Het SPF-record: wie mag namens je domein mailen?
Kort antwoord: een SPF-record is een TXT-record op je domein dat begint met v=spf1 en opsomt welke servers namens je domein mogen mailen. Je domein mag precies één SPF-record hebben, en het mag bij het controleren niet meer dan tien DNS-lookups kosten. Voor Microsoft 365 is de basis v=spf1 include:spf.protection.outlook.com -all, voor Google Workspace v=spf1 include:_spf.google.com ~all.
Waarom SPF?
Iedereen kan een e-mail versturen met jouw adres als afzender. Ontvangende mailservers kijken daarom in je DNS: staat de server die deze mail verstuurde op jouw lijst? Zo niet, dan is de kans groot dat het spam of phishing is. Zonder SPF-record kan een ontvanger dat niet controleren, en belandt je echte mail eerder in de spam.
Hoe een SPF-record eruitziet
bakkerjansen.nl. 3600 IN TXT "v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all"
v=spf1: dit is een SPF-record.include:: neem de lijst van een andere partij over, bijvoorbeeld van je e-mailaanbieder of nieuwsbriefdienst.ip4:ofip6:: een eigen server met een vast adres.-all: al het andere is niet toegestaan.~all(softfail) is milder: niet toegestaan, maar niet hard weigeren.
Regel 1: precies één SPF-record
De standaard (RFC 7208) staat maar één SPF-record per naam toe. Staan er twee, bijvoorbeeld een oud record van je vorige provider en een nieuw van Microsoft 365, dan is het resultaat een fout en telt geen van beide. Dit is een van de meest voorkomende oorzaken van mail in de spam.
Gebruik je meerdere diensten, voeg ze dan samen in één record:
"v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all"
Regel 2: maximaal tien DNS-lookups
Bij het controleren van SPF mag een ontvanger maximaal tien keer extra in DNS zoeken. Elke include:, a, mx, exists en redirect kost een lookup, en includes van je aanbieders tellen mee met de includes die zij weer gebruiken. Ga je eroverheen, dan faalt SPF voor al je mail.
Tips om binnen de limiet te blijven:
- Haal diensten weg die je niet meer gebruikt.
- Gebruik geen
aenmxals je daar niet zelf vanaf mailt. - Laat nieuwsbrief- of factuurdiensten mailen vanaf een subdomein (zoals
nieuws.bakkerjansen.nl) met een eigen SPF-record.
Voorbeelden
Microsoft 365
bakkerjansen.nl. IN TXT "v=spf1 include:spf.protection.outlook.com -all"
Google Workspace
bakkerjansen.nl. IN TXT "v=spf1 include:_spf.google.com ~all"
Een domein dat nooit mailt
Gebruik je een domein alleen voor een website, zeg dan expliciet dat niemand ermee mag mailen. Zo kunnen oplichters het niet misbruiken:
jansenbrood.nl. IN TXT "v=spf1 -all"
SPF alleen is niet genoeg
SPF controleert de technische afzender (het "envelope from"-adres), niet het adres dat je ontvanger ziet. Daarom zijn ook DKIM en DMARC nodig. Grote ontvangers zoals Gmail en Yahoo vragen sinds 2024 SPF, DKIM én DMARC van wie veel mail verstuurt.
Zo regel je het bij CloudVikings
De recepten voor Microsoft 365 en Google Workspace in Mijn CloudVikings voegen je diensten samen tot één geldig SPF-record en tonen vooraf wat er verandert. Of vraag je AI-assistent de opdracht E-mail instellen op je domein. Zie e-mail instellen.
Veelgestelde vragen
Moet ik -all of ~all gebruiken?
-all is strenger en duidelijker. Twijfel je of alle diensten die namens je mailen al in het record staan, begin dan met ~all en stap over zodra je DMARC-rapporten laten zien dat alles klopt.
Heb ik een SPF-record nodig als ik geen e-mail gebruik?
Ja, juist dan: v=spf1 -all vertelt ontvangers dat mail van dat domein altijd vals is.
Wat is het verschil met een SPF-record van het type SPF?
Vroeger bestond er een apart DNS-type SPF. Dat is afgeschaft; gebruik altijd een TXT-record.
Bronnen: RFC 7208 (Sender Policy Framework); Google Workspace: SPF instellen; Microsoft Learn: SPF voor Microsoft 365.