DNS-records van een externe dienst toevoegen zonder je mail te breken

Vraagt een nieuwsbriefdienst, CRM, webinarplatform of mailplatform je om DNS-records toe te voegen, dan zet je die naast de records die er al staan. Alleen voor SPF maak je geen nieuw record: je domein heeft er één, en daarin zet je de include van de dienst erbij. Bij LJPc doe je dat in Plesk of in het klantenportaal, en meestal kan de dienst je domein binnen een uur verifiëren.

Bij een hostingpakket van LJPc staan SPF, DKIM en DMARC voor je eigen mail al klaar. Je voegt dus alleen toe wat de nieuwe dienst nodig heeft. Hieronder lees je per soort record wat je ermee doet, hoe je ze stap voor stap toevoegt, welke records je e-mail of website wel raken en hoe je controleert of alles goed staat.

Welke DNS-records vraagt een dienst en wat doe je ermee?

Diensten die namens jouw domein mailen of je domein aan hun platform koppelen, vragen bijna altijd om een paar van de records hieronder. Kijk bij elk record naar twee dingen: het type en de naam. Die twee bepalen of je iets toevoegt of iets vervangt.

Staat er een record bij dat niet in dit overzicht past? Kijk dan of er op die naam al iets staat. Een record op een nieuwe naam raakt niets wat al werkt; een bestaande naam aanpassen wel.

Waar voeg je de records toe?

Dat hangt af van wie de DNS van je domein beheert:

• Hostingpakket bij LJPc: je beheert de DNS meestal in Plesk. Vanuit het klantenportaal open je Plesk zonder apart in te loggen, zie Plesk openen vanuit het klantenportaal.
• Alleen DNS-beheer bij LJPc: je beheert de records in het klantenportaal, in het menu Diensten onder Domeinnamen.
• Nameservers bij een andere partij: dan zet je de records bij die partij. Alleen de DNS van de partij achter je nameservers telt.

Weet je niet welke route voor jou geldt? Open je domein in het portaal en kijk bij DNS records. Staat daar dat de records in Plesk worden beheerd, dan ga je met de knop Bewerken in Plesk meteen naar de goede plek. Alle schermen en knoppen van beide routes staan in DNS-records beheren in het klantenportaal en Plesk.

Stap voor stap: de records van een dienst toevoegen

1. Open bij de dienst de pagina met de records, vaak onder een kopje als domeinauthenticatie, domein verifiëren of afzenderdomein. Neem elke waarde over met de kopieerknop van de dienst in plaats van hem over te typen.
2. Bekijk eerst wat er al in je DNS staat. Staat er op dezelfde naam al een record van hetzelfde type, pas dat dan aan in plaats van er een tweede naast te zetten. Dat geldt vooral voor SPF op @ en DMARC op _dmarc.
3. Klik in Plesk op Add Record, of in het portaal bij DNS records op Record toevoegen, en kies het type dat de dienst opgeeft.
4. Vul bij de naam alleen het deel vóór je domeinnaam in. Geeft de dienst s1._domainkey.jouwdomein.nl, dan vul je s1._domainkey in. In Plesk heet dit veld Domain name (bij een MX-record Mail domain) en staat je domeinnaam er al achter. Voor het hoofddomein laat je het veld in Plesk leeg. In het portaal vul je @ in voor het hoofddomein; typ je je domeinnaam toch mee, dan haalt het portaal die er zelf af.
5. Vul de waarde in:
   • CNAME: in Plesk bij Canonical name, in het portaal bij Inhoud. Neem de volledige doelnaam over, bijvoorbeeld dkim1.mail.example.com.
   • TXT: in Plesk bij TXT record, in het portaal bij Inhoud. Plak de hele waarde in één keer, zonder aanhalingstekens eromheen.
   • MX: in Plesk bij Mail exchange server, met de prioriteit bij Specify priority of mail exchange server. In het portaal vul je Inhoud en Prioriteit in.
6. Laat de TTL op de standaardwaarde staan, tenzij de dienst iets anders vraagt.
7. Sla het record op. In het portaal klik je op Opslaan. In Plesk klik je op OK en daarna boven de lijst op Update: pas dan gaat het record naar je DNS-zone. Heb je meerdere records, zet ze dan eerst allemaal klaar en klik daarna één keer op Update.
8. Ga terug naar de dienst en start daar de controle, met een knop als Verify of Authenticate. Lukt die nog niet, probeer het dan later opnieuw. Hoe lang je wacht, lees je verderop.

De SPF-include toevoegen zonder je mail te breken

Een domein mag maar één SPF-record hebben. Staan er twee, dan faalt de SPF-controle voor al je mail. Daarom zet je de include van de dienst in het record dat er al staat, vóór de afsluiting. Bij een hostingpakket van LJPc ziet dat er zo uit:

; Wat er al stond
v=spf1 include:_spf.ljpc.network -all

; Wat de dienst als voorbeeld geeft
v=spf1 include:_spf.example.com ~all

; Wat je ervan maakt
v=spf1 include:_spf.ljpc.network include:_spf.example.com -all

Let daarbij op drie dingen:

• Laat include:_spf.ljpc.network staan. Daarmee zien ontvangers dat onze uitgaande mailservers namens jouw domein mogen mailen. Haal je hem weg, of vervang je het hele record door het voorbeeld van de dienst, dan kan mail vanuit je mailboxen en je website geweigerd worden of in de spam belanden.
• Houd de afsluiting van je eigen record aan. Een dienst noemt in zijn voorbeeld vaak ~all. Staat jouw record op -all, dan laat je dat zo.
• Blijf binnen tien opzoekingen. Elke include kost minstens één DNS-opzoeking, vaak meer, en een SPF-record mag er in totaal tien gebruiken. De include van LJPc kost er één. Een online SPF-checker telt het voor je. Kom je erboven, haal dan eerst de include weg van een dienst die je niet meer gebruikt.

Kijk ook of de include echt nodig is. Veel verzenddiensten mailen met een eigen afzenderadres op een subdomein, zoals em1234.jouwdomein.nl, dat je met een CNAME- of MX-record instelt. Ontvangers controleren de SPF dan op dat subdomein, en je SPF-record op het hoofddomein blijft zoals het is. De handleiding van de dienst vertelt welke records verplicht zijn. Hoe een SPF-record is opgebouwd, lees je in Wat is een SPF-record?

DKIM-records en lange sleutels

Met DKIM ondertekent de dienst je mail met een eigen sleutel. Je krijgt daarvoor meestal twee of drie CNAME-records op namen die eindigen op ._domainkey, of één TXT-record met een lange sleutel. Elke dienst gebruikt een eigen naam (selector), zodat al die records naast het record default._domainkey van LJPc passen. Laat dat record staan zolang je ook via ons mailt.

• Een lange TXT-sleutel plak je in één keer, zonder aanhalingstekens. Een waarde langer dan 255 tekens knippen wij automatisch in stukken van 255 tekens. Toont de dienst de sleutel in meerdere stukken tussen aanhalingstekens, plak de stukken dan direct achter elkaar en laat de aanhalingstekens en de spatie ertussen weg. In het portaal worden aanhalingstekens die je meekopieert onderdeel van de sleutel, en dan klopt hij niet meer.
• Een CNAME met een underscore in de doelnaam, zoals selector1._domainkey.example.com, accepteert Plesk. Het portaal geeft bij zo'n doelnaam de melding Ongeldige hostnaam. Maak dan een supportticket aan en zet de records van de dienst erbij.
• Elk teken telt. Eén teken te veel of te weinig en de DKIM-controle faalt. Kopieer daarom altijd met de kopieerknop van de dienst.

Hoe DKIM werkt en hoe je het bij LJPc controleert, lees je in Wat is DKIM?

De dienst vraagt ook om DMARC

Bij een hostingpakket van LJPc staat er standaard een DMARC-record op _dmarc, met v=DMARC1; p=quarantine. Een dienst die om DMARC vraagt, wil meestal dat er een geldig record staat; p=quarantine is strenger dan de p=none uit veel voorbeelden en voldoet dus ook. Zet er geen tweede record naast: met twee DMARC-records op dezelfde naam geldt er geen beleid meer. Wil je de rapporten van een dienst ontvangen, voeg dan het rua-adres toe aan het bestaande record. Heb je alleen DNS-beheer bij LJPc en staat er niets op _dmarc, dan maak je er een aan. De keuzes lees je in Wat is DMARC?

Wanneer raakt een record je website of je e-mail?

De meeste records van een dienst komen op een nieuwe naam en laten alles wat al werkt met rust. Let op bij deze drie:

• Een MX-record op je hoofddomein bepaalt waar al je inkomende mail naartoe gaat. Vervang je mx1.ljpc.email en mx2.ljpc.email door de MX van een dienst, dan komt je mail voortaan bij die dienst binnen en niet meer in je mailboxen bij LJPc. Doe dat alleen als je je e-mail naar die dienst verhuist, zie Wat is een MX-record? Een MX-record op een subdomein, zoals send of bounce, is bedoeld voor teruggestuurde mail en meldingen van de dienst en laat je eigen mail ongemoeid.
• Een A-record op je hoofddomein of een CNAME op www bepaalt welke website bezoekers zien. Vraagt een landingspagina-, webinar- of websitebouwer daarom, dan vervangt die pagina je huidige website op dat adres. Kies je een subdomein, zoals webinar.jouwdomein.nl, dan blijft je website staan en draait de pagina van de dienst ernaast. Hoe je een subdomein naar een dienst laat wijzen, lees je in Wat is een CNAME-record?
• Een record op een naam die al bestaat. In een zone bij LJPc staan naast je hoofddomein en www meestal ook records als mail, webmail, ftp, autodiscover en autoconfig. Met de laatste twee vinden mailprogramma's je instellingen vanzelf. Vraagt een dienst om een record op een van die namen, maak dan eerst een supportticket aan.

Mogen oude records weg?

Alleen records van een dienst die je niet meer gebruikt. Een include van een vorige nieuwsbriefdienst haal je uit je SPF-record, en dat geeft meteen ruimte binnen de tien opzoekingen. De DKIM-records van die dienst mogen dan ook weg. Deze records laat je altijd staan:

• include:_spf.ljpc.network in je SPF-record en het TXT-record default._domainkey, zolang je via LJPc mailt;
• je DMARC-record op _dmarc;
• de MX-records mx1.ljpc.email en mx2.ljpc.email (of spamfilter-mx1.ljpc.systems bij het premium spamfilter), zolang je mail bij LJPc binnenkomt;
• de A-, AAAA- en www-records van je website;
• verificatierecords van diensten die je nog gebruikt, want sommige diensten controleren die later opnieuw.

Weet je niet van wie een record is, laat het dan staan en vraag het na. Een record dat nog in gebruik is, mis je vaak pas als er mail niet aankomt.

Hoe lang duurt het voordat de records werken?

Bij LJPc staat een nieuw of gewijzigd record meestal binnen een minuut op onze nameservers. Een naam die nog niemand had opgevraagd, is dan meteen te vinden. Heeft de dienst de naam al gecontroleerd voordat je het record toevoegde, dan kan dat lege antwoord tot een uur bewaard blijven: probeer de verificatie dan na een uur opnieuw. Een gewijzigd record, zoals je SPF-record, is na hooguit de TTL overal bijgewerkt, bij ons meestal een uur. Op 24 tot 48 uur reken je alleen als je de nameservers van je domein wisselt. Beheert een andere partij je DNS, dan bepaalt die partij hoe snel het gaat. Meer hierover lees je in DNS-propagatie.

Zo controleer je of de records goed staan

De betrouwbaarste controle is de knop van de dienst zelf: die kijkt precies naar wat hij nodig heeft. Wil je zelf kijken, gebruik dan de opdrachtprompt (Windows) of de terminal (macOS en Linux):

• SPF en verificatiecodes op je hoofddomein: dig TXT jouwdomein.nl +short, of op Windows nslookup -type=TXT jouwdomein.nl.
• Een DKIM-CNAME van een dienst: dig CNAME s1._domainkey.jouwdomein.nl +short, of op Windows nslookup -type=CNAME s1._domainkey.jouwdomein.nl.

Zie je nog niets, vraag dan onze nameserver rechtstreeks, zonder cache ertussen: zet @ns1.ljpc.network achter het dig-commando, of ns1.ljpc.network achter het nslookup-commando. Staat het record daar wel, dan is het wachten tot de cache verloopt. Staat het daar ook niet, kijk dan of je in Plesk op Update hebt geklikt en of de naam klopt. Zie je twee regels die met v=spf1 beginnen, voeg ze dan samen tot één.

Is de dienst tevreden, verstuur dan via de dienst een testmail naar een adres bij een andere aanbieder en bekijk de originele bron van het bericht. Staat in de kop Authentication-Results dkim=pass en dmarc=pass met jouw domein, dan is alles in orde. Meer controles vind je in DNS-problemen oplossen.

Kom je er niet uit? Maak een supportticket aan en zet de records die de dienst opgeeft erbij, dan kijken we met je mee.