SPF versus DKIM versus DMARC: wat is het verschil?

Wat doet SPF?

SPF beantwoordt één vraag: mag de server die dit bericht heeft bezorgd, verzenden voor het domein? De domeineigenaar publiceert een TXT-record dat begint met v=spf1 en toegestane bronnen vermeldt, bijvoorbeeld include:_spf.protonmail.ch voor Proton Mail. Een ontvanger vergelijkt het verbindende IP-adres met de lijst en krijgt een resultaat: pass, fail, softfail of neutral, afhankelijk van de kwalificatie aan het eind (-all, ~all of ?all).

SPF controleert de envelope-afzender (de MAIL FROM) en de HELO-naam, niet het Van-adres dat de lezer ziet. Dat gat is de reden dat DMARC bestaat. SPF heeft ook harde limieten: een domein mag maar één SPF-record hebben, en de evaluatie stopt met een permanente fout na 10 termen die DNS bevragen (include, a, mx, ptr, exists, redirect). De volledige methode staat in de gids over een SPF-record aanmaken.

Wat doet DKIM?

DKIM beantwoordt een andere vraag: is dit bericht ondertekend door het domein dat het opgeeft, en is het ongewijzigd aangekomen? De verzendende server ondertekent geselecteerde headers en de berichttekst met een privésleutel. De ontvanger leest het ondertekenende domein (d=) en de selector (s=) uit de DKIM-Signature-header, haalt de publieke sleutel op bij selector._domainkey.domain in DNS en controleert de handtekening.

Omdat de handtekening met het bericht meereist, overleeft DKIM een doorstuuractie die het bericht intact laat, wat SPF niet doet, omdat een doorstuurder vanaf zijn eigen IP-adres verzendt. RFC 6376 zegt dat ondertekenaars RSA-sleutels van minstens 1024 bits moeten gebruiken voor langlevende sleutels, en beveelt nieuwe selectors aan als sleutels veranderen. Aanbieders publiceren de sleutels voor u: drie CNAME-records voor Proton Mail en Fastmail, vier voor Mailbox.org. Details staan in de gids over DKIM instellen.

Wat doet DMARC?

DMARC koppelt SPF en DKIM aan het zichtbare Van-domein en vertelt ontvangers wat ze moeten doen als geen van beide controles overeenkomt. Een bericht slaagt voor DMARC wanneer SPF of DKIM slaagt en het domein dat is geauthenticeerd overeenkomt met het Van-domein. Alignment is standaard ruim (hetzelfde organisatiedomein) en strikt wanneer ingesteld met aspf=s of adkim=s.

Het record staat op _dmarc.uwdomein en bevat een beleid: p=none (alleen monitoren), p=quarantine (als verdacht behandelen) of p=reject (weigeren). Een rua-adres ontvangt geaggregeerde rapporten, die laten zien wie e-mail in uw naam verzendt. RFC 9989, gepubliceerd in mei 2026, is de huidige specificatie; het vervangt RFC 7489, verwijdert de tag pct en voegt een testvlag t toe. De uitrol van monitoren naar weigeren staat in de gids over DMARC instellen.

Heb ik alle drie nodig?

Ja: een eigen domein dat e-mail verzendt, moet SPF, DKIM en DMARC publiceren, omdat grote ontvangers erom vragen. De afzenderrichtlijnen van Google vereisen SPF, DKIM en een DMARC-record (beleid none is genoeg) voor afzenders van meer dan 5,000 berichten per dag naar Gmail-accounts. Microsoft vraagt van afzenders naar Outlook.com boven 5,000 per dag dezelfde drie, vanaf 5 mei 2025, en Yahoo vereist SPF, DKIM en DMARC ook voor bulkverzenders.

Een persoonlijke mailbox verzendt veel minder berichten, dus de drempels binden u niet. De records bepalen nog steeds of uw e-mail de inbox bereikt, en ze voorkomen dat anderen uw adres vervalsen. Volgens de telling van Postelva van 12 november 2026 uit de helppagina's van aanbieders vraagt een volledige Proton Mail-opzet 8 DNS-records en een volledige Mailbox.org-opzet 11, waarvan 3 en 4 DKIM-sleutels zijn. De MX-records worden behandeld in wat een MX-record is.

Welke fouten laten de drie records stuklopen?

Drie fouten veroorzaken de meeste storingen: een tweede SPF-record, meer dan 10 opzoekingen en een te strikt DMARC-beleid dat te vroeg is ingesteld. Een domein met twee SPF-records geeft een permanente fout, dus voeg de include van de nieuwe aanbieder toe aan het bestaande record. Een stapel van een mailhost, een nieuwsbriefhulpmiddel en een helpdesk kan het aantal opzoekingen boven 10 duwen, en het record faalt dan voor elke afzender. Mailbox.org en Proton adviseren allebei DMARC te beginnen op p=none, en Mailbox.org waarschuwt dat een te vroeg toegepast strikt beleid legitieme e-mail kan laten terugkaatsen.

Een vierde fout is de DKIM- en SPF-vermeldingen van de vorige aanbieder maandenlang houden. Ze schaden de bezorging niet, maar ze verbreden de lijst met servers die namens u mogen spreken. Verwijder ze zodra de overstap is bevestigd.

Hoe werken de drie samen bij één bericht?

De ontvanger voert SPF en DKIM uit, en daarna combineert DMARC de resultaten. Neem een bericht van [email protected] dat via Proton Mail is verzonden. SPF slaagt als de verbindende server in de lijst van _spf.protonmail.ch staat. DKIM slaagt als de handtekening die is gemaakt met de sleutel onder yourname.com wordt geverifieerd. DMARC vraagt dan of minstens een van de twee is geslaagd met yourname.com als uitgelijnde identificatie. Zo ja, dan slaagt het bericht; zo niet, dan past de ontvanger uw beleid toe en legt het resultaat vast in het volgende geaggregeerde rapport.

RFC 9989 merkt op dat een domein met p=reject niet alleen op SPF mag vertrouwen en met DKIM zou moeten ondertekenen, omdat SPF breekt bij doorsturen. ARC (RFC 8617), een experimentele standaard, laat doorstuurders de oorspronkelijke resultaten vastleggen, al maakt het geen deel uit van uw eigen opzet. Nadat u records hebt gepubliceerd, controleert u ze met dig voordat u een beleid aanscherpt.

Een citeerbare definitie: SPF autoriseert servers, DKIM authenticeert berichten, en DMARC dwingt de overeenkomst met het Van-domein af en rapporteert de uitkomst.