Gratis SPF-check

SPF (Sender Policy Framework) is een TXT-record in je DNS dat vastlegt welke mailservers namens jouw domein e-mail mogen versturen. Ontvangende mailservers controleren dit record om te bepalen of een binnenkomend bericht van een toegestane bron komt.

Een SPF-record ziet er ongeveer zo uit: v=spf1 include:_spf.jouwprovider.nl -all. Het begint altijd met v=spf1, bevat één of meer mechanismen (zoals include: voor een externe verzendende partij) en eindigt met een "all"-mechanisme dat bepaalt wat er gebeurt met verzenders die niet met naam genoemd zijn.

Dat laatste mechanisme is meteen de meest gemaakte fout: +all staat letterlijk iedereen toe en biedt geen enkele bescherming, ?all geeft geen duidelijke uitspraak, ~all ("zacht falen") markeert onbekende afzenders meestal als verdacht zonder ze te blokkeren, en -all ("hard falen") wijst ze af. Voor een productiedomein is -all het uitgangspunt.

Twee andere veelvoorkomende problemen: een domein met helemaal geen SPF-record (dan kan iedereen zich voordoen als afzender), en een domein met meerdere SPF-records naast elkaar. Dat mag niet, want DNS staat maar één SPF-TXT-record per domein toe en meerdere records maken de uitkomst onvoorspelbaar.

SPF alleen is niet genoeg: het controleert alleen het onzichtbare "envelope from"-adres, niet het afzenderadres dat je in je mailprogramma ziet. Daarvoor heb je DKIM en DMARC nodig, die er bovenop komen.