DNS voor e-mail uitgelegd (MX, SPF, DKIM, DMARC)
Wat is DNS voor e-mail?
DNS is het "adresboek" van het internet: het vertaalt een domeinnaam zoals jouwzaak.be naar de servers die erbij horen. In dat adresboek staan verschillende soorten records. Sommige wijzen naar je website, andere naar je e-mail.
Voor e-mail draait het om twee vragen. Ten eerste: waar komt mijn post binnen? Dat regelt het MX-record. Ten tweede: hoe weet de ontvanger dat een bericht echt van mijn domein komt en niet van een oplichter? Dat regelen SPF, DKIM en DMARC. Zonder die records werkt e-mail niet betrouwbaar: je mist post, of je berichten belanden bij spam.
De DNS-records voor e-mail in het kort
| Record | Wat het doet | Waarvoor |
|---|---|---|
| MX | wijst aan welke server jouw mail ontvangt | e-mail ontvangen |
| SPF | zegt welke servers namens jouw domein mogen versturen | afzender bewijzen |
| DKIM | zet een digitale handtekening op je uitgaande mail | afzender bewijzen |
| DMARC | zegt wat er moet gebeuren als SPF of DKIM faalt | beleid + rapportage |
Onthou het zo: MX is voor binnenkomende post, de andere drie zijn voor uitgaande post en vertrouwen.
MX: waar je post binnenkomt
Het MX-record ("Mail Exchange") vertelt de rest van het internet naar welke mailserver de e-mail van jouw domein moet. Mailt iemand naar jij@jouwzaak.be, dan kijkt de verzendende server in je MX-record om te weten waar hij moet afleveren.
Zonder correct MX-record komt er geen mail binnen. Het is dus de eerste voorwaarde voor e-mail op je eigen domein. Het instellen leggen we uit in MX-records instellen.
SPF: wie mag namens jou versturen
SPF (Sender Policy Framework) is een lijst van servers die e-mail mogen versturen namens jouw domein. Krijgt een ontvangende server een bericht dat zogezegd van jouwzaak.be komt, dan checkt hij: staat de verzendende server op de SPF-lijst? Zo niet, dan is dat een verdacht teken.
SPF beschermt je tegen misbruik: het maakt het moeilijker voor oplichters om in jouw naam te mailen. De uitleg en de juiste opzet lees je in wat is SPF.
DKIM: een digitale handtekening
DKIM (DomainKeys Identified Mail) plaatst een onzichtbare digitale handtekening op elk bericht dat je verstuurt. De ontvangende server controleert die handtekening met een sleutel die in jouw DNS staat. Klopt hij, dan is bewezen dat het bericht onderweg niet is aangepast en echt van jouw domein komt.
Waar SPF kijkt naar de server, kijkt DKIM naar het bericht zelf. Samen zijn ze sterker dan apart. Meer in wat is DKIM.
DMARC: het beleid dat alles bindt
DMARC (Domain-based Message Authentication) is de instructie die zegt wat een ontvanger moet doen als SPF of DKIM niet klopt: niets doen, in de spam plaatsen, of weigeren. Daarnaast stuurt DMARC je rapporten, zodat je ziet wie er namens jouw domein mailt, ook misbruik.
DMARC werkt alleen als SPF en DKIM al staan; het bouwt erop voort. Zie wat is DMARC voor de details.
Hoe ze samenwerken
Stel dat je een mail stuurt. Aan de ontvangerskant gebeurt dit: de server gebruikt jouw MX niet (dat is voor binnenkomende post), maar controleert SPF (mocht deze server versturen?), DKIM (klopt de handtekening?) en past dan het DMARC-beleid toe (wat te doen als iets niet klopt). Slagen die controles, dan wint je bericht vertrouwen en komt het in de inbox in plaats van bij spam.
Voor inkomende post is het simpeler: verzenders vinden je via je MX en leveren daar af. De vier records vullen elkaar dus aan: de een voor ontvangen, de andere drie voor betrouwbaar versturen.
Waar je op moet letten
- Volgorde telt. Zet eerst MX (om te ontvangen), dan SPF en DKIM, en pas daarna DMARC (dat op de andere twee steunt).
- Eén tikfout breekt het geheel. DNS-records luisteren nauw. Neem waarden exact over.
- Geef het tijd. Wijzigingen zijn niet meteen wereldwijd zichtbaar; reken op enkele uren.
- Begin voorzichtig met DMARC. Start met een "observeer"-beleid voordat je berichten laat weigeren, zodat je legitieme mail niet per ongeluk blokkeert.
Alle drie de betrouwbaarheidsrecords in één keer goed zetten, doe je aan de hand van SPF, DKIM en DMARC instellen.
En bij Mailflux
Bij Mailflux hoef je je niet in DNS te verdiepen om goed te zitten. Breng je je eigen domein mee, dan krijg je de exacte waarden voor MX, SPF, DKIM en DMARC en helpen we je bij het koppelen; laat je Mailflux een domein registreren en beheren, dan zetten we alles meteen correct. Je e-mail draait op je eigen domein, gehost in Europa en GDPR-conform, met antivirus, antispam, antimalware en back-ups in elk plan.
Zo komt je post betrouwbaar binnen en vertrekt ze met de juiste bewijzen, zonder dat jij de techniek alleen hoeft uit te zoeken. Meer over mailen met je eigen naam achter de @ lees je in e-mail op je eigen domein.
FAQ
Veelgestelde vragen
Welke DNS-records heb ik nodig voor e-mail?
Voor e-mail op je eigen domein heb je een MX-record nodig om post te ontvangen, en SPF, DKIM en DMARC om als betrouwbare afzender te versturen. Het MX-record is verplicht om mail te ontvangen; de andere drie zorgen dat je berichten aankomen in plaats van bij spam belanden.
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF zegt welke servers namens jouw domein mogen versturen. DKIM zet een digitale handtekening op je berichten. DMARC bepaalt wat er gebeurt als SPF of DKIM faalt en stuurt je rapporten. Ze werken samen: SPF en DKIM bewijzen, DMARC beslist en rapporteert.
Wat gebeurt er als deze records niet kloppen?
Klopt je MX-record niet, dan ontvang je geen mail. Ontbreken of falen SPF, DKIM en DMARC, dan vertrouwen ontvangers je berichten minder en belanden ze vaker bij spam, of komen ze helemaal niet aan. Correcte records vergroten de kans op een nette bezorging.