E-mails belanden in spam: de oorzaken en hoe je ze verhelpt

Het belangrijkste kort

De oorzaak ligt vrijwel nooit in de inhoud, maar in de authenticatie: de ontvangende server kan niet controleren of de mail echt van jullie domein komt.
Drie records in het DNS lossen het probleem op: SPF zegt wie mag verzenden. DKIM ondertekent het bericht. DMARC legt vast wat er gebeurt als het niet overeenkomt.
De volgorde is belangrijk. DMARC scherp zetten voordat SPF en DKIM zuiver lopen, blokkeert je eigen mails.
Na de inrichting is twee tot vier weken observeren nodig voordat je van «verholpen» kunt spreken.

De vraag komt in vrijwel elk project langs: waarom belanden onze e-mails in de spammap? Het meest gehoorde vermoeden – te wervende tekst, te veel links, het woord «gratis» – klopt in de zeldzaamste gevallen. Moderne spamfilters beoordelen eerst iets anders: of het bericht überhaupt echt is.

Het e-mailprotocol stamt namelijk uit een tijd waarin niemand op misbruik rekende. In de oorspronkelijke staat kan elke computer ter wereld een mail versturen die jullie domein als afzender draagt. De drie records waar het hier om gaat, dichten precies dat gat.

Lichtgevende vormen passeren drie doorzichtige controledrempels, enkele worden afgebogen — Drie controles voordat een mail in de inbox belandt. Valt er één door de mand, dan beslist de ontvanger op verdenking.

De drie records en wat ze doen

SPF, DKIM en DMARC in elk één zin

SPF – wie mag verzenden: Een record in het DNS dat opsomt welke servers namens jullie domein mogen versturen. De ontvanger slaat na: kwam de mail van een van die servers?
DKIM – is hij onderweg gewijzigd: De verzendende server ondertekent het bericht cryptografisch. De bijbehorende publieke sleutel staat in het DNS. De ontvanger controleert de handtekening.
DMARC – wat gebeurt er bij afwijking: Jullie instructie aan de ontvanger: niets doen, naar spam verplaatsen of weigeren. Daarnaast stuurt de ontvanger rapportages over wat hij heeft gezien.

Wist je dat?

SPF en DKIM alleen zijn niet genoeg. Beide controleren telkens maar een deel, en beide kunnen worden gehaald terwijl het voor de ontvanger zichtbare afzenderadres toch vervalst is.

Pas DMARC koppelt de controles aan het adres dat in de inbox wordt getoond. Daarom is het het record met de eigenlijke werking – en daarom is het ook het record dat je als laatste scherp zet.

De juiste volgorde

Drie geometrische vormen draaien in één lijn, een lichtstraal gaat erdoorheen — Pas als alle drie zijn uitgelijnd, gaat de controle zuiver door. Daarvoor blokkeer je jezelf.

Let op De meest gemaakte fout is DMARC meteen op weigeren zetten. Als er dan een dienst verstuurt die nog niet in SPF staat – de boekhoudsoftware, het sollicitatieportaal, het ticketsysteem –, verdwijnen de mails daarvan zonder meer. Zonder foutmelding bij de afzender.

Inventarisatie. Wie verstuurt er allemaal in jullie naam? Meestal meer dan gedacht: de mailprovider, het nieuwsbriefgereedschap, het CRM, de webserver voor formulierbevestigingen, de boekhouding. Elk daarvan moet in SPF staan.
SPF instellen. Eén enkel record per domein, dat alle bevoegde verzenders opsomt. Meerdere SPF-records zijn een fout en leiden ertoe dat de controle helemaal niet doorloopt.
DKIM inrichten. Bij de betreffende verzenddienst activeren, de aangeleverde sleutel in het DNS zetten. Elke dienst krijgt zijn eigen sleutel.
DMARC observerend starten. Eerst met de instructie «niets doen» en een adres voor de rapportages. Twee tot vier weken laten lopen.
Rapportages uitlezen. Ze laten zien welke verzenders zakken. Ontbreekt er een in SPF of DKIM, vul die dan nu aan.
Pas daarna aanscherpen. Van «niets doen» naar «naar spam» en later naar «weigeren». Tussen de stappen telkens twee weken observeren.

Hoe je de huidige stand controleert

Voor elke wijziging moet duidelijk zijn wat er nu geldt. Twee wegen, beide zonder extra software:

Via een ontvangen mail. Open een mail van jullie eigen domein in een willekeurige inbox en laat de volledige kopregels tonen. Daar staat in een regel met de naam Authentication-Results of SPF, DKIM en DMARC zijn gehaald. Drie keer «pass» betekent: de techniek klopt.

Via een DNS-opvraging. Op elke computer met een opdrachtregel zijn de records rechtstreeks op te vragen. Daarmee zie je wat er daadwerkelijk is gepubliceerd – niet wat er in het beheerscherm zou moeten staan.

Controlecommando's

# SPF bekijken
nslookup -type=TXT jullie-domein.nl

# DMARC bekijken
nslookup -type=TXT _dmarc.jullie-domein.nl

# DKIM bekijken (selector per dienst, hier voorbeeld "standaard")
nslookup -type=TXT standaard._domainkey.jullie-domein.nl

Komt er bij DMARC niets terug, dan bestaat het record niet. Dat is de meest voorkomende bevinding – en tegelijk de gemakkelijkst te verhelpen.

Als de techniek klopt en het toch knelt

Is de authenticatie zuiver en de aflevering toch slecht, dan komen er vier andere oorzaken in aanmerking.

Nieuw domein zonder verzendhistorie

Een domein dat nog nooit heeft verzonden, geldt als onbekend. Wie op de eerste dag tienduizend mails verstuurt, wordt afgeremd – terecht.

Wat helpt: het volume over twee tot vier weken opvoeren, en beginnen bij de meest betrokken ontvangers.

Herkenbaar aan: slechte aflevering alleen bij grote verzendingen

Oude, inactieve adressen in de lijst

Ontvangers die al een jaar niets hebben geopend, zijn een negatief signaal. Sommige stilgelegde adressen worden door aanbieders zelfs als val hergebruikt.

Wat helpt: wie twaalf maanden niets heeft geopend, krijgt een laatste mail – en wordt daarna verwijderd.

Herkenbaar aan: dalend openpercentage over maanden

Verzenden via een gedeeld adres

Bij goedkope verzenddiensten delen veel klanten dezelfde verzendservers. De reputatie van die servers hangt dan ook af van het gedrag van de anderen.

Wat helpt: vanaf enkele tienduizenden mails per maand een eigen verzendadres – daaronder zelden rendabel.

Herkenbaar aan: plotselinge inzinkingen zonder eigen wijziging

Ontbrekende afmeldmogelijkheid in de kopregels

Grote aanbieders verwachten bij massaverzending een afmelding die met één klik werkt en technisch in de kopregels is vastgelegd – niet alleen als link in de voettekst.

Wat helpt: in het verzendgereedschap activeren; de meeste ondersteunen het, maar niet alle standaard.

Herkenbaar aan: problemen speciaal bij grote gratis mailaanbieders

Uit de praktijk

Bij het inrichten van onze eigen verzending hebben we de volgorde aangehouden en toch een fout gemaakt: de server kon zijn verzendlogboek aanvankelijk niet wegschrijven, omdat de bestandsrechten dat niet toelieten. We hebben dus met succes verzonden – alleen zonder bewijs.

Het viel pas op toen we wilden nagaan naar welk adres een testmail feitelijk was gegaan. De les: het logboek is geen bijzaak. Zonder logboek valt in geval van twijfel niet aan te tonen wat er is gebeurd – en precies daar komt het op aan als een klant zegt dat hij niets heeft ontvangen.

Tip Richt voor de verzending een eigen subdomein in, bijvoorbeeld mail.jullie-domein.nl. Dan blijft de reputatie van de marketingverzending gescheiden van die van jullie normale zakelijke correspondentie. Gaat er bij een verzending iets mis, dan is niet meteen de hele bedrijfscommunicatie getroffen.

Conclusie

Afleverbaarheid is geen tekstprobleem, maar een bewijsprobleem. Wie de drie records in de juiste volgorde instelt, lost daarmee de overgrote meerderheid van de gevallen op – en wel duurzaam, omdat het om een eenmalige inrichting gaat.

De inspanning bedraagt enkele uren, verdeeld over vier tot zes weken, omdat de observatiefasen erbij horen. Wie ze overslaat en meteen scherp zet, bespaart die weken en riskeert daarvoor dat belangrijke mails stilletjes verdwijnen.

Veelgestelde vragen

Waarom belanden mijn e-mails in de spammap?

In de overgrote meerderheid van de gevallen omdat de ontvangende server niet kan controleren of het bericht echt van jullie domein komt. Daarvoor zijn drie DNS-records nodig: SPF, DKIM en DMARC. Aan de inhoud ligt het duidelijk minder vaak dan wordt aangenomen.

Wat zijn SPF, DKIM en DMARC?

SPF somt op welke servers in jullie naam mogen versturen. DKIM ondertekent elk bericht cryptografisch, zodat wijzigingen opvallen. DMARC koppelt beide controles aan het zichtbare afzenderadres en legt vast wat de ontvanger bij afwijking moet doen.

In welke volgorde richt je ze in?

Eerst SPF, dan DKIM, dan DMARC in de observerende modus. Na twee tot vier weken de rapportages uitlezen, ontbrekende verzenders aanvullen en pas daarna DMARC stapsgewijs aanscherpen. Wie DMARC als eerste scherp zet, blokkeert zijn eigen mails.

Hoe controleer ik of de records kloppen?

Het snelst via de volledige kopregels van een ontvangen mail: in de regel Authentication-Results moet bij SPF, DKIM en DMARC telkens «pass» staan. Aanvullend zijn de records via een DNS-opvraging rechtstreeks te bekijken.

Hoe lang duurt het voordat een wijziging werkt?

DNS-wijzigingen zijn afhankelijk van de instelling na minuten tot 24 uur zichtbaar. De reputatie van een domein verbetert langzamer – reken op twee tot vier weken voordat het afleverpercentage meetbaar beweegt.

Heb je een eigen subdomein nodig voor de verzending?

Niet per se, maar het is verstandig. Het scheidt de reputatie van de marketingverzending van die van jullie normale zakelijke correspondentie. Gaat er bij een verzending iets mis, dan is niet de hele bedrijfscommunicatie getroffen.