagt SPF?

Een ontvangende server kijkt naar het IP-adres van de verzendende server en het domein in het SMTP-envelope (MAIL FROM), of bij bepaalde gevallen HELO. SPF controleert niet rechtstreeks de From:-naam die een medewerker in zijn mailprogramma ziet.

Voor DMARC is daarom alignment belangrijk: het SPF-domein moet, binnen de gekozen DMARC-instellingen, overeenkomen met het zichtbare afzenderdomein.

Veelvoorkomende afwijkingen

  • Een nieuw facturatie- of marketingplatform verzendt via een niet-geautoriseerde bron.
  • Oude include-verwijzingen blijven staan na een migratie.
  • Meerdere TXT-records die allebei met v=spf1 beginnen leiden tot een SPF-permanent error.
  • Het SPF-mechanisme overschrijdt de limiet van maximaal tien DNS-opzoekingen voor specifieke mechanismen/modifiers.
  • Een doorgestuurde mail kan SPF verliezen omdat het bericht via een andere server bij de eindontvanger aankomt.

Bij zulke afwijkingen is een grondige beoordeling van de werkelijke verzendstromen belangrijker dan zomaar extra IP-adressen toevoegen.

SPF controleren in de praktijk

Vraag je beheerder om het TXT-record op het juiste domein uit te lezen, de gebruikte mailplatforms te inventariseren en testmails te beoordelen aan de hand van Authentication-Results. Controleer zowel het SPF-resultaat als het domein voor DMARC-alignment.

Wat controleert Kynexis Domeinmonitoring? Het gepubliceerde SPF-record, zichtbare DNS-afwijkingen en — binnen Premium op basis van ontvangen DMARC-aggregatierapporten — de door ontvangers gerapporteerde SPF-uitkomsten. Een SPF-DNS-record alleen bewijst niet dat alle uitgaande e-mail goed wordt geaccepteerd.

Vragen

Is ~all hetzelfde als -all? Nee. ~all drukt softfail uit; -all fail. Het werkelijke effect hangt mede af van de ontvangende mailprovider en het DMARC-beleid.

Moet mijn DNS-record alle leveranciers bevatten? Alle verzendbronnen die met het desbetreffende SPF-envelope-domein werken, moeten passend geautoriseerd zijn. Met DKIM kan bovendien alignment slagen via een andere route.

Samenvatting

SPF is een bouwsteen voor betrouwbare e-mailauthenticatie. Met DKIM en DMARC ontstaat een completer beeld van de identiteit van zakelijke e-mail. Wat is DKIM? · Wat is DMARC? · Domeinmonitoring.