Wat is SPF (Sender Policy Framework)?

Definitie

Sender Policy Framework is een van de drie kern-e-mailauthenticatiestandaarden, naast DKIM en DMARC. Het pakt een fundamentele zwakte in e-mail aan: standaard kan iedereen een bericht versturen dat beweert van elk willekeurig domein te komen, omdat de oorspronkelijke mailprotocollen nooit een manier hebben ingebouwd om te bewijzen wie de echte afzender is. SPF dicht een deel van die kloof door een domeineigenaar een manier te geven om publiekelijk en in machineleesbare vorm te verklaren welke servers precies mail namens het domein mogen versturen.

Die verklaring staat in het Domain Name System, dezelfde wereldwijde directory die domeinnamen vertaalt naar netwerkadressen. De domeineigenaar publiceert een speciaal DNS-record dat de geautoriseerde afzenders benoemt. Wanneer een bericht binnenkomt, zoekt de ontvangende mailserver dat record op en vergelijkt het met de server die het bericht daadwerkelijk heeft bezorgd. Staat de verzendende server op de lijst, dan doorstaat het bericht SPF. Zo niet, dan faalt het bericht op SPF, wat een sterke aanwijzing is dat de mail vervalst kan zijn. SPF versleutelt niets en controleert de berichtinhoud niet. Het beantwoordt één gerichte vraag: is dit bericht verstuurd vanaf een server die de domeineigenaar heeft goedgekeurd?

Hoe het werkt

Een SPF-beleid wordt gepubliceerd als één enkel DNS TXT-record op het domein. Het record begint altijd met de versietag v=spf1, gevolgd door een reeks mechanismen die geautoriseerde afzenders beschrijven, en eindigt normaal gesproken met een all-mechanisme dat de standaarduitkomst bepaalt. Een eenvoudig record zou kunnen luiden v=spf1 include:_spf.google.com -all, dat de mailservers van Google Workspace autoriseert en al het andere weigert.

De mechanismen zijn de bouwstenen. De mechanismen ip4 en ip6 autoriseren specifieke adressen of adresbereiken rechtstreeks. Het a-mechanisme autoriseert de servers in de adresrecords van het domein, en mx autoriseert de servers die als de mail exchangers van het domein zijn vermeld. Het include-mechanisme is in de praktijk het meest voorkomend, omdat het het SPF-beleid van een andere provider binnenhaalt, en zo delegeert een domein het versturen aan diensten als Google, Microsoft of een e-mailplatform. Elk mechanisme kan een qualifier dragen die het resultaat bepaalt wanneer het overeenkomt. Een plusteken, de standaard, betekent pass. Een minteken betekent fail, een tilde betekent softfail, wat een zachte waarschuwing is, en een vraagteken betekent neutral. Het all-mechanisme aan het eind vangt elke server die niet overeenkwam, dus -all is een harde weigering van alles wat niet vermeld is, terwijl ~all een zachter signaal is.

Wanneer een ontvangende server SPF evalueert, controleert die het envelope-from-adres, dat de return-path is die tijdens de SMTP-uitwisseling wordt opgegeven, en voor bounceberichten met een lege return-path controleert die in plaats daarvan de HELO-identiteit. De standaard legt een belangrijke beperking op: het evalueren van een record mag niet meer dan tien DNS-lookups gebruiken, en mechanismen als include, a, mx en exists verbruiken er elk één. Heeft een record er meer dan tien nodig, dan levert dat een PermError op, die ontvangers als een fout kunnen behandelen, dus SPF-records moeten compact worden gehouden. SPF heeft ook structurele grenzen. Het breekt wanneer mail wordt doorgestuurd, omdat de doorsturende server niet op de lijst van het oorspronkelijke domein staat, en cruciaal: het valideert alleen het envelope-from-adres, niet het zichtbare From-adres dat een ontvanger daadwerkelijk ziet.

Waarom het belangrijk is voor e-mailbezorgbaarheid

SPF is nu een basisvereiste in plaats van een optionele extra. Mailboxproviders behandelen een geslaagde SPF-controle als een positief vertrouwenssignaal en een ontbrekend of falend record als reden voor argwaan, wat direct van invloed is op of mail de inbox of de spammap bereikt. Sinds de afzendervereisten van 2024 die door Google en Yahoo zijn geïntroduceerd, wordt van bulkafzenders verwacht dat ze met SPF authenticeren, en een domein zonder een geldig SPF-record kan zien dat zijn mail wordt vertraagd of regelrecht geweigerd.

SPF is ook belangrijk omdat het een voorwaarde is voor DMARC, de beleidslaag die authenticatie koppelt aan het zichtbare From-adres. DMARC werkt door te controleren of SPF of DKIM is geslaagd en of het resultaat uitlijnt met het From-domein. Zonder een correct geconfigureerd SPF-record kan een domein geen DMARC-alignment via SPF bereiken, wat zijn algehele bescherming verzwakt. Tegelijk is het belangrijk om realistisch te zijn over wat SPF niet kan. Omdat het de zichtbare From-header negeert en breekt bij doorsturen, kan SPF alleen een vastberaden spoofer niet tegenhouden. Het is één noodzakelijke laag van een verdediging met drie lagen, en het levert zijn volledige waarde pas wanneer DKIM en DMARC ernaast aanwezig zijn.

Hoe VeriMails hiermee omgaat

SPF en e-mailverificatie lossen twee verschillende helften van hetzelfde deliverabilityprobleem op. SPF authenticeert de mail die je verstuurt, zodat ontvangende servers erop vertrouwen dat die echt van jou kwam. E-mailverificatie schoont de lijst op waar je naartoe verstuurt, zodat je alleen maar echte, bereikbare adressen mailt. Sterke inboxplaatsing heeft beide samenwerkend nodig, en geen van beide is een vervanging voor de ander.

VeriMails richt zich op de ontvangerskant. Elk adres dat je indient, wordt gecontroleerd via syntaxvalidatie, een MX- en DNS-lookup, een live SMTP-handshake, catch-all-detectie, wegwerpadresdetectie en rolgebaseerde detectie, zodat ongeldige adressen worden verwijderd voordat ze kunnen bouncen en een reputatie omlaag trekken die goede SPF-, DKIM- en DMARC-records nu juist moeten beschermen. Om ook aan de authenticatiekant te helpen, biedt VeriMails een gratis SPF-generator die een syntactisch correct record bouwt voor je domein en verzenddiensten, en het binnen de limiet van tien lookups houdt. Je kunt een lijst verifiëren via de REST API of een bulk-CSV-upload, met heldere deliverability-categorieën voor campagnebeslissingen. Verificatie begint bij $0.0019 per e-mail, met 10.000 credits voor $19 en jaarplannen vanaf $12.50/maand bij jaarlijkse facturering, en elk account begint met 100 gratis credits, zonder dat een creditcard nodig is, die nooit verlopen.

Veelgestelde vragen