Wat is een SPF record
Wat doet een SPF record?
Een SPF record is een tekstregel in de DNS van je domein. Daarin staat welke mailservers namens jouw domein berichten mogen versturen. De ontvangende server controleert die lijst als er mail binnenkomt die van jouw domein lijkt te komen. Past de verzendende server niet bij de lijst, dan is het bericht verdacht.
SPF staat voor Sender Policy Framework. Het is één van de drie technieken die samen de authenticatie van e-mail vormen, naast DKIM en DMARC. SPF beschermt niet tegen alle vormen van misbruik, maar het maakt het voor misbruikers lastiger om namens jouw domein te mailen.
Voor het samenspel met de andere technieken lees je hoe SPF, DKIM en DMARC samenwerken.
Hoe is een SPF-regel opgebouwd?
Een SPF record begint met v=spf1, gevolgd door onderdelen die mechanismen heten. Een voorbeeld is v=spf1 include:voorbeeldmail.nl -all. Met include verwijs je naar de lijst van een andere dienst, en de laatste regel bepaalt wat er gebeurt met servers die niet in de lijst staan.
ip4enip6: specifieke IP-adressen die mail mogen versturen.include: verwijst naar het SPF record van een dienst, zoals een mailingtool of kantoorsuite.mxena: verwijzen naar de servers die in je eigen DNS staan.-all,~allen?all: bepalen wat er gebeurt met alle overige servers.-allbetekent afwijzen,~allmarkeert als verdacht en?allneemt geen standpunt in.
Er mag per domein maar één SPF record zijn. Twee losse records geven fouten, en de meeste ontvangende servers accepteren dan geen van beide. Voeg nieuwe diensten daarom toe aan het bestaande record.
Veelgemaakte fouten en grenzen
De belangrijkste beperking is de limiet van tien DNS-lookups. Elke include, mx- of a-verwijzing kost een lookup, en als je er meer dan tien gebruikt, levert het record een fout op. De SPF-controle wordt dan onbetrouwbaar. Let daar vooral op als je veel diensten gebruikt die elk hun eigen include meegeven.
Een tweede punt: SPF kijkt naar het afzenderadres dat de verzendende server gebruikt, niet naar het adres dat je in je mailprogramma ziet. Bij doorsturen verandert dat adres vaak, en dan kan SPF falen terwijl de mail legitiem is. Ook een kleine typefout in de syntax kan het hele record onbruikbaar maken. Lees daarom wat DMARC doet om te zien hoe SPF in het geheel past.
Veelgestelde vragen
Hoeveel SPF records mag ik per domein hebben?
Precies één. Een domein mag maar één SPF record hebben, als tekstregel in de DNS. Staan er meerdere records die beginnen met v=spf1, dan geven de meeste ontvangende servers een fout en mislukt de controle. Combineer diensten dus in één record.
Waarom komt mijn mail in de spam als ik een SPF record heb?
Een SPF record alleen is geen garantie. Mail kan in de spam belanden als er geen DKIM is, als het afzenderadres niet overeenkomt of als de reputatie van je server laag is. Controleer of het record klopt en of alle diensten die namens je mailen erin staan. Kijk daarna naar DKIM en DMARC.