SPF-recordgenerator, DKIM- en DMARC-generator voor je domein

Drie DNS-records waarmee ontvangende mailservers controleren of een e-mail echt van jouw domein komt. SPF vermeldt welke servers mogen verzenden, DKIM ondertekent elke e-mail met een sleutel en DMARC bepaalt wat er gebeurt met e-mails die niet door beide controles komen. Gmail en Yahoo vereisen alle drie voor afzenders die veel e-mails versturen.

Kies op het tabblad SPF je mailboxproviders en verzenddiensten, schakel mx of a in voor je eigen server en vul extra IP-adressen of hostnamen in. De generator maakt hiervan een record dat begint met v=spf1 en eindigt op ~all, -all of ?all. Per domein mag er maar één SPF-record zijn. Heb je er al een, laad het dan met ‘Bestaande records laden’ en vul het aan in plaats van een tweede aan te maken.

De sjablonen ondersteunen 13 aanbieders. Voor elke andere aanbieder vul je de SPF-hostnaam uit diens handleiding in bij ‘Extra IP-adressen en diensten’. De generator maakt daar een include van. IP-adressen worden ip4 of ip6. Op het tabblad DKIM kies je ‘Andere aanbieder’ en vul je de selector en waarde in.

Dat bepaalt de SPF-standaard (RFC 7208): include, a, mx, ptr, exists en redirect veroorzaken elk een DNS-lookup; een include kan er meer bevatten. Vanaf de elfde lookup beschouwen mailservers de record als permerror en mislukt SPF. De generator telt de lookups op het hoogste niveau. Kom je dicht bij de limiet, vervang includes dan door vaste ip4- en ip6-vermeldingen.

Kies op het tabblad DKIM ‘Sleutel genereren’, vul een selector zoals mail in, kies 2048 of 1024 bit en klik op ‘Sleutelpaar genereren’. Voeg het openbare deel als TXT-record toe onder selector._domainkey. Download de privésleutel en plaats die op je server. Het tool toont ook meteen de bijbehorende regels voor KeyTable en SigningTable van OpenDKIM. Het sleutelpaar wordt alleen in je browser gemaakt.

Je provider maakt de sleutel aan: bij Google Workspace in de beheerconsole onder Gmail > E-mails verifiëren, bij Microsoft 365 in de Defender-portal onder E-mailverificatie. Google levert een TXT-waarde, Microsoft twee CNAME-doelen voor selector1 en selector2. Kies de provider op het tabblad DKIM en vul de waarden in.

Begin met p=none en een rapportageadres (rua) om een paar weken te zien wie namens je domein mail verzendt. Als alle legitieme afzenders door SPF of DKIM komen, schakel je over naar p=quarantine (spammap) en daarna naar p=reject (afwijzen). Alleen deze twee policies beschermen tegen vervalste afzenders. Gaan de rapporten naar een ander domein, dan toont de generator het TXT-record waarmee dat domein de ontvangst moet toestaan.

Ja. Je kunt zonder aanmelding records genereren en DKIM-sleutels maken en kopiëren. Je hoeft je alleen aan te melden om records direct toe te voegen aan een domein waarvan ZAP-Hosting het DNS beheert. Het tool laat vooraf zien welke records nieuw zijn en welke een bestaand SPF-, DKIM- of DMARC-record vervangen. Daarna controleer je gratis in de Email DNS Health Checker of alles correct is gepubliceerd. Naar de Email DNS Health Checker