DKIM, SPF & DMARC

E-mailauthenticatie is hoe ontvangende mailservers bepalen of een bericht echt van jouw domein afkomstig is. Elk DNS-record dat je publiceert voor een verzenddomein bewijst één specifiek iets. DKIM bewijst dat het bericht door jou is ondertekend. Het return-path bewijst dat bounces terugstromen via een adres dat aansluit bij jouw domein. DMARC vertelt ontvangers wat ze moeten doen als die controles falen. Deze pagina beschrijft elk record dat we je vragen te publiceren en wat het bewijst. Als je nog geen verzenddomein hebt toegevoegd, begin dan met Verzenddomeinen.

Open Email > Domains en selecteer je domein om de te publiceren records te bekijken. De API geeft dezelfde records terug in dns_records.

Drie records zijn vereist om te verzenden: DKIM, het return-path CNAME-record, en DMARC. Het optionele tracking-CNAME-record is alleen vereist voor branded open/click tracking en heeft geen effect op het verzenden.

DKIM is je bewijs van eigendom en ondertekening. We genereren een ondertekeningssleutel voor je organisatie en ondertekenen elk bericht dat je verstuurt daarmee; de publieke helft wordt gepubliceerd als TXT-record onder een selector die uniek is voor je organisatie. Ontvangers halen de publieke sleutel op via die selector en controleren de handtekening, wat bewijst dat het bericht is verstuurd door iemand met controle over de DNS van je domein. En omdat elke organisatie een eigen selector en sleutel krijgt, is je DKIM-bewijs van jou alleen, zelfs als een andere klant vanaf hetzelfde domein verstuurt.

De selector en publieke sleutel worden voor je gegenereerd; kopieer de exacte host en waarde uit het dashboard of de API in plaats van ze handmatig samen te stellen. We detecteren je DNS-provider en formatteren de waarde zoals die provider het verwacht, dus plak het zoals getoond. Als je provider een lange TXT-waarde als enkele string weigert, splitst de DNS-record-splitter deze in de aanhalingsteken-segmenten die de provider verwacht.

Het return-path-record stelt je envelope-from (bounce) domein in. Bounces en afleveringsfeedback voor je berichten worden geadresseerd aan deze hostname, en door deze naar ons te laten verwijzen kunnen wij ze voor je verwerken. Het record zorgt ook voor SPF-afstemming. Ontvangers evalueren SPF tegen het envelope-from-domein. Omdat deze hostname naar onze bounce-infrastructuur verwijst, slaagt SPF en sluit het aan bij je domein zonder dat er een record op je apex nodig is (zie Waar is SPF?).

De host is standaard send. onder je verzenddomein, maar je kunt een andere hostname kiezen. De waarde hangt af van de regio van waaruit je werkruimte verstuurt; kopieer deze uit het dashboard. De bounce-domeingids behandelt het aanpassen en wijzigen van dit record.

DMARC publiceert je beleid: het vertelt ontvangers wat ze moeten doen met mail die niet slaagt voor DKIM- of SPF-afstemming (p=none om alleen te monitoren, p=quarantine of p=reject om af te dwingen), en waarheen geaggregeerde rapporten moeten worden gestuurd (rua). We vereisen dat er een DMARC-record bestaat voordat het domein kan verzenden, en verifiëren dit door je DNS rechtstreeks op te vragen. Een record op het domein zelf of een overgeërfd record op een bovenliggend domein tellen allebei mee.

De voorbeeldwaarde is onze aanbeveling: p=none is een veilig startbeleid, en het rua-adres routeert geaggregeerde rapporten naar ons. Je kunt je eigen beleid en rapportageadres gebruiken, omdat de vereiste alleen is dat er een geldig DMARC-record bestaat; de DMARC-beleidsgenerator kan je helpen er een te schrijven. Als je al een DMARC-record hebt, of een record op een bovenliggend domein, hoef je het niet te wijzigen. Als je rua-rapporten naar je eigen mailbox routeert, zet de DMARC-rapportanalyzer de ruwe XML om in iets leesbaars.

Het tracking-record geeft je een branded hostname voor open- en clicktracking. Wanneer clicktracking is ingeschakeld, worden links in je berichten herschreven naar deze hostname in plaats van een generiek gedeeld domein, wat er beter uitziet voor ontvangers en de linkreputatie aan je merk koppelt. De instelling hoort bij de domeinconfiguratie van je werkruimte.

Dit record maakt geen deel uit van de verzendvereiste: een domein met geverifieerd DKIM, return-path en DMARC kan verzenden, zelfs als het tracking-record ontbreekt. Het is alleen vereist voor branded open/click tracking. De tracking-domeingids behandelt het aanpassen ervan en de instellingen waarmee je tracking inschakelt.

Je hoeft geen SPF-record te publiceren op de apex van je domein (example.com), en het dashboard vraagt er niet om. SPF wordt geëvalueerd tegen het envelope-from-domein in plaats van het zichtbare From-adres. Je envelope-from is de return-path-hostname (send.example.com), en het geverifieerde return-path-CNAME-record verwijst naar onze bounce-infrastructuur, waar SPF-autorisatie al is ingesteld. SPF slaagt, en het sluit aan bij je domein omdat het return-path een subdomein ervan is.

Een include:-vermelding op je apex toevoegen autoriseert geen mail die via ons wordt verstuurd. SPF-evaluatie beperkt het aantal DNS-opvragende termen tot 10, dus vermijd een onnodige lookup. Als je een bestaand apex-SPF-record hebt voor andere verzenders, laat het ongewijzigd.

We controleren je DNS automatisch nadat je het domein registreert, hercontroleren elk domein dagelijks en rapporteren de status per record op de domeinresource en het dashboard. De volledige levenscyclus, inclusief statussen, hercontroles op verzoek en de graceregels die voorkomen dat een tijdelijke DNS-storing het verzenden onderbreekt, wordt behandeld in Verzenddomeinen § Verificatielevenscyclus.