SPF, DKIM en DMARC voor webshops: de eisen van Gmail en Yahoo

Wat SPF, DKIM en DMARC doen, wat Gmail, Yahoo en Outlook.com van afzenders eisen, hoe je ze instelt in Shopify en WooCommerce en hoe je p=reject bereikt.

FixReports-redactie10 min. leestijd

Om aan de afzenderregels van Gmail en Yahoo te voldoen, heeft elke webshop SPF of DKIM nodig op het domein waarmee hij mail verstuurt. Bulkafzenders hebben beide nodig, plus een DMARC-record van minimaal p=none, waarbij het zichtbare From-domein is afgestemd op SPF of DKIM (alignment). Bulkafzenders moeten in marketingmails bovendien afmelden met één klik aanbieden en hun gemelde spampercentage onder 0,3% houden. In Shopify betekent dat: je afzenderdomein verifiëren in het beheercentrum en een DMARC-record toevoegen. In WooCommerce betekent het: versturen via een geauthenticeerde e-mailprovider. Zodra de DMARC-rapporten laten zien dat al je legitieme mail slaagt, kun je het beleid stap voor stap aanscherpen richting p=reject.

De belangrijkste punten

Wat doen SPF, DKIM en DMARC precies?

SPF legt vast wie namens je domein mag versturen, DKIM ondertekent elk bericht, en DMARC koppelt beide aan het From-adres dat je klanten zien.

RecordWat het bewijstWaar het staatStandaard
SPFDe verzendende server is geautoriseerd voor het domein in de envelop (MAIL FROM)TXT-record op het domeinRFC 7208 (opent in een nieuw tabblad)
DKIMHet bericht is door het domein ondertekend en onderweg niet gewijzigdTXT-record op selector._domainkey.example.comRFC 6376 (opent in een nieuw tabblad)
DMARCSPF of DKIM is geslaagd voor een domein dat is afgestemd op het zichtbare From-domein; vertelt ontvangers wat ze moeten doen als de controle mislukt en waar rapporten naartoe moetenTXT-record op _dmarc.example.comRFC 9989 (opent in een nieuw tabblad)

Alignment wordt makkelijk over het hoofd gezien. Je e-mailplatform kan slagen voor SPF op zijn eigen bouncedomein, terwijl je From-adres het domein van je webshop toont. Zo’n bericht slaagt voor SPF maar faalt voor DMARC, tenzij DKIM met jouw domein is ondertekend.

Wat eisen Gmail en Yahoo van afzenders?

Beide eisen authenticatie van elke afzender en hanteren strengere regels voor bulkafzenders.

Voor alle afzenders eist Gmail SPF of DKIM, geldige forward en reverse DNS, TLS, opmaak volgens RFC 5322 en een spampercentage onder 0,3% in Postmaster Tools (Google (opent in een nieuw tabblad)). Yahoo eist minimaal SPF of DKIM en een spampercentage onder 0,3% (Yahoo Sender Hub (opent in een nieuw tabblad)). Voor bulkafzenders gelden deze eisen:

EisGmailYahoo
SPF en DKIMBeideBeide
DMARCVerplicht; het beleid mag none zijnGeldig beleid van minimaal p=none, en DMARC moet slagen
AlignmentFrom-domein afgestemd op het SPF- of DKIM-domeinIdem; relaxed alignment wordt geaccepteerd
Afmelden met één klikMarketingberichten en berichten waarvoor iemand zich heeft aangemeld, volgens RFC 8058, plus een zichtbare linkList-Unsubscribe-header met ondersteuning voor één klik bij marketingberichten en berichten waarvoor iemand zich heeft aangemeld
Afmeldingen verwerkenBinnen 48 uur (aanbevolen)Binnen 2 dagen
SpampercentageOnder 0,3%; Google raadt onder 0,10% aanOnder 0,3%

Een paar details zijn belangrijk voor webshops:

  • Gmail telt per domein. Berichten van hetzelfde primaire domein tellen mee voor de grens van 5.000, dus bestelmails, marketing en antwoorden van de klantenservice worden bij elkaar opgeteld.
  • Alleen persoonlijke Gmail-accounts tellen mee. De richtlijnen gelden niet voor berichten aan Google Workspace-accounts.
  • Transactionele mail is vrijgesteld van afmelden met één klik. Orderbevestigingen hebben nog steeds authenticatie nodig.

Afmelden met één klik werkt met twee headers die zijn gedefinieerd in RFC 8058 (opent in een nieuw tabblad). Die RFC eist ook een geldige DKIM-handtekening die deze headers omvat:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Open de ruwe broncode van een van je eigen campagnes om te controleren of je marketingplatform ze toevoegt.

Wat is er na februari 2024 veranderd?

De handhaving is stap voor stap strenger geworden, en andere mailboxproviders hebben vergelijkbare regels ingevoerd.

DatumWijzigingBron
Februari 2024De eisen van Gmail en Yahoo gaan in (Yahoo voerde de handhaving geleidelijk in)Google (opent in een nieuw tabblad), Yahoo (opent in een nieuw tabblad)
Juni 2024Gmail: bulkafzenders met een spampercentage boven 0,3% komen niet meer in aanmerking voor mitigatieGmail FAQ (opent in een nieuw tabblad)
1 juni 2024Deadline van Gmail voor afmelden met één klik voor afzenders die al een afmeldlink haddenGmail FAQ (opent in een nieuw tabblad)
5 mei 2025Eisen van Outlook.com voor domeinen die meer dan 5.000 e-mails per dag versturen; volgens de update van Microsoft van 29 april worden berichten die niet voldoen geweigerd met 550 5.7.515Microsoft (opent in een nieuw tabblad)
November 2025Gmail voert de handhaving op, met onder meer tijdelijke en permanente weigeringenGmail FAQ (opent in een nieuw tabblad)
Mei 2026RFC 9989 vervangt RFC 7489 als DMARC-specificatieIETF (opent in een nieuw tabblad)

De regels van Outlook.com gelden voor de consumentenadressen (outlook.com, hotmail.com en live.com). Ze eisen dat SPF en DKIM slagen en dat DMARC minimaal op p=none staat, afgestemd op SPF of DKIM.

Hoe stel je SPF, DKIM en DMARC in bij Shopify?

Verifieer je afzenderdomein in het Shopify-beheercentrum en voeg daarna één DMARC-record toe bij je DNS-host.

Volgens de handleiding voor het instellen van e-mail (opent in een nieuw tabblad) van Shopify eisen Gmail en Yahoo sinds 1 februari 2024 een geauthenticeerd domein en een DMARC-record om vanaf een adres met je eigen domeinnaam te versturen. Als er geen authenticatierecords zijn ingesteld, herschrijft Shopify je afzenderadres naar de notatie store+123@shopifyemail.com. De stappen:

  1. Ga in het Shopify-beheercentrum naar Instellingen > Meldingen (Settings > Notifications).
  2. Klik in het gedeelte Afzender-e-mail (Sender email) op je domein verifiëren (authenticate your domain).
  3. Voeg elk getoond CNAME-record toe bij je DNS-provider. Het aantal kan verschillen. Volgens Shopify regelen deze records SPF en DKIM voor je afzenderadres en hoef je geen IP-adressen toe te voegen.
  4. Houd er rekening mee dat DNS-wijzigingen tot 48 uur kunnen duren.
  5. Voeg een TXT-record toe met de naam _dmarc en de waarde v=DMARC1; p=none;, die Shopify als standaard gebruikt.

Heb je je domein bij Shopify gekocht of naar Shopify overgezet, dan beheert Shopify deze records voor je. Shopify waarschuwt ook dat een domein maar één DMARC-record kan hebben, en dat strikte alignment-instellingen (adkim=s of aspf=s) moeten worden verwijderd of gewijzigd in r.

De authenticatie van Shopify geldt voor de mail die Shopify verstuurt. Gebruik je een ander platform voor campagnes, een helpdesk of Google Workspace voor de mail van je medewerkers, dan heeft elk daarvan een eigen DKIM-instelling nodig en, als het je domein voor bounces gebruikt, een eigen vermelding in SPF.

Hoe stel je e-mailauthenticatie in voor WooCommerce?

Verstuur de mail van WooCommerce via een gespecialiseerde provider die met jouw domein ondertekent, zoals de documentatie van WooCommerce zelf aanraadt.

WooCommerce verstuurt mail met de WordPress-functie wp_mail(), en de e-mail-FAQ (opent in een nieuw tabblad) van WooCommerce raadt een gespecialiseerde SMTP-provider aan, omdat die betrouwbaarder is dan de mailfunctie van je eigen server. Een gebruikelijke opzet:

  1. Kies een provider voor transactionele e-mail en verifieer je domein bij die provider. De provider geeft je de DKIM-records en de SPF-include die je moet publiceren.
  2. Koppel WordPress aan die provider met een SMTP- of API-plugin.
  3. Stel het Afzenderadres (From address) onder WooCommerce > Instellingen > E-mails (WooCommerce > Settings > Emails) in op een adres op je eigen domein. WooCommerce waarschuwt dat mail vanaf een openbaar adres, zoals een adres bij Gmail of Yahoo, waarschijnlijk in de spam belandt of wordt geblokkeerd.
  4. Publiceer een DMARC-record op _dmarc.yourdomain.
  5. Bekijk WooCommerce > Status > Logs en filter op de bron transactional-emails om te zien welke berichten zijn verstuurd of zijn mislukt.

Verstuurt je webhost ook mail voor het domein, authenticeer die dan of schakel die uit. Elk systeem dat namens je domein mail verstuurt zonder afgestemde SPF of DKIM, faalt voor DMARC.

Wat is de SPF-limiet van 10 lookups en hoe blijf je eronder?

Een SPF-controle mag maximaal 10 termen gebruiken die een DNS-query nodig hebben; bij één meer is het resultaat permerror, en dan slaagt SPF niet.

RFC 7208, sectie 4.6.4 (opent in een nieuw tabblad) noemt de termen die meetellen: de mechanismen include, a, mx, ptr en exists en de modifier redirect. De mechanismen ip4, ip6 en all tellen niet mee. Includes binnen je includes tellen ook mee, omdat de limiet voor de hele evaluatie geldt. De RFC raadt ook aan om “void lookups” (query’s die geen antwoord opleveren) tot twee te beperken, en zegt dat het mechanisme ptr niet gepubliceerd hoort te worden.

Zo blijf je onder de 10:

  • Verwijder includes voor diensten die je niet meer gebruikt.
  • Gebruik ip4 of ip6 voor servers die je zelf beheert en die vaste adressen hebben.
  • Verplaats marketingmail naar een subdomein zoals news.example.com, dat een eigen SPF-record en een eigen telling heeft.
  • Publiceer nooit twee SPF-records. RFC 7208 verbiedt meerdere records, en de evaluatie geeft dan permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com en spf.example-marketing.com staan voor de waarden die je eigen providers je opgeven.

Hoe ga je met DMARC van p=none naar p=reject?

Begin met p=none en rapportage, los elke legitieme bron op die de rapporten aan het licht brengen, en scherp daarna het beleid aan.

FaseRecordDoel
1. Monitorenv=DMARC1; p=none; rua=mailto:dmarc@example.comVerzamelrapporten (aggregate reports) ontvangen over wie namens je domein mail verstuurt
2. OplossenGeen wijzigingZorgen dat elke legitieme bron slaagt voor afgestemde SPF of DKIM
3. Quarantainev=DMARC1; p=quarantine; rua=mailto:dmarc@example.comMail die niet slaagt, gaat naar de spammap
4. Weigerenv=DMARC1; p=reject; rua=mailto:dmarc@example.comMail die niet slaagt, wordt geweigerd

Ga pas naar de volgende fase als de rapporten laten zien dat je webshopplatform, marketingtool, helpdesk en de mail van je medewerkers allemaal slagen. Verzamelrapporten zijn gedefinieerd in RFC 9990 (opent in een nieuw tabblad). Staat het rua-adres op een ander domein, bijvoorbeeld dat van een rapportagedienst, dan moet dat domein een record publiceren dat de rapporten autoriseert.

Oudere handleidingen raden aan om uit te rollen met pct=25 of pct=50. RFC 9989 heeft pct geschrapt (de registervermelding is nu “historic”), omdat andere waarden dan 0 en 100 inconsistent werden toegepast. In plaats daarvan vraagt t=y ontvangers om het eerstvolgende lagere beleid toe te passen, bijvoorbeeld quarantaine in plaats van weigeren. Gebruik t=y in plaats van gedeeltelijke percentages als je een proefstap wilt.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Een afgedwongen beleid maakt ook BIMI mogelijk, waarmee je logo wordt getoond in inboxen die dat ondersteunen. Gmail eist daarvoor DMARC op p=quarantine of p=reject en een Verified Mark Certificate of Common Mark Certificate (Google (opent in een nieuw tabblad)). Voor mail die bij je domein binnenkomt, kun je met MTA-STS (RFC 8461 (opent in een nieuw tabblad)) verzendende servers opdragen om niet aan je mailservers te bezorgen als die geen TLS met een vertrouwd certificaat aanbieden.

Hoe controleer je de records van je webshop?

Vraag de drie recordtypen op met dig, of gebruik een checker die ze voor je uitleest.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

De DKIM-selector krijg je van je provider, en je vindt hem in de waarde s= van de DKIM-Signature-header van een bericht dat je hebt verstuurd. Het E-mailbezorgbaarheidsrapport leest je openbare DNS, telt SPF-lookups, probeert gangbare DKIM-selectors en controleert het DMARC-beleid, rua, pct, BIMI en MTA-STS. Correcte records helpen, maar geen enkele set records garandeert dat je mail in de inbox belandt, want mailboxproviders wegen ook spamklachten en verzendgedrag mee.

Veelgestelde vragen

Heb ik DMARC nodig als mijn webshop minder dan 5.000 e-mails per dag verstuurt?

Gmail eist DMARC alleen van bulkafzenders, maar Shopify wijst erop dat Gmail en Yahoo een geauthenticeerd domein en een DMARC-record eisen om vanaf een adres met je eigen domeinnaam te versturen. Een record met p=none brengt weinig risico mee en levert je rapporten op, dus de meeste webshops doen er goed aan er een te publiceren.

Mag mijn domein twee SPF-records hebben?

Nee. Volgens RFC 7208 mag een domein niet meerdere SPF-records hebben, en als dat toch zo is, geeft de SPF-evaluatie permerror. Voeg alle afzenders samen in één record.

Blokkeert p=reject de bestelmails van mijn Shopify-webshop?

Niet als de CNAME-records van Shopify zijn ingesteld en je DMARC-rapporten laten zien dat de mail van Shopify slaagt voor afgestemde DKIM. Controleer de rapporten voordat je verder gaat dan p=none, en houd de alignment op relaxed, zoals Shopify aanraadt.

Is de DMARC-tag pct nog geldig?

RFC 9989, gepubliceerd in mei 2026, heeft pct geschrapt en t=y ingevoerd voor de testmodus. De BIMI-richtlijnen van Google vragen nog steeds om pct=100, wat de standaardwaarde is als de tag ontbreekt, dus pct weglaten is de eenvoudigste keuze voor nieuwe records.

Garandeert slagen voor SPF, DKIM en DMARC dat mijn e-mails in de inbox belanden?

Nee. Authenticatie is een vereiste, geen garantie. Gmail en Yahoo kijken ook naar het percentage spamklachten, de afhandeling van afmeldingen en de opmaak van berichten.

Bronnen

Alle handleidingen