- Uw e-mail is niet geverifieerd. De ontvangende server kan niet bevestigen dat het bericht daadwerkelijk afkomstig is van uw domein. Meestal ontbreekt er een record, is een nieuwe tool (CRM, facturering, nieuwsbrief, websiteformulier, helpdesk of zelfs een scanner) nooit toegevoegd, of is het SPF-record de limiet overschreden en daardoor stilzwijgend voor alle verkeer uitgevallen.
- Het bericht lijkt op spam. Linkverkorters, veel afbeeldingen en weinig tekst, hoofdletters, een handtekening met zes logo’s, bijlagen waar niemand om heeft gevraagd, of een onderwerpregel die op een advertentie lijkt. Filters kennen aan elk van deze elementen een score toe.
- De reputatie van uw domein heeft een deuk opgelopen. Een e-mailaccount is gehackt en heeft een weekend lang spam verstuurd, iemand heeft vanuit Outlook een update naar 400 ontvangers gestuurd met iedereen in Bcc, of uw e-mail wordt verzonden via een gedeelde server met een onbetrouwbare buur.
- De kant van de ontvanger. Een regel, een volle mailbox, een doorsturing naar een persoonlijk adres of een filter dat uw adres ooit als ongewenste e-mail heeft aangemerkt. Dit komt minder vaak voor dan men denkt, en alleen de ontvanger kan het oplossen.
Waarom de e-mail van uw bedrijf in de spamfolder terechtkomt, en hoe u dit voorgoed kunt verhelpen
De vier redenen waarom zakelijke e-mails in de map ‘Ongewenste e-mail’ terechtkomen, wat SPF, DKIM en DMARC nu precies doen, wat Gmail en Outlook tegenwoordig van elke afzender verlangen, en een controle die u in 20 minuten kunt uitvoeren.
Leestijd: 8 minutenBijgewerkt
Kort gezegd
In negen van de tien gevallen ligt de oorzaak bij de authenticatie: uw domein geeft niet aan welke diensten namens u e-mail mogen verzenden, of er is een nieuwe tool toegevoegd zonder dat deze records zijn bijgewerkt. Gmail en Outlook verwachten nu van elke afzender een SPF-, DKIM- en DMARC-record, en zij sturen e-mails stilletjes naar de spamfolder wanneer er iets misgaat. Corrigeer de records, schakel DKIM in bij elke tool die namens uw domein e-mail verzendt, start DMARC in de monitoringmodus, en de meeste bezorgingsproblemen verdwijnen binnen een dag of twee.
Vier redenen, in volgorde van waarschijnlijkheid
Wat SPF, DKIM en DMARC nu eigenlijk doen
Het gaat hierbij om drie kleine tekstrecords in de DNS van uw domein. Niemand binnen uw bedrijf ziet deze, maar elke e-mailserver waarmee u communiceert, controleert ze.
| Registreren | In gewone taal | Wat er misgaat als dit ontbreekt |
|---|---|---|
| SPF | Een lijst van de diensten die e-mail mogen verzenden vanuit uw domein, bijvoorbeeld Microsoft 365 en uw facturatiesysteem. | E-mailberichten afkomstig van een dienst die niet op de lijst staat, mislukken. Een lijst met meer dan tien zoekopdrachten leidt tot fouten bij alle zoekopdrachten. |
| DKIM | Aan elk bericht wordt een digitale handtekening toegevoegd, waarmee wordt aangetoond dat het afkomstig is van uw domein en onderweg niet is gewijzigd. | Berichten komen onondertekend binnen en zien er niet anders uit dan een vervalsing. |
| DMARC | Uw instructies aan de ontvangers: wat zij moeten doen wanneer een bericht dat beweert van u afkomstig te zijn, niet voldoet aan de bovenstaande controles, en waar zij meldingen naartoe moeten sturen. | Ontvangers raden het, en iedereen kan zonder uw medeweten e-mail versturen onder uw naam. |
Eén detail is van belang: afstemming. Het domein in het „Van“-adres dat mensen zien, moet overeenkomen met het domein dat de SPF- of DKIM-controle heeft doorstaan. Een nieuwsbrieftool die namens uw domein verstuurt maar met zijn eigen domein ondertekent, doorstaat de DKIM-controle voor zichzelf, maar voldoet nog steeds niet aan de DMARC-vereisten voor u.
Wat Gmail, Outlook en Yahoo nu vereisen
Sinds 2024 publiceren de grote e-mailproviders regels in plaats van te gissen, en eind 2025 heeft Google de handhaving verscherpt met meer afwijzingen. Hun gepubliceerde vereisten, per oktober 2026:
| Vereisten | Gmail-accounts (alle afzenders) | Outlook.com en Yahoo |
|---|---|---|
| SPF en DKIM | Beide worden geconfigureerd | Beide zijn bedoeld voor iedereen die dagelijks ongeveer 5.000 berichten of meer verstuurt; van alle anderen wordt dit ten zeerste verwacht |
| DMARC-record | Gepubliceerd, ten minste p=geen | Gepubliceerd, ten minste p=geen, in overeenstemming met SPF of DKIM |
| Op domein afgestemd | Ja, met SPF of DKIM | Ja |
| Reverse DNS en TLS | Vereist | Verwacht |
| Aantal spamklachten | Minder dan 0,3 procent, streef naar 0,1 | Laag gehouden; Microsoft houdt de reputatie nauwlettend in de gaten |
| Met één klik afmelden | Marketingmail van massaverzenders | Marketingmail van massaverzenders |
Deze regels zijn formeel van toepassing op e-mail die wordt verzonden naar persoonlijke Gmail-, Outlook.com- en Yahoo-adressen. In de praktijk passen Microsoft 365 en Google Workspace dezelfde controles toe op zakelijke mailboxen, dus de oplossing is dezelfde, ongeacht welke dienst uw klanten gebruiken.
De controle van 20 minuten
- Maak een lijst van alles wat vanuit uw domein wordt verzonden. Microsoft 365 of Google Workspace, de CRM-, facturatie- en salarisadministratietools, het nieuwsbriefplatform, het contactformulier op de website, de helpdesk, agenda- en boekingstools, en die ene printer waarmee u naar e-mail kunt scannen. De meeste domeinen hebben er vijf tot acht.
- Lees uw SPF-record. Er mag precies één zijn. Het moet alle diensten uit de lijst bevatten, het aantal DNS-lookups onder de tien houden en eindigen op -all of ~all. Een tweede SPF-record, of een elfde lookup, leidt tot een volledige mislukking.
- Schakel DKIM overal in. In Microsoft 365 vindt u deze in het Defender-portaal onder „Instellingen voor e-mailverificatie“; in Google Workspace onder „Apps“, „Google Workspace“, „Gmail“, „E-mail verifiëren“. Elke tool van een derde partij heeft zijn eigen DKIM-instelling, waarbij u twee of drie DNS-records moet toevoegen.
- DMARC-gegevens op monitoringniveau publiceren. Een record met p=none en een rapportageadres verandert voorlopig nog niets, maar binnen enkele dagen laten de rapporten zien welke diensten er namens u berichten versturen, inclusief de diensten die u bent vergeten en iedereen die zich voordoet als u.
- Voer een test uit en bekijk het resultaat. Stuur een e-mail naar een persoonlijk Gmail-account, open het bericht, kies ‘Origineel weergeven’ en zoek naar SPF: PASS, DKIM: PASS en DMARC: PASS. Outlook.com toont hetzelfde in de berichtkopteksten. Eén FAIL geeft precies aan welk record u moet corrigeren.
- DMARC-beveiliging stapsgewijs aanscherpen. Na twee tot vier weken met foutloze rapporten schakelt u over naar p=quarantaine en vervolgens naar p=afwijzen. Bij de instelling ‘afwijzen’ kan niemand e-mail in uw naam verzenden en vertrouwen ontvangers uw e-mail meer.
Problemen die op authenticatie lijken, maar dat niet zijn
- Een gecompromitteerde mailbox. Mocht de bezorging van de ene op de andere dag zijn gedaald, controleer dan allereerst de aanmeldingslogboeken en inboxregels van de betreffende accounts. Aanvallers voegen een regel toe die antwoorden verbergt en versturen vervolgens spam vanuit het echte account.
- Massamail vanuit een gewone mailbox. Outlook en Gmail zijn bedoeld voor gesprekken, niet voor campagnes. Updates voor honderden contactpersonen horen thuis in een geschikte tool, verzonden vanaf een subdomein zoals news.uwbedrijf.com, zodat een incident daar geen gevolgen heeft voor uw hoofddomein.
- Veel handtekeningen en linkverkorters. Minder afbeeldingen, geen verkorte links en tekst die leest alsof deze door een mens is geschreven.
- Een gloednieuw domein. Domeinen zonder geschiedenis worden de eerste weken met argwaan bekeken. Begin met kleine volumes en echte gesprekken.
- Aangeschafte of verzamelde lijsten. Bij een klachtenpercentage van meer dan 0,3 procent wordt u telkens voor een week uit de gunst van de aanbieders geplaatst, en geen enkel herstel van de gegevens kan dit ongedaan maken.
Houd het overzichtelijk
- Voeg elke nieuwe tool die e-mail verstuurt toe aan SPF en DKIM op de dag dat deze wordt ingesteld
- Lees de DMARC-rapporten maandelijks, of laat iemand ze voor u lezen
- Houd marketing- en transactiemails op afzonderlijke subdomeinen
- Houd het aantal klachten in de gaten via Google Postmaster Tools en de afzendertools van Microsoft
- Controleer wie regels voor de inbox kan aanmaken en e-mails kan doorsturen, aangezien dit de eerste zaken zijn die een aanvaller wijzigt
Veelgestelde vragen
Vragen die we vaak krijgen
Korte antwoorden op de vragen die oprichters en financieel verantwoordelijken ons het vaakst stellen.
Stel ons nog een vraagMeestal is er sprake van een van de volgende vier situaties: een nieuwe tool is begonnen met verzenden namens uw domein zonder dat deze aan het SPF-record is toegevoegd, het SPF-record heeft de limiet van tien opzoekingen overschreden, een mailbox is gehackt, of een provider heeft de handhaving verscherpt, zoals Google eind 2025 heeft gedaan. De hierboven beschreven controle van 20 minuten stelt vast welke situatie van toepassing is.
Ja. Google verwacht nu een DMARC-record van elke afzender die naar Gmail-adressen verzendt, en Outlook.com verwacht dit van grotere afzenders. Een record met p=none verandert niets en kost niets, en het is de enige manier om te zien wie zich voordoet als u.
Niet bij p=none. Er treden alleen problemen op als u overgaat tot quarantaine of afwijzing voordat alle legitieme diensten zijn goedgekeurd; daarom bestuderen wij de rapporten eerst gedurende enkele weken.
Ja. De records bevinden zich in de DNS van uw domein en zijn van toepassing op elk platform en elke tool waarmee u uw e-mail verstuurt. Alleen de plaats waar u DKIM inschakelt, verschilt.
Omdat Microsoft 365 is opgenomen in uw SPF- en DKIM-instellingen, terwijl het CRM-systeem dat niet is, of omdat het CRM-systeem met zijn eigen domein ondertekent in plaats van met het uwe. Elke tool beschikt over een DKIM-instelling waarmee dit kan worden verholpen.
Voor de meeste domeinen kunnen records binnen een dag worden gecorrigeerd. Het opbouwen van DMARC-instellingen om berichten veilig te kunnen weigeren, vergt enkele weken waarin rapporten moeten worden bestudeerd, en een aangetaste reputatie herstelt zich na enkele weken van foutloze verzendingen.
Hoe SF3 Technologies u kan helpen
Wij sporen alle diensten op die namens uw domein e-mails verzenden, corrigeren de SPF-instellingen, schakelen DKIM in voor Microsoft 365 en Google Workspace, evenals voor elke andere tool, publiceren de DMARC-instellingen en stellen deze zo in dat berichten worden geweigerd, terwijl wij de rapporten doorlopen. Zo komt uw e-mail aan en kan niemand namens u berichten verzenden. De records blijven in uw DNS en uw tenant, onder uw controle.
De vereisten voor afzenders zijn zoals gepubliceerd door Google en Microsoft in oktober 2026 en kunnen in de loop van de tijd veranderen. Controleer de actuele richtlijnen voor afzenders van elke aanbieder voordat u uitgaat van een drempelwaarde.