SPF-record maken en controleren
Stel een geldig SPF-record samen op basis van de diensten die je mail versturen, en controleer wat je domein nu publiceert volgens de RFC 7208-regels.
1Wie verstuurt mail voor dit domein?
Vink elke dienst aan die e-mail verstuurt met jouw domein in het From-adres. Elke keuze voegt de vereiste include:-term toe, plus de DNS-lookups die dat kost.
2Je eigen servers
Eén per regel. IP-termen kosten geen DNS-lookup, geef ze dus de voorkeur waar mogelijk.
Eén domein per regel: elk domein wordt een include:-term. Al geschreven termen blijven ongewijzigd.
3En wat met de rest?
De laatste term bepaalt hoe ontvangers mail behandelen van elke server die hierboven niet is vermeld.
- Recordtype
- TXT
- Naam / host
- @ (de root van het domein)
- TTL
- 3600
- Open de DNS-zone van je domein bij je registrar of DNS-host.
- Verwijder elk bestaand SPF-record: een domein mag er precies één publiceren.
- Voeg een TXT-record toe op de root van het domein met de waarde hierboven.
- Wacht tot de TTL is verstreken en bevestig het daarna via het tabblad checker.
Een domein mag maar één SPF-record publiceren. Om een nieuwe afzender toe te voegen, bewerk je het bestaande record, voeg nooit een tweede toe.
Stel het record links samen, of ga naar de checker om het SPF-record te lezen dat een domein nu publiceert: elk mechanisme uitgelegd, met de limiet van tien lookups al voor je geteld.
| # | Term | Gevonden in |
|---|
| Term | Resultaat | Wat het doet |
|---|
Over SPF-record maken en controleren
De SPF Record Generator & Checker doet de twee taken die een domeineigenaar daadwerkelijk nodig heeft. De generator vraagt welke diensten mail versturen namens uw domein (Google Workspace, Microsoft 365, SendGrid, Mailgun, Amazon SES, uw eigen servers) en stelt daaruit een geldig `v=spf1` record samen, waarbij het aantal DNS-lookups dat dit kost al tijdens het opbouwen wordt geteld. De checker leest het record dat uw domein op dit moment publiceert, legt elk mechanisme uit in gewone taal en test het tegen RFC 7208.
De regel waar de meeste mensen op vastlopen, is de limiet van tien lookups. Elke term `include`, `a`, `mx`, `ptr` en `exists` kost één DNS-query, en dat geldt ook voor elke term binnen de records waarnaar ze verwijzen. Kom boven de tien uit, en ontvangers geven een permanente fout terug, wat betekent dat SPF faalt voor al uw mail, niet alleen het vervalste deel. De checker volgt uw includes recursief en toont precies waar elke lookup aan wordt besteed, zodat u kunt zien welke afzender u over de limiet duwde.
De tool signaleert ook de fouten die een SPF record stilletjes ondermijnen: een tweede SPF record op hetzelfde domein (waardoor beide ongeldig worden), `+all` (dat het hele internet autoriseert), een ontbrekende `all` (die niets vastlegt), het verouderde `ptr`-mechanisme, termen die na `all` staan waar ze nooit worden gelezen, en syntaxfouten die het hele record tot een permanente fout maken.
Hoe gebruik je SPF-record maken en controleren
- Vink op het tabblad Generator elke dienst aan die e-mail verstuurt namens uw domein in het From-adres.
- Voeg uw eigen mailservers toe: zet mx aan en plak eventuele vaste IPv4- of IPv6-reeksen: IP-termen kosten geen DNS-lookup.
- Houd de lookup-meter in de gaten. Komt deze boven de tien, laat dan een afzender vallen of vervang een include door de IP-reeksen erachter.
- Kies het uiteindelijke beleid: begin met ~all (markeren als verdacht) en verscherp naar -all zodra uw DMARC-rapporten schoon zijn.
- Kopieer het record en publiceer het als één TXT-record op de root van uw domein, ter vervanging van elk bestaand SPF record.
- Kom terug naar het tabblad Checker nadat de TTL is verstreken en bevestig dat het gepubliceerde record correct wordt geparsed.