Waarom je e-mails in de spam belanden (en hoe je dat oplost)

De meeste e-mails komen om een van drie redenen in de spam terecht: het domein slaagt niet voor de authenticatiecontroles (SPF/DKIM/DMARC), het verzendende IP-adres of domein heeft een slechte reputatie, of de inhoud van het bericht activeert spamfilters. Mailboxproviders zoals Gmail en Outlook.com beoordelen elk bericht op alle drie de punten voordat ze bepalen waar het terechtkomt, en een fout op één ervan is vaak al genoeg om mail rechtstreeks naar de map met ongewenste e-mail te sturen.

In deze gids lopen we elke oorzaak en de concrete oplossing door, in de volgorde waarin mailboxproviders ze daadwerkelijk controleren.

Authenticatie: de meest voorkomende oorzaak

Als je domein geen SPF, DKIM en DMARC publiceert – of ze verkeerd publiceert – begin je elke verzending al met een achterstand. Dit is veruit de grootste oplosbare oorzaak van spamplaatsing.

SPF (Sender Policy Framework), gedefinieerd in RFC 7208, is een DNS TXT-record met een lijst van servers die mail namens je domein mogen versturen. De ontvangende server controleert het envelope-from-adres daaraan. Een typisch record ziet er zo uit:

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 -all

Twee valkuilen zorgen keer op keer voor problemen: SPF staat maximaal 10 DNS-lookups toe (elk include-, a-, mx-, ptr- en exists-mechanisme telt mee), en wie daarboven komt, veroorzaakt een permanente fout waardoor de controle volledig mislukt. Daarnaast is één TXT-string volgens RFC 1035 beperkt tot 255 tekens, dus lange SPF-records moeten binnen hetzelfde record worden opgesplitst in meerdere strings tussen aanhalingstekens. Controleer het jouwe met onze gratis SPF-generator, of lees de volledige uitleg over hoe je een veilig SPF-record aanmaakt.

DKIM (DomainKeys Identified Mail), RFC 6376, voegt aan uitgaande mail een cryptografische handtekening toe die wordt geverifieerd met een publieke sleutel die is gepubliceerd op selector._domainkey.yourdomain.com. Anders dan SPF overleeft DKIM eenvoudige doorsturing, omdat de handtekening met de berichtheaders meereist en niet met de envelope.

DMARC (Domain-based Message Authentication, Reporting & Conformance), RFC 7489, verbindt de twee. Het vereist dat het domein in de zichtbare From:-header overeenkomt (alignment) met het SPF- of DKIM-domein, en je kunt er een beleid mee publiceren dat ontvangers vertelt wat ze moeten doen met mail die niet slaagt:

v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com; pct=100

TipBegin DMARC met p=none om geaggregeerde rapporten te verzamelen zonder de bezorging te beïnvloeden, en stap over op quarantine of reject zodra je hebt bevestigd dat alle legitieme afzenders slagen. Stel het record correct op met onze DMARC-generator.

Sinds februari 2024 eisen Google en Yahoo geldige SPF en DKIM voor elke afzender, en DMARC (minimaal p=none) met From-header-alignment voor iedereen die 5,000+ berichten per dag naar hun gebruikers stuurt. Onder die drempel wordt het niet strikt gehandhaafd – maar domeinen zonder enig DMARC-record worden steeds vaker standaard als verdacht behandeld.

Afzenderreputatie: wat er gebeurt nadat authenticatie slaagt

Met geslaagde SPF-, DKIM- en DMARC-controles kom je binnen. Wat er daarna gebeurt, hangt af van je reputatie – een score die mailboxproviders per verzendend IP-adres en per domein opbouwen op basis van het werkelijke gedrag van ontvangers.

Belangrijke reputatiesignalen zijn onder meer:

• Percentage spamklachten. Gmail Postmaster Tools markeert alles boven ongeveer 0.1% als zorgwekkend en beschouwt 0.3%+ als een serieus probleem voor bulkverzenders.
• Betrokkenheid. Opens, klikken, antwoorden en – negatief – verwijderen zonder lezen of handmatig "markeren als spam" tellen allemaal mee in de score.
• Forward en reverse DNS. Verzendende IP-adressen hebben een geldig PTR-record (reverse DNS) nodig dat terugverwijst naar een hostnaam die overeenkomt met het verzendende domein. Ontbrekende of niet-overeenkomende PTR-records zijn direct een rode vlag voor de bulkverzenderregels van Gmail.
• Blacklist-status. Een vermelding op een grote DNS-blacklist (DNSBL) na een gecompromitteerde server of uitgelekte inloggegevens doet je bezorgbaarheid kelderen totdat je van de lijst bent gehaald.
• Consistente verzendpatronen. Een domein dat plotseling van 50 e-mails per dag naar 50,000 springt, lijkt op een gecompromitteerd account of een spamcampagne, zelfs als de inhoud legitiem is.

Beheer je je eigen mailserver of een nieuw verzenddomein, warm het dan geleidelijk op en houd Gmail Postmaster Tools en Microsoft SNDS in de gaten in plaats van te gokken. Reverse DNS- en PTR-records staan in dezelfde DNS-zone als al het andere – controleer de jouwe met onze DNS-lookuptool of bekijk je volledige zone met DNS-beheer.

Inhoud en opmaak: de laatste controle van het spamfilter

Zelfs een perfect geauthenticeerd domein met een goede reputatie kan worden gemarkeerd als het bericht zelf op spam lijkt. Filters kijken naar:

Voor bulk- en marketingmail eisen Gmail en Yahoo nu een one-click-unsubscribe-header (RFC 8058), waarbij afmeldingen binnen twee dagen moeten worden verwerkt. Marketingmail versturen zonder deze header – zelfs vanaf een perfect geauthenticeerd domein – vergroot de kans dat je mail in de spam belandt of volledig wordt geblokkeerd.

WarningAuthenticatie herstellen nadat een domein al spamklachten heeft verzameld, zet de reputatie niet meteen terug. Reken op een geleidelijk herstel over dagen tot weken, niet op een directe oplossing.

Een praktische checklist

1. Controleer of SPF, DKIM en DMARC allemaal bestaan en slagen – check dit met DNS-lookup of MX-lookup voor mailspecifieke records.
2. Zorg dat je DMARC-beleid een aligned domein en een rapportageadres heeft, zodat je fouten kunt zien.
3. Stel reverse DNS (PTR) in voor elk verzendend IP-adres.
4. Houd het percentage spamklachten in de gaten in Gmail Postmaster Tools of Microsoft SNDS; houd het onder 0.1%.
5. Voeg one-click unsubscribe toe aan elke bulk- of marketingverzending.
6. Vermijd plotselinge volumepieken vanaf een koud domein of IP-adres.

De meeste bezorgingsproblemen zijn terug te voeren op één ontbrekend of verkeerd geconfigureerd DNS-record. Beheer je SPF, DKIM, DMARC en MX voor meerdere domeinen en registrars, dan maakt het centraliseren van DNS in één dashboard het veel eenvoudiger om een kapot record op te sporen voordat het je je plek in de inbox kost – ontdek hoe met InfraNest DNS-beheer.