Voer een willekeurig domein in om het SPF-record op te halen en te valideren. Bekijk de volledige recordwaarde, elk mechanisme uitgelegd, en of de configuratie klopt.
Een SPF-record (Sender Policy Framework) is een DNS TXT-record dat specifieke mailservers autoriseert om namens een domein e-mail te versturen. Het is een van de drie kernprotocollen voor e-mailauthenticatie, naast DKIM en DMARC. Wanneer een bericht aankomt, raadpleegt de ontvangende mailserver het SPF-record van het verzendende domein om te controleren of het afleverende IP-adres is geautoriseerd.
SPF is fundamenteel voor e-mailbezorgbaarheid. Zonder een geldig SPF-record is de kans groter dat e-mails van je domein als spam worden gemarkeerd of volledig worden geweigerd. De meeste grote inboxproviders — Gmail, Outlook, Yahoo — zien SPF-resultaten als een primair vertrouwenssignaal. Google en Yahoo eisen SPF nu als onderdeel van hun vereisten voor bulkverzenders.
Een SPF-record gebruikt een set mechanismen om geautoriseerde afzenders te beschrijven. Veelvoorkomende mechanismen zijn ip4 en ip6 (specifieke IP-adressen of -bereiken), mx (de mailservers van het domein) en include (delegeren naar het SPF-record van een ander domein). Het record eindigt met een all-mechanisme dat bepaalt wat er gebeurt met afzenders die niet expliciet zijn vermeld: ~all (softfail), -all (hardfail) of ?all (neutral).
Autoriseert een specifiek IPv4-adres of CIDR-bereik. Voorbeeld: ip4:203.0.113.1 of ip4:203.0.113.0/24.
Autoriseert een specifiek IPv6-adres of -bereik. Voorbeeld: ip6:2001:db8::1.
Autoriseert de mailservers die in de MX-records van het domein staan. Handig wanneer je uitgaande en inkomende mailservers hetzelfde zijn.
Importeert en evalueert het SPF-record van een ander domein. Gebruikt om externe afzenders te autoriseren, zoals Google Workspace of SendGrid.
Autoriseert de IP-adressen uit de A- of AAAA-records van het domein. Handig voor webservers die ook mail versturen.
Een Catch-All die geldt voor afzenders die door geen ander mechanisme worden gematcht. Voorafgegaan door ~(softfail), -(hardfail) of ?(neutral).
Live DNS-bewijs
De SPF-checker haalt het openbare TXT-beleid op en toont de autorisatieregels die ontvangers kunnen evalueren. Het is een configuratiediagnose, geen garantie dat elk echt bericht slaagt.
Een domein zonder SPF-beleid levert geen SPF-autorisatiebewijs. Een domein met meerdere v=spf1 TXT-records veroorzaakt een permanente SPF-fout in plaats van ze automatisch te combineren.
Lees het teruggegeven record precies zoals DNS het publiceert. Oude provider-includes, per ongeluk toegevoegde spaties en een beleid op het verkeerde subdomein kunnen het resultaat allemaal veranderen.
ip4 en ip6 identificeren netwerken rechtstreeks. include, a, mx, exists en redirect kunnen extra DNS-werk veroorzaken en kunnen afhangen van records die een andere provider beheert.
Een beleid kan syntactisch geldig zijn en toch de verkeerde systemen autoriseren. Vergelijk elk mechanisme met de huidige afzenderinventaris, in plaats van een groen parse-resultaat als goedkeuring van de bedrijfsconfiguratie te zien.
Lees het beleid
De nuttige vraag is niet alleen of er een record bestaat. Het is of het record kan worden geëvalueerd en of de autorisatiegrens overeenkomt met je echte mailstroom.
SPF evalueert het domein dat in MAIL FROM of HELO wordt gebruikt, niet per se de zichtbare From-header. Een bron die slaagt kan dus technisch geautoriseerd zijn, terwijl de DMARC-alignment met het adres dat een ontvanger ziet faalt.
~all en -all communiceren een verschillende beleidssterkte voor niet-gematchte bronnen. ?all doet geen positieve bewering. Ongeldige syntaxis, dubbele beleidsregels of overmatige DNS-evaluatie kunnen een permerror opleveren en moeten worden hersteld, niet als een gewone fail worden gelezen.
Tel DNS-triggerende mechanismen over de hele include-keten. Het record op het hoogste niveau kan slechts twee includes bevatten, terwijl die providers uitdijen tot genoeg a-, mx-, include-, exists- of redirect-bewerkingen om de RFC-limiet te overschrijden.
+all autoriseert elke afzender. Grote IP-bereiken of overbodige includes maken spoofing ook makkelijker. Een SPF-checker moet je helpen de autorisatie te versmallen, niet alleen bevestigen dat een TXT-string met v=spf1 begint.
Diagnostische workflow
Een gedisciplineerde controle koppelt het gepubliceerde beleid aan de werkelijke verzendidentiteiten.
Inspecteer een echt verzonden bericht of de providerinstellingen om het return-path-domein te vinden, en raadpleeg dat domein in plaats van aan te nemen dat de organisatorische root wordt geëvalueerd.
Identificeer de eigenaar van elke include-, IP-bereik-, a- en mx-autorisatie. Verwijder verouderde bronnen pas nadat je hebt bevestigd dat ze geen legitieme mail meer versturen.
Verstuur via elk productieplatform en inspecteer spf=, smtp.mailfrom en DMARC-alignment in de ontvangen headers. Dit vangt identiteitsmismatches die een zelfstandige DNS-lookup niet kan zien.
Als het record ontbreekt of structureel onjuist is, gebruik de SPF-recordgenerator om één gecombineerd beleid op te stellen, publiceer het en voer deze checker opnieuw uit nadat de DNS-caches zijn verlopen.
Resultaatgrenzen
SPF is één signaal op domeinniveau. Het kan op zichzelf geen vragen over ontvanger, inhoud of volledige authenticatie beantwoorden.
DMARC vereist een uitgelijnde SPF- of DKIM-identiteit. Een apart return-path-domein kan SPF doorstaan, terwijl het zichtbare From-domein onbeschermd blijft.
Gebruik de DKIM-checker en DMARC-checker voor die afzonderlijke DNS-records en beleidsregels.
Ontvangers combineren authenticatie met verzendreputatie, klachtenpercentages, inhoud, betrokkenheid en hun eigen filters. SPF pass is noodzakelijk bewijs voor veel afzenders, geen inboxgarantie.
Het record beschrijft wie namens een domein mag verzenden. Gebruik de E-mailverifier om te controleren of een bestemmingsadres mail kan ontvangen.
Protocolreferentie
Providerdashboards vereenvoudigen SPF, maar ontvangers evalueren het gepubliceerde beleid volgens het protocol.
De RFC 7208 van de IETF definieert SPF-identiteiten, TXT-records, mechanismen, qualifiers, DNS-limieten en resultaatcodes. Het is de gezaghebbende referentie voor dubbele records en permerror-gedrag.
Na het corrigeren van SPF voeg je berichtondertekening toe met de DKIM-generator en publiceer je een uitgelijnd beleid met de DMARC-generator.
Kies de volgende tool op bewijstype: ontvanger, ontdekking, DNS en infrastructuur, of afzenderworkflow.
Gratis tools
Genereer in seconden een geldig SPF-DNS-record voor je domein. Voeg mailservers en include-directives toe en kies je beleid. Gratis, geen account nodig.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Controleer het DKIM-record van elk domein en selector. Zie de volledige publieke sleutel en of DKIM correct is ingesteld. Gratis, geen account.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Controleer het DMARC-record van elk domein. Bekijk beleid, alignment, rapportadressen en of DMARC juist is ingesteld. Gratis, zonder account.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Controleer A-, AAAA-, MX-, TXT-, NS- of CNAME-records voor elk domein. Live DNS-opzoeking met directe resultaten. Gratis, geen registratie nodig.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
E-mailtools
Voer een e-mailbezorgbaarheidstest uit op een echt berichtvoorbeeld. Beoordeel SPF, DKIM, DMARC, DNS, blacklist, spamfilter, header en contentbewijs.
Diagnose van afzender of bericht — geen adresdetectie.
E-mailverificatietools
Controleer of een e-mailadres geldig is met een gratis e-mailverifier die syntax, MX, SMTP-mailbox, wegwerp, rol en catch-all checkt.
Bewijs over de ontvanger — geen afzender- of DNS-configuratie.
Een domein zonder SPF-record faalt SPF-controles. Ontvangende servers behandelen dit als een neutraal resultaat, maar in combinatie met andere signalen stijgt de kans op spam. Google en Yahoo eisen nu SPF-records voor alle bulkverzenders. Elk domein dat e-mail verstuurt, zou een SPF-record moeten publiceren.
Twee of meer TXT-records die beginnen met v=spf1 op hetzelfde domein veroorzaken een permanente SPF-fout (permerror). De SPF-evaluatie faalt volledig en alle e-mail van dat domein faalt SPF. Je moet alle regels combineren in één SPF-record.
SPF fail betekent dat het afleverende IP-adres niet is geautoriseerd in het SPF-record van het domein. Het resultaat hangt af van het all-mechanisme: ~all veroorzaakt een softfail (verdacht, maar meestal nog wel afgeleverd), terwijl -all een hardfail veroorzaakt (meestal geweigerd of naar spam gestuurd). Een neutraal ?all-resultaat heeft geen effect in beide richtingen.
Een permerror (permanente fout) treedt op wanneer SPF niet kan worden geëvalueerd door een configuratieprobleem — meestal omdat het domein meer dan één SPF-record heeft, of omdat het record te veel DNS-lookupmechanismen bevat (meer dan 10). Los permerrors onmiddellijk op, want ze zorgen ervoor dat alle e-mail van je domein SPF faalt.
SPF staat maximaal 10 DNS-lookups toe tijdens de evaluatie. Elk include-, a-, mx-, ptr- en exists-mechanisme telt als één lookup, en geneste includes daarbinnen tellen ook mee. Meer dan 10 lookups in totaal leidt tot een permerror.
Als je SPF-record de limiet van 10 lookups nadert, overweeg dan SPF flattening — alle includes omzetten naar hun werkelijke IP-adressen en de include-mechanismen vervangen door directe ip4/ip6-vermeldingen. Daarmee daalt het aantal lookups voor die vermeldingen naar nul, maar je moet het record bijwerken wanneer je provider zijn IP-bereiken wijzigt.
SPF is stap één. Combineer het met DKIM en DMARC om je domein volledig te beschermen. Houd daarna je lijst schoon met BillionVerify e-mailverificatie.
600 gratis credits/mnd + 20/dag inlogbonus · 99,9% SMTP-nauwkeurigheid · Directe API-toegang · Geen creditcard nodig
