SPF-record instellen: stappenplan voor Nederlandse bedrijven

Wat is een SPF-record?

SPF staat voor Sender Policy Framework. Het is een DNS-record (een TXT-record) waarin je vastlegt welke mailservers namens jouw domein e-mail mogen versturen. Ontvangende mailservers controleren dit record bij elk binnenkomend bericht: komt de afzender overeen met een van de toegestane servers, dan is dat een signaal dat de e-mail legitiem is. Komt hij niet overeen, dan kan de ontvanger het bericht markeren, weigeren of negeren, afhankelijk van hoe streng het record is ingesteld.

Zonder geldig SPF-record kan vrijwel iedereen e-mail versturen die lijkt te komen van jouw domein. Dat is precies wat aanvallers gebruiken bij CEO-fraude en phishing-campagnes die zich voordoen als een bekend bedrijf.

Hoe controleer je of je al een SPF-record hebt?

Op Linux/macOS of via WSL op Windows kun je dit direct opzoeken met:

dig TXT jouwdomein.nl +short

Zoek in de uitkomst naar een regel die begint met v=spf1. Staat die er niet bij, dan heb je geen SPF-record. Liever geen terminal gebruiken? Onze gratis scan laat dit in een paar seconden zien, samen met DMARC en DKIM.

SPF-record instellen in 4 stappen

1. Inventariseer elke dienst die namens jouw domein mail verstuurt. Denk aan je eigen mailserver (bijv. Microsoft 365 of Google Workspace), je boekhoudpakket, nieuwsbriefdienst en CRM-systeem. Elke dienst levert meestal een eigen SPF-include-waarde aan, zoals include:spf.protection.outlook.com.
2. Bouw de record-string op. Een voorbeeld voor een bedrijf dat Microsoft 365 en een nieuwsbriefdienst gebruikt: v=spf1 include:spf.protection.outlook.com include:servers.nieuwsbriefdienst.nl -all.
3. Voeg het toe als TXT-record bij je DNS-provider (TransIP, Vimexx, Cloudflare e.d.), op de hoofdnaam van je domein (het "@"-record), niet op een subdomein.
4. Kies de juiste afsluiting. Eindig met -all (hardfail: alles buiten de lijst wordt afgewezen) zodra je zeker weet dat de lijst compleet is. Twijfel je nog, gebruik dan tijdelijk ~all (softfail) terwijl je test, en zet daarna door naar -all. Gebruik nooit +all: dat staat letterlijk toe dat elke server namens je domein mag versturen.

Veelgemaakte fouten

• Twee SPF-records naast elkaar. Dit is ongeldig volgens de SPF-specificatie en mailservers mogen het dan negeren. Combineer alle includes in één record.
• Meer dan 10 DNS-lookups. Elke include telt mee, en bij meer dan 10 stopt de verwerking met een fout. Verwijder includes van diensten die je niet meer gebruikt.
• Alleen op de apex, niet op mail-subdomeinen. Verstuur je ook mail vanaf een subdomein zoals nieuwsbrief.jouwdomein.nl, dan heeft dat subdomein een eigen SPF-record nodig.

SPF is pas de eerste laag

SPF alleen voorkomt geen spoofing van het zichtbare "van"-adres in een e-mailprogramma: daarvoor heb je ook DKIM en een DMARC-beleid nodig dat SPF en DKIM daadwerkelijk afdwingt. Lees verder in DMARC instellen: van p=none naar p=reject in 3 stappen.