Domeinen en e-mailbezorging: wat moet je weten?
Auteur: Redactie Domeny.ForSale Gepubliceerd Bijgewerkt
In het kort: Een goede domeinnaam alleen garandeert niet dat berichten in de inbox belanden. Ook de reputatie van het domein en de verzendinfrastructuur, correcte SPF-, DKIM- en DMARC-records en de manier waarop je ontvangers werft, spelen een rol. Neem een nieuw domein geleidelijk in gebruik en houd geweigerde berichten, klachten en authenticatieresultaten in de gaten.
Hoe een domein de e-mailbezorging beïnvloedt
E-mailbezorgbaarheid is de mate waarin berichten de mailbox van de ontvanger bereiken, bij voorkeur de inbox in plaats van de spammap. Mailservers beoordelen allerlei signalen: het domein in het afzenderveld, de domeinen in de technische onderdelen van het bericht, het IP-adres van de server, de berichtinhoud en de reacties van ontvangers.
De reputatie van een domein wordt opgebouwd op basis van de verzendgeschiedenis. Onder meer spamklachten, berichten naar inactieve of niet-bestaande adressen, plotselinge pieken in het verzendvolume en pogingen om zich als het domein voor te doen, schaden die reputatie. Overstappen naar een andere e-mailprovider verhelpt niet automatisch de problemen die aan het domein zelf zijn gekoppeld.
Een extensie zoals .pl of .com is meestal niet doorslaggevend voor de bezorgbaarheid. Een consistente configuratie en consistent verzendgedrag zijn belangrijker. Een ongebruikelijke extensie kan zakelijk wel meer voorzichtigheid vragen als ontvangers het adres niet herkennen en berichten vaker als verdacht markeren.
SPF, DKIM en DMARC: drie basisbeveiligingen
SPF is een DNS-record dat aangeeft welke servers namens het domein e-mail mogen versturen. Het moet alle daadwerkelijke verzenders omvatten, bijvoorbeeld de zakelijke e-maildienst, het facturatiesysteem en het nieuwsbriefplatform. Een domein hoort één correct samengesteld SPF-record te hebben; meerdere afzonderlijke records kunnen fouten bij de controle veroorzaken.
DKIM voegt een cryptografische handtekening aan het bericht toe. De mailserver van de ontvanger controleert die met een publieke sleutel die in DNS is gepubliceerd. Een geldige handtekening bevestigt dat het bericht door het betreffende domein is geautoriseerd en onderweg niet is gewijzigd.
DMARC bepaalt wat de ontvangende partij moet doen als een bericht niet slaagt voor een SPF- of DKIM-controle waarbij het gecontroleerde domein overeenkomt met het domein in het veld ‘Van’. Ook kun je hiermee rapporten over het gebruik van het domein ontvangen. Je kunt het beleid het beste stapsgewijs aanscherpen: begin met monitoring, breng de bronnen van legitieme e-mail in kaart en overweeg pas daarna om berichten die niet aan het beleid voldoen naar de spammap te laten sturen of te laten weigeren.
Een voorbeeld: een bedrijf verstuurt gewone e-mail via Microsoft 365, nieuwsbrieven via een extern platform en facturen via een boekhoudsysteem. Voordat de beheerder een strikt DMARC-beleid inschakelt, moet die alle drie de bronnen inventariseren, ze configureren in SPF of DKIM en controleren of de domeinen overeenkomen. Als het facturatiesysteem wordt vergeten, kunnen legitieme berichten worden geweigerd.
Eén domein of afzonderlijke subdomeinen
Verschillende soorten e-mail via afzonderlijke subdomeinen versturen maakt de configuratie en reputatieanalyse eenvoudiger. Medewerkers kunnen via het hoofddomein corresponderen, terwijl marketingberichten bijvoorbeeld via het subdomein nieuws.voorbeeld.pl worden verstuurd. Systeemmeldingen kun je via een ander subdomein verzenden, zoals meldingen.voorbeeld.pl.
Zo’n verdeling beperkt de invloed van problemen in het ene kanaal op het andere, maar zorgt niet voor volledige isolatie. E-mailproviders kunnen de reputatie van een subdomein koppelen aan die van het bovenliggende domein. Een afzonderlijk domein dat uitsluitend voor bulkmail wordt gebruikt, is evenmin een eenvoudige oplossing: ontvangers herkennen het mogelijk niet en de reputatie moet vanaf nul worden opgebouwd.
Het afzenderadres moet herkenbaar zijn en bij het merk passen. Domeinen die op het hoofddomein lijken, opzettelijke spelfouten of willekeurige varianten kunnen het vertrouwen verminderen en op phishing lijken.
Beginnen met verzenden vanaf een nieuw domein
Een nieuw domein heeft nog geen gevestigde verzendgeschiedenis. Begin daarom niet met een grote campagne naar het volledige adressenbestand. Een veiligere aanpak bestaat uit:
- SPF en DKIM configureren en DMARC in de monitoringstand inschakelen;
- testberichten versturen naar mailboxen bij meerdere populaire providers en de berichtheaders controleren;
- beginnen met actieve ontvangers die de berichten verwachten;
- het verzendvolume geleidelijk verhogen, zonder plotselinge pieken;
- adressen verwijderen die tot permanente weigeringen leiden en klachten analyseren;
- het DMARC-beleid aanscherpen nadat alle legitieme verzendbronnen zijn bevestigd.
Het ‘opwarmen’ van een domein, oftewel geleidelijk meer e-mail versturen, maakt een slecht adressenbestand niet beter. Gekochte lijsten, het ontbreken van de voor het betreffende type communicatie vereiste toestemming en een omslachtige afmelding voor de nieuwsbrief vergroten het risico op klachten, ongeacht de technische configuratie. Stem de rechtsgrond voor marketing en de formulering van toestemmingen af met de persoon die verantwoordelijk is voor de naleving van de wetgeving.
Wat je na de ingebruikname moet monitoren
De nuttigste gegevens zijn DMARC-rapporten, meldingen over geweigerde berichten, het percentage permanente adresfouten en klachten die via de beschikbare tools van e-mailproviders worden gemeld. Houd ook de vervaldatum van het domein, de toegang tot het DNS-beheerpaneel en ongeautoriseerde wijzigingen in records in de gaten. Beveilig het account bij de registrar en de DNS-dienst met sterke multifactorauthenticatie.
De eisen van grote e-mailproviders kunnen veranderen en afhangen van de omvang en het type van de verzending. Controleer vóór de start van een campagne de actuele documentatie van je eigen e-mailplatform en de providers van de mailboxen van je ontvangers.
De eerste praktische stap is een overzicht maken van alle systemen die e-mail versturen vanaf het bedrijfsdomein. Pas op basis daarvan kun je SPF correct samenstellen, DKIM invoeren en DMARC instellen zonder legitieme berichten te blokkeren.
Lees ook
