Wat is een SPF record? Uitleg, opbouw en instellen

Een SPF record is een korte regel in je DNS die vastlegt welke mailservers namens jouw domein e-mail mogen versturen. Ontvangende servers gebruiken die regel om te controleren of een bericht echt van jou komt en niet van een spammer die jouw domeinnaam misbruikt. In dit artikel lees je wat een SPF record precies is, hoe het werkt, hoe je er zelf een opstelt en welke fouten je beter kunt vermijden.

Wat is een SPF record?

SPF staat voor Sender Policy Framework. Het is een open standaard, vastgelegd in RFC 7208, die helpt om het vervalsen van afzenders (spoofing) en spam tegen te gaan. Met een SPF record publiceer je in je DNS een lijst van IP-adressen en servers die toestemming hebben om e-mail te versturen met jouw domein als afzender.

Technisch is een SPF record een speciaal opgemaakt TXT-record in je DNS-zone. Belangrijk om te weten: er is precies één SPF record per domein toegestaan. Staan er meerdere, dan kan de ontvanger de controle niet uitvoeren en levert dat een foutmelding op (een PermError). Je beleid telt dan niet meer mee.

Waarom is een SPF record belangrijk?

Zonder afzendercontrole kan in principe iedereen e-mail versturen die jouw domein als afzender toont. Dat maakt phishing en spoofing makkelijk. Een SPF record geeft ontvangende mailservers een betrouwbare manier om te controleren of een bericht van een toegestane server komt.

Daarnaast speelt SPF een grote rol in je e-mailaflevering. Mailservers vertrouwen geauthenticeerde berichten meer. Ontbreekt SPF of staat het verkeerd ingesteld, dan belandt je e-mail sneller in de spammap of wordt die geweigerd. SPF is dan ook een vast onderdeel van goede e-mailbeveiliging.

De grote partijen stellen het inmiddels als eis. Gmail en Yahoo vereisen sinds februari 2024 dat afzenders ten minste SPF of DKIM hebben ingesteld, en Microsoft volgde in 2025 voor Outlook en Hotmail. Grootverzenders die meer dan ongeveer 5.000 berichten per dag sturen, moeten SPF, DKIM en DMARC op orde hebben.

Hoe werkt een SPF record?

Wanneer een mailserver een bericht ontvangt, doorloopt die globaal deze stappen:

1. De server leest de envelop-afzender van het bericht. Dat is het Return-Path (ook wel MAIL FROM), niet per se het zichtbare Van-adres dat jij in je mailprogramma ziet.
2. Hij zoekt het SPF record op in de DNS van dat afzenderdomein.
3. Hij vergelijkt het IP-adres van de verzendende server met de lijst in het SPF record.
4. Op basis daarvan geeft hij een uitkomst terug, bijvoorbeeld pass (toegestaan) of fail (niet toegestaan).

Omdat SPF naar de envelop-afzender kijkt en niet naar het zichtbare Van-adres, kan een afzender het zichtbare adres soms alsnog vervalsen. Daarom combineer je SPF met DKIM en DMARC, die het zichtbare afzendadres meenemen.

Hoe ziet een SPF record eruit?

Een SPF record is één tekstregel die altijd begint met de versieaanduiding v=spf1, gevolgd door één of meer onderdelen (mechanismen) en een afsluitende all-regel. Een eenvoudig voorbeeld:

v=spf1 ip4:192.0.2.0/24 include:_spf.example.com ~all

Gebruik je bijvoorbeeld Google Workspace voor je e-mail, dan ziet de regel er vaak zo uit:

v=spf1 include:_spf.google.com ~all

Veelgebruikte mechanismen

Elk mechanisme beschrijft een groep servers die mag verzenden. De meestgebruikte zijn:

De all-regel: -all of ~all

Voor het all-mechanisme zet je een teken dat bepaalt hoe streng je bent:

• -all (hardfail): alles wat niet in je lijst staat, faalt hard en wordt meestal geweigerd.
• ~all (softfail): zulke berichten worden gemarkeerd als verdacht, maar meestal niet geweigerd.
• ?all (neutral): geen oordeel. +all staat iedereen toe en moet je nooit gebruiken.

Een veilige aanpak is om te starten met ~all terwijl je test, en over te stappen op -all zodra je zeker weet dat je lijst met afzenders compleet is.

Een SPF record instellen

Je stelt een SPF record in vier stappen in:

1. Breng in kaart welke diensten namens jouw domein e-mail versturen: je mailserver, je hostingprovider, maar ook een nieuwsbrieftool, webshop of CRM-systeem.
2. Stel één regel samen die met v=spf1 begint en al die afzenders dekt, meestal met include voor externe diensten en ip4 voor eigen servers.
3. Sluit af met ~all tijdens het testen, of met -all als je zeker weet dat de lijst klopt.
4. Publiceer de regel als één TXT-record op de root van je domein en wacht tot de wijziging in de DNS is verwerkt (de propagatie).

Test daarna met een proefbericht naar een ander mailadres, of met een online SPF-checker, en controleer of het resultaat pass is.

Veelgemaakte fouten

Een paar fouten kom je vaak tegen. Deze tabel helpt je ze te herkennen en op te lossen:

Let vooral op de limiet van tien DNS-opzoekingen. De onderdelen include, a, mx, ptr, exists en de modifier redirect tellen allemaal mee. Kom je boven de tien, dan geeft de controle een PermError. Het ptr-mechanisme wordt bovendien afgeraden omdat het traag en onbetrouwbaar is.

SPF, DKIM en DMARC samen

SPF is een van de drie pijlers van moderne e-mailbeveiliging, maar het is geen complete oplossing. Een belangrijke beperking is dat SPF kan mislukken bij doorgestuurde e-mail: een tussenliggende server verstuurt jouw bericht dan vanaf een IP-adres dat niet in jouw SPF record staat.

Daarom vul je SPF aan met DKIM en DMARC. DKIM zet een digitale handtekening op je berichten die ook bij doorsturen overeind blijft. DMARC koppelt SPF en DKIM aan het zichtbare afzendadres en vertelt ontvangers wat ze met mislukte controles moeten doen. Veel ontvangers kijken daarnaast naar het PTR-record (reverse DNS) van het verzendende IP-adres. Dat staat los van het eerder genoemde ptr-mechanisme en wordt juist aanbevolen.

Met een correct SPF record zet je een belangrijke eerste stap naar betrouwbare e-mail en minder spoofing. Combineer het met DKIM en DMARC voor de beste bescherming. Kom je er niet uit? Neem dan contact op met support.