SPF controleren: wie mag e-mail versturen namens dit domein?

Zo gebruik je het

1. Typ het domein dat je wilt controleren, of plak een e-mailadres of een link: we gebruiken alleen het domein.
2. Klik op ‘SPF controleren’. We lezen het SPF-record en volgen elke include, zoals een ontvangende server zou doen.
3. Kijk hoe het record eindigt en naar het aantal lookups: je wilt ‘-all’ of ‘~all’ zien en 10 lookups of minder.

Wat elk resultaat betekent

Dit domein heeft geen SPF

Het zegt niet welke servers zijn e-mail mogen versturen, waardoor anderen zich makkelijker als dit domein kunnen voordoen. Is het jouw domein? Publiceer dan een SPF-record.

Het SPF-record bevat fouten

Ontvangende servers kunnen het niet toepassen, dus voor hen heeft het domein geen SPF. De signalen hieronder laten zien wat er mis is.

Iedereen kan e-mail versturen namens dit domein

Het record eindigt op ‘+all’, wat elke server ter wereld toestemming geeft. Zo ingesteld beschermt SPF niets.

SPF beschermt het domein niet helemaal

Het record zegt niet wat er moet gebeuren met servers die niet op de lijst staan, dus valse e-mail namens het domein wordt niet gemarkeerd.

SPF is goed ingesteld

Het domein somt de servers op die zijn e-mail mogen versturen en vraagt ontvangende servers de rest te markeren of te weigeren. SPF alleen houdt imitatie niet tegen: DMARC vertelt ontvangende servers wat ze moeten doen.

Wat elk signaal betekent

• Het domein publiceert geen SPF-record.
• Een domein (dit domein of een opgenomen domein) publiceert meer dan één SPF-record. Er mag er maar één zijn, dus ontvangende servers behandelen het als een fout.
• Het record bevat een verkeerd geschreven term, dus ontvangende servers behandelen het als een fout.
• Het record heeft meer dan 10 DNS-lookups nodig als je alle includes meetelt. Boven de 10 behandelen ontvangende servers het als een fout.
• Een include verwijst naar een domein zonder SPF-record, dus ontvangende servers behandelen het record als een fout.
• De includes vormen een lus: een domein neemt uiteindelijk zichzelf op.
• Het eindigt op ‘+all’: elke server ter wereld mag namens dit domein e-mail versturen.
• Het eindigt op ‘?all’: het zegt niets over servers die niet op de lijst staan, dus het beschermt niet.
• Het eindigt op ‘~all’: e-mail van andere servers wordt als verdacht gemarkeerd, maar niet geweigerd. Dit is de meest gebruikte instelling.
• Er staat geen ‘all’ aan het eind, dus servers die niet op de lijst staan, krijgen een neutraal resultaat en geen bescherming.
• Het gebruikt ‘ptr’, een traag mechanisme dat de standaard afraadt. Veel ontvangende servers slaan het over.
• Het gebruikt macro’s (termen met %) die per bericht veranderen, dus dat deel kunnen we niet volgen en het echte aantal lookups kan hoger zijn.

Gerelateerde hulpmiddelen

• MX-records opzoeken
• DMARC controleren
• DKIM controleren
• Een e-mailadres controleren
• Is deze e-mail echt?
• Is deze website betrouwbaar?

Voor welke landen het werkt

Werkt met domeinen uit elk land. We lezen het record zoals ontvangende servers dat doen (RFC 7208): de mechanismen, hoe het eindigt, elke include en redirect tot 30 lookups, en het aantal DNS-lookups ten opzichte van de limiet van 10.

We lezen de openbare DNS-records van het domein. Als je een e-mailadres of een link invoert, verlaat alleen het domein je browser. Het domein dat je opzoekt, wordt niet opgeslagen.

Veelgestelde vragen