Waar je mail binnenkomt
Het MX-record wijst naar de server die de mail voor je domein ontvangt.
Wat er in je DNS staat
Mail · check
Staat je zakelijke mail goed ingesteld?
Vul je domeinnaam in. We controleren direct MX, SPF, DKIM, DMARC, DNSSEC en MTA-STS, en vertellen per punt wat er goed is en wat beter kan.
De mailcheck heeft JavaScript nodig. Hieronder staat wat we controleren; in een kort gesprek kijken we het samen na.
Uitslag voor
{n} van {totaal} in orde
Je browser vroeg de gegevens op bij de DNS-dienst van Cloudflare. Wij zien je domeinnaam pas als je hem zelf naar ons stuurt.
Wie namens je mag mailen
SPF noemt de servers die namens je domein mail mogen versturen.
Wat er in je DNS staat
Digitale handtekening
DKIM zet een digitale handtekening onder elke mail, zodat de ontvanger ziet dat hij echt van jou komt en onderweg niet is veranderd.
Wat er in je DNS staat
Wat er met nepmail gebeurt
DMARC vertelt ontvangers wat ze moeten doen met mail die niet door SPF en DKIM komt, en stuurt je daar rapporten over.
Wat er in je DNS staat
Ondertekende DNS
DNSSEC ondertekent je DNS, zodat niemand onderweg een vals antwoord kan geven.
Wat er in je DNS staat
Versleuteld afleveren
MTA-STS dwingt af dat mail naar jou versleuteld wordt afgeleverd.
Wat er in je DNS staat
- MX
- SPF
- DKIM
- DMARC
- DNSSEC
- MTA-STS
- Je mail komt binnen bij Microsoft 365.
- Je mail komt binnen bij Google Workspace.
- Je mail komt binnen bij {naam}.
- Er staat geen MX-record: dit domein kan geen mail ontvangen. Verstuur je er ook geen mail mee, zet dan SPF op -all en DMARC op reject, zodat niemand het kan misbruiken.
- Dit domein geeft met een null-MX aan dat het geen mail ontvangt. Dat is netjes; zet dan ook SPF op -all en DMARC op reject.
- Er staat geen SPF-record. Ontvangers kunnen dan niet nagaan wie namens je mag mailen, en je mail belandt eerder in de spam.
- Er staan {n} SPF-records. Er mag er maar één zijn; met meer faalt SPF bij elke ontvanger. Voeg ze samen tot één record.
- Het record eindigt op -all: mail van andere servers wordt geweigerd. Zo hoort het.
- Het record eindigt op ~all: mail van andere servers wordt verdacht gemaakt, niet geweigerd. Met DMARC op quarantine of reject is dat prima; -all is strenger.
- Het record eindigt op ?all: SPF zegt dan niets over andere servers. Gebruik ~all of -all.
- Het record eindigt op +all of op een kale all: iedereen mag dan namens je mailen. Dat maakt SPF waardeloos; zet het op -all.
- Het record eindigt niet op all. Sluit het af met ~all of -all.
- Het record vraagt {n} DNS-lookups op; de grens is 10. Daarboven faalt SPF bij ontvangers. Haal includes weg die je niet meer gebruikt, of laat het record vereenvoudigen.
- Het record vraagt {n} van de maximaal 10 DNS-lookups op.
- De include {naam} heeft zelf geen SPF-record. Daardoor faalt je SPF; haal de include weg of verbeter hem.
- Het record gebruikt ptr. Dat is verouderd en traag; vervang het door een include of een ip-adres.
- Je mail loopt via Microsoft 365, maar include:spf.protection.outlook.com ontbreekt. Mail uit Microsoft 365 haalt SPF dan niet.
- Je mail loopt via Google Workspace, maar include:_spf.google.com ontbreekt. Mail uit Google haalt SPF dan niet.
- Verstuur je geen mail met dit domein? Zet dan een SPF-record met alleen v=spf1 -all, zodat niemand het kan misbruiken.
- DKIM-sleutel gevonden onder: {naam}.
- Geen DKIM-sleutel gevonden bij de gangbare namen. Je provider kan een andere naam (selector) gebruiken; vul die bovenaan in om hem te controleren.
- Je mail loopt via Microsoft 365, maar er staat geen DKIM-sleutel onder selector1 of selector2. Zet DKIM aan in de Microsoft Defender-portal en voeg de twee CNAME-records toe.
- De sleutel onder {naam} is leeg (p=). Die is ingetrokken en ondertekent niets meer.
- De sleutel onder {naam} is 1024 bits. Dat werkt nog, maar 2048 bits is de huidige norm.
- Er staat geen DMARC-record. Ontvangers weten dan niet wat ze met nepmail uit jouw naam moeten doen, en grote mailproviders eisen het van wie veel mailt.
- Er staan {n} DMARC-records. Er mag er maar één zijn; anders negeren ontvangers ze allemaal.
- Het DMARC-record mist een geldig beleid (p=none, quarantine of reject). Zonder p= telt het niet.
- DMARC staat op p=none: het meet alleen en houdt nepmail niet tegen. Kijk in de rapporten of al je eigen mail goed gaat, en zet het dan op quarantine en later op reject.
- DMARC staat op p=quarantine: nepmail uit jouw naam gaat naar de spam.
- DMARC staat op p=reject: nepmail uit jouw naam wordt geweigerd. Dat is de sterkste instelling.
- Het beleid geldt maar voor {n} procent van de mail (pct). Zet het op 100 zodra je eigen mail goed gaat.
- Er staat geen rapportadres (rua). Dan zie je niet wie er uit jouw naam mailt; voeg een adres toe.
- Voor subdomeinen staat het beleid op none (sp=none). Daar kan nepmail dan nog door.
- Dit subdomein heeft geen eigen DMARC-record; het beleid van het hoofddomein geldt.
- De DNS van dit domein is ondertekend met DNSSEC.
- De DNS van dit domein is niet ondertekend. Niet verplicht, wel een goede extra bescherming.
- MTA-STS staat aan: mailservers moeten versleuteld afleveren.
- MTA-STS staat niet aan. Niet verplicht; het voorkomt dat mail naar jou onversleuteld wordt afgeleverd.
- TLS-rapportage staat aan: je krijgt een rapport als versleuteld afleveren mislukt.
In ordeLet opProbleemTer info Dat is geen geldige domeinnaam. Vul iets in als jouwbedrijf.nl.Dit domein bestaat niet. Controleer de spelling.De DNS van dit domein geeft een fout. Vaak komt dat door een kapotte DNSSEC-instelling, en dan komt er ook geen mail aan.De controle lukte niet: de DNS-dienst was niet bereikbaar. Probeer het zo opnieuw.De link staat op je klembord. Wie hem opent, ziet de check voor dit domein.Kopiëren lukte niet. De link naar deze check staat in de adresbalk.
Wat we controleren
Zes onderdelen bepalen of je mail aankomt en of niemand anders uit jouw naam kan mailen.
Waar je mail binnenkomt
Het MX-record wijst naar de server die de mail voor je domein ontvangt.
Wie namens je mag mailen
SPF noemt de servers die namens je domein mail mogen versturen.
Digitale handtekening
DKIM zet een digitale handtekening onder elke mail, zodat de ontvanger ziet dat hij echt van jou komt en onderweg niet is veranderd.
Wat er met nepmail gebeurt
DMARC vertelt ontvangers wat ze moeten doen met mail die niet door SPF en DKIM komt, en stuurt je daar rapporten over.
Ondertekende DNS
DNSSEC ondertekent je DNS, zodat niemand onderweg een vals antwoord kan geven.
Versleuteld afleveren
MTA-STS dwingt af dat mail naar jou versleuteld wordt afgeleverd.
Verder lezen
Vragen over de mailcheck
Heb ik SPF, DKIM en DMARC alle drie nodig?
SPF zegt welke servers namens je domein mogen mailen. DKIM zet een digitale handtekening onder elke mail. DMARC vertelt ontvangers wat ze moeten doen als een mail niet door die twee controles komt, en stuurt je rapporten. Je hebt ze alle drie nodig.
Waarom vindt de check mijn DKIM niet?
Een DKIM-sleutel staat onder een naam (selector) die je niet kunt opvragen. De check probeert de gangbare namen, zoals die van Microsoft 365 en Google. Gebruikt je provider een andere naam, vul die dan in bij Een andere DKIM-selector controleren. Je vindt hem in de kop van een verstuurde mail, achter s= in de DKIM-handtekening.
Mijn DMARC staat op none. Is dat erg?
Het is een goed begin, maar het houdt nog niets tegen: none meet alleen. Bekijk de rapporten, zorg dat al je eigen mail door SPF en DKIM komt, en zet DMARC dan op quarantine en daarna op reject.
Ziet SEBA Connect welk domein ik controleer?
Nee. Je browser vraagt de gegevens rechtstreeks op bij de DNS-dienst van Cloudflare. Wij zien je domeinnaam pas als je de uitslag zelf naar ons stuurt met Laat ons het rechtzetten.
Kunnen jullie het rechtzetten?
Ja. We zetten SPF, DKIM en DMARC goed bij je domein en brengen DMARC stap voor stap van none naar reject, aan de hand van de rapporten. Stuur de uitslag mee, dan weten we meteen waar we beginnen.