SPF record maken: handleiding
Maak stap voor stap een geldig SPF-record voor je domein. Kopieer de include-waarden van je e-mailproviders, kies de juiste mechanismen en publiceer één TXT-record.
Bekende e-mailproviders
Elke e-maildienst heeft een eigen include:-mechanisme nodig in je SPF-record. Dit zijn de waarden voor de populairste providers.
Google Workspace
include:_spf.google.comMicrosoft 365
include:spf.protection.outlook.comSendGrid
include:sendgrid.netMailchimp
include:servers.mcsv.netAmazon SES
include:amazonses.comPostmark
include:spf.mtasv.netBrevo (Sendinblue)
include:sendinblue.comZoho
include:zoho.comNeem alleen de providers op die je echt gebruikt. Elke include: telt mee voor de limiet van 10 lookups.
Syntax van een SPF-record
Een SPF-record is een DNS TXT-record dat aangeeft welke mailservers e-mail mogen versturen voor je domein. Dit zijn de mechanismen die je kunt gebruiken.
v=spf1Verplichte versietag. Elk SPF-record moet hiermee beginnen. Hiermee herken je het TXT-record als SPF-record.
include:<domain>Verwijst naar het SPF-record van een ander domein. Hiermee geef je externe diensten toestemming (include:_spf.google.com geeft Google bijvoorbeeld toestemming om namens jou te versturen).
ip4:<address>Geeft een specifiek IPv4-adres of CIDR-bereik toestemming om e-mail te versturen voor je domein (bijvoorbeeld ip4:203.0.113.0/24).
ip6:<address>Geeft een specifiek IPv6-adres of CIDR-bereik toestemming om e-mail te versturen voor je domein (bijvoorbeeld ip6:2001:db8::/32).
aGeeft de IP-adressen uit de A- (en AAAA-)records van je domein toestemming. Handig als je webserver ook e-mail verstuurt.
mxGeeft de IP-adressen van de MX-servers (mail exchange) van je domein toestemming. Een veelgebruikt mechanisme, omdat je mailservers vanzelfsprekend e-mail versturen.
~allSoft fail: berichten van ongeautoriseerde verzenders worden geaccepteerd maar gemarkeerd. Aan te raden als je SPF voor het eerst invoert, omdat je dan tijdens de overgang geen legitieme e-mail weigert.
-allHard fail: berichten van ongeautoriseerde verzenders moeten direct worden geweigerd. Gebruik dit zodra je zeker weet dat je SPF-record elke legitieme verzendbron bevat.
Voorbeeld van een SPF-record
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 ~allDit record geeft Google Workspace, SendGrid en één specifiek IP-adres toestemming om e-mail te versturen, met een soft fail voor alle andere bronnen.
De regel van 10 lookups
De SPF-specificatie (RFC 7208, sectie 4.6.4) beperkt een SPF-evaluatie tot maximaal 10 DNS-lookups. Mechanismen die een lookup veroorzaken zijn include, a, mx, redirect en exists. Let op: ip4 en ip6 tellen niet mee voor deze limiet.
Gaat je record over de 10 lookups heen, dan geven ontvangende mailservers een PermError terug. Je SPF-record is dan in feite kapot. Dit is een van de meest voorkomende SPF-fouten, vooral bij organisaties die meerdere SaaS-tools gebruiken die elk een eigen include:-mechanisme nodig hebben.
Blijf onder de limiet door alleen diensten op te nemen die je echt gebruikt, include: waar mogelijk te vervangen door ip4: en bij complexe configuraties SPF-flattening te overwegen.
Je SPF-record publiceren
Heb je je SPF-record samengesteld? Volg dan deze stappen om het in de DNS van je domein te publiceren en je e-mail te beschermen. Meer achtergrond vind je in onze handleiding SPF record instellen.
Breng al je verzendbronnen in kaart
Maak een lijst van elke dienst en server die namens je domein e-mail verstuurt: je mailprovider, diensten voor transactionele e-mail, marketingplatforms, CRM-tools en eventuele applicatieservers.
Stel je SPF-record samen
Combineer de tag v=spf1 met include-, ip4-, ip6-, a- of mx-mechanismen voor elke verzendbron en sluit af met ~all of -all. Bijvoorbeeld: v=spf1 include:_spf.google.com include:sendgrid.net ~all
Voeg het TXT-record toe aan je DNS
Log in bij je DNS-provider en maak een nieuw TXT-record aan. Zet de host/naam op @ (of laat het leeg voor het hoofddomein) en plak je SPF-record als waarde. Een TTL van 3600 (1 uur) is een goede standaard.
Controleer en monitor
Gebruik een SPF-checker om te bevestigen dat je record geldig is en correct resolvet. Volg DMARC aggregate reports om te controleren of alle legitieme e-mail door de SPF-alignment komt. Pas je record aan als je verzendinfrastructuur verandert.
Overzicht van het DNS-record
| Type | Host | Waarde | TTL |
|---|---|---|---|
| TXT | @ | v=spf1 include:... ~all | 3600 |
Controleer je record
Heb je je SPF-record gepubliceerd, controleer dan of het correct resolvet, binnen de limiet van 10 lookups blijft en aansluit op je DMARC-policy. Een verkeerd ingesteld SPF-record kan ervoor zorgen dat legitieme e-mail in spam belandt of helemaal wordt geweigerd.
Gebruik onze gratis SPF-checker om direct de syntax van je record te valideren, DNS-lookups te tellen en mogelijke problemen te vinden. Voor blijvende bescherming meld je je aan bij MailShield: je krijgt continue SPF-monitoring met alerts als je record verandert of kapotgaat.
Veelgestelde vragen over SPF-records maken
Hoe maak ik een SPF-record voor mijn domein?
Begin met de tag v=spf1, voeg een include-, ip4-, ip6-, a- of mx-mechanisme toe voor elke dienst die namens jou e-mail verstuurt en sluit af met ~all of -all. Publiceer het resultaat daarna als TXT-record op je hoofddomein bij je DNS-provider.
Wat is een SPF-include en wanneer gebruik je die?
Een include verwijst naar het SPF-record van een ander domein. Zo geef je een externe verzender, zoals Google Workspace, Microsoft 365 of SendGrid, toestemming om namens jou te versturen. Voeg één include toe per dienst die je echt gebruikt, bijvoorbeeld include:_spf.google.com.
Hoeveel SPF-records mag een domein hebben?
Een domein moet precies één SPF-record hebben. Wil je meerdere verzenders toestaan, combineer dan al hun mechanismen in één v=spf1 TXT-record. Publiceer je meerdere losse records, dan krijg je een PermError.
Sluit ik mijn SPF-record af met ~all of -all?
Gebruik ~all (soft fail) als je SPF voor het eerst invoert, zodat legitieme mail tijdens het testen niet wordt geweigerd. Stap over op -all (hard fail) zodra je zeker weet dat je record elke legitieme verzendbron bevat.
Beveilig je domein met SPF-monitoring
Valideer en monitor je SPF-record continu, samen met DKIM, DMARC en meer. Het gratis plan omvat 1 domein met alle protocolchecks.