SPF is het DNS-record dat aangeeft welke servers e-mail mogen versturen voor een domein. Als het ontbreekt, dubbel is of voor iedereen openstaat, is e-mail van het domein makkelijker te vervalsen en wordt die eerder geweigerd of in spam geplaatst.
Wat het betekent
Ontvangende mailservers zoeken het SPF-record op om te bepalen of een bericht dat van je domein lijkt te komen, is verzonden door een server die je toestaat. Een domein mag maar één SPF-record hebben, en dat hoort te eindigen met het markeren (~all) of weigeren (-all) van alle andere servers.
Wat het activeert
Eenmaal per dag leest de controle DNS- en e-mailbeveiliging via openbare DNS de TXT-records van het geregistreerde domein en bekijkt de records die met v=spf1 beginnen. Er wordt een van drie varianten van dit probleem gemeld:
- Meer dan één SPF-record (Hoog): ontvangende servers beschouwen de SPF van het domein dan als defect. Eigenaars en beheerders krijgen eenmalig een melding per e-mail en chat.
- SPF-record laat iedereen e-mail versturen (Hoog): het record eindigt op +all, waarmee elke server op internet toestemming krijgt. Eigenaars en beheerders krijgen eenmalig een melding per e-mail en chat.
- Geen SPF-record (Gemiddeld): wordt alleen gemeld als het domein MX-records heeft en dus e-mail ontvangt. Het verschijnt in de app en wordt niet gemaild.
Veelvoorkomende oorzaken
- Een nieuwsbrief-, CRM- of helpdeskdienst is ingesteld met een eigen v=spf1-record in plaats van te worden toegevoegd aan het bestaande record.
- Een record dat eindigt op +all is gekopieerd uit een sjabloon of toegevoegd om afleverfouten te stoppen.
- E-mail is naar een nieuwe provider verhuisd zonder het SPF-record te publiceren dat die vroeg.
Hoe je het oplost
- Noteer elke dienst die e-mail verstuurt namens het domein: je mailboxprovider, nieuwsbrieftool, website, helpdesk en factuursoftware. De installatiehandleiding van elke dienst noemt de include die je moet gebruiken.
- Houd bij je DNS-provider één TXT-record aan dat begint met v=spf1 en ze allemaal bevat, bijvoorbeeld v=spf1 include:_spf.google.com include:sendgrid.net ~all, en verwijder alle andere.
- Laat het eindigen op ~all of -all, nooit +all, en houd het op maximaal 10 DNS-lookups (elke include telt mee), anders beschouwen ontvangende servers het alsnog als mislukt.
- Voeg, zodra SPF klopt, ook een DMARC-record toe. Zie Geen DMARC-record.
Wanneer het verdwijnt
Het probleem verdwijnt na de volgende dagelijkse controle die het probleem niet meer vindt, en de actie verdwijnt 7 dagen later uit het actieplan.
Als je de actie als klaar markeert en het probleem 14 dagen later nog steeds wordt gevonden, komt ze terug als “Oplossing werkte niet”. Zie Het actieplan gebruiken.