Gratis SPF-record checker
Valideer de SPF-configuratie van je domein in een paar seconden. Eén scan controleert de syntax, het aantal DNS-lookups, include-ketens en de sterkte van je policy.
Gratis, geen account nodig. Vul een domein in om te beginnen.
Wat is SPF?
SPF (Sender Policy Framework) is een protocol voor e-mailauthenticatie, vastgelegd in RFC 7208. Domeineigenaren publiceren hiermee een DNS TXT-record met elke server die e-mail mag versturen namens hun domein. Als een ontvangende mailserver een bericht binnenkrijgt, vergelijkt die het IP-adres van de afzender met het SPF-record van het domein om te bepalen of de server voor dat domein mag verzenden.
Zonder SPF kan iedereen e-mail versturen die zogenaamd van jouw domein komt. Aanvallers misbruiken dat om phishingmails te sturen, malware te verspreiden en je merk te imiteren. SPF is de eerste verdedigingslaag: ontvangende servers kunnen ermee controleren of de verzendende server legitiem is.
Een SPF-record is één TXT-record in de root van je domein. Het begint met v=spf1 en bevat een reeks mechanismen (zoals include:, ip4:, a) die bepalen welke servers zijn toegestaan, gevolgd door een all-mechanisme dat aangeeft wat er met ongeautoriseerde verzenders moet gebeuren.
SPF is een van de drie pijlers van e-mailauthenticatie, naast DKIM en DMARC. SPF verifieert de verzendende server, DKIM verifieert de integriteit van het bericht en DMARC verbindt ze met een policy die ontvangers vertelt wat ze moeten doen als de authenticatie faalt. Alle drie zijn onmisbaar voor goede e-mailbeveiliging.
Wat deze checker controleert
Onze SPF-checker analyseert het SPF-record van je domein grondig en legt gevonden problemen helder uit.
Aanwezigheid en syntax van je record
Controleert of je domein precies één SPF TXT-record publiceert en of de syntax klopt, inclusief een geldige versietag (v=spf1) en correct opgemaakte mechanismen.
Aantal DNS-lookups
Telt het totale aantal DNS-lookups dat je SPF-record veroorzaakt, inclusief geneste includes. Markeert records die de strikte limiet van 10 lookups uit RFC 7208 overschrijden of naderen.
Validatie van de include-keten
Lost elk include-, redirect- en exists-mechanisme in je SPF-record recursief op, om te controleren of de hele keten geldig en bereikbaar is en geen kringverwijzingen bevat.
Sterkte van je policy
Beoordeelt het "all"-mechanisme in je SPF-record. Maakt onderscheid tussen -all (hard fail), ~all (soft fail), ?all (neutraal) en +all (open) en adviseert het juiste niveau voor je domein.
De limiet van 10 lookups
Het meest voorkomende SPF-probleem is dat de limiet van 10 DNS-lookups wordt overschreden. RFC 7208 beperkt het aantal mechanismen dat DNS bevraagt strikt tot 10 per SPF-evaluatie. Het gaat om include, a, mx, redirect en exists, en elke geneste include telt mee voor dezelfde limiet.
Komt een ontvangende server een SPF-record tegen met meer dan 10 lookups, dan is het resultaat een permanente fout (permerror). Je SPF-record is dan in feite kapot en de meeste ontvangers behandelen het alsof SPF volledig faalt. Het verraderlijke is dat dit stil gebeurt: je krijgt geen bounce of foutmelding. Je e-mails belanden misschien gewoon in spam of worden geweigerd, en je merkt het pas als je je SPF-record actief monitort.
Dit probleem groeit naarmate organisaties meer externe diensten gebruiken. Elke SaaS-tool die namens jou e-mail verstuurt (marketingplatforms, CRM-systemen, helpdesksoftware, providers voor transactionele e-mail) heeft meestal een eigen include:-mechanisme nodig, en die includes bevatten vaak zelf weer geneste includes. Zo ga je ongemerkt van 4 naar 12 lookups.
Onze SPF-checker telt elke DNS-lookup in je record, ook de geneste, en laat precies zien waar je staat. Zit je boven de limiet? Lees dan onze (Engelstalige) gids over het oplossen van “too many DNS lookups” in SPF.
SPF best practices
Volg deze aanbevelingen om je SPF-record gezond en je e-mailauthenticatie betrouwbaar te houden. Meer weten? Lees onze handleiding SPF record instellen.
- Blijf onder de 10 DNS-lookups: gebruik ip4/ip6-mechanismen voor je eigen servers, zodat je lookups overhoudt voor includes van derden.
- Gebruik -all (hard fail) zodra je hebt bevestigd dat alle legitieme verzenders in je record staan. Begin met ~all tijdens de eerste setup.
- Publiceer precies één SPF-record per domein. Meerdere v=spf1-records veroorzaken een permanente fout (permerror) en breken de authenticatie volledig.
- Controleer je SPF-record elk kwartaal. Verwijder diensten die je niet meer gebruikt en check of includes van derden nog geldig zijn.
- Wees voorzichtig met flattening. Includes vervangen door losse IP-adressen scheelt lookups, maar je mist automatische updates als de provider van IP-adres wisselt.
- Gebruik het include-mechanisme voor externe verzenders (Google Workspace, Microsoft 365, Mailchimp enzovoort) in plaats van hun IP-adressen los op te nemen.
Veelgestelde vragen over de SPF-checker
Wat is een SPF-record?
Een SPF-record (Sender Policy Framework) is een DNS TXT-record met de mailservers en IP-adressen die e-mail mogen versturen namens je domein. Ontvangende servers vergelijken het verzendende IP-adres met dit record om spoofing en vervalste afzenderadressen op te sporen.
Hoe check ik mijn SPF-record?
Vul je domein hierboven in de checker in. We zoeken het SPF TXT-record op in de root van je domein, valideren de syntax, tellen de DNS-lookups en lossen de volledige include-keten op. Je krijgt direct resultaat, zonder account.
Waarom heeft SPF een limiet van 10 DNS-lookups?
RFC 7208 beperkt een SPF-evaluatie tot 10 mechanismen die DNS bevragen (zoals include, a, mx, redirect en exists), zodat DNS-resolvers niet overbelast raken. Ga je over die limiet, dan krijg je een permerror en de meeste ontvangers behandelen dat als een mislukte SPF-check. Houd het aantal dus op 10 of minder.
Wat is het verschil tussen -all en ~all?
Allebei bepalen ze hoe ontvangers omgaan met verzenders die niet in je record staan. -all is een hard fail: ontvangers moeten ongeautoriseerde mail weigeren. ~all is een soft fail: ontvangers accepteren de mail maar markeren die als verdacht. Gebruik ~all tijdens het testen en stap over op -all zodra elke legitieme verzender in je record staat.
Monitor je SPF-record continu
Een eenmalige check is niet genoeg. DNS-wijzigingen, nieuwe diensten en updates bij providers kunnen je SPF ongemerkt breken. MailShield monitort je record dag en nacht en waarschuwt je zodra er iets verandert.