Waarom faalt SPF terwijl er "pass" staat?

In uw rapport ziet u soms een bron waar spf=pass staat, en die tóch als falend geteld wordt. Dat is geen fout in het rapport. Het gaat om uitlijning.

Twee domeinen in elke mail

Elke mail draagt twee afzenderdomeinen met zich mee:

• Het envelopdomein, dat de servers onderling gebruiken. Uw ontvanger ziet het niet.
• Het Van-domein, dat in de mail staat en dat uw ontvanger wél leest.

SPF controleert het envelopdomein. DMARC kijkt of het domein waarop de controle slaagde hetzelfde is als het domein dat de ontvanger ziet. Zijn die twee verschillend, dan is er niets uitgelijnd en telt de pass niet mee.

Een voorbeeld

Een nieuwsbriefdienst verstuurt namens u. In de envelop staat bounces@nieuwsbrief-dienst.com, in de mail staat info@uwdomein.be. SPF van de dienst klopt keurig, dus spf=pass. Maar de ontvanger leest uw domein, en daarop is niets bewezen. Voor DMARC faalt deze mail.

Wat u eraan doet

Er zijn twee wegen, en de tweede is bijna altijd de betere:

• SPF uitlijnen: de dienst een eigen envelopdomein onder uw domein laten gebruiken, bijvoorbeeld mail.uwdomein.be. Niet elke dienst biedt dat aan.
• DKIM aanzetten: de dienst ondertekent met een sleutel onder úw domein. DMARC slaagt zodra één van de twee klopt, dus hiermee is het opgelost.

Doorgestuurde mail faalt altijd op SPF

Stuurt iemand uw mail door naar een ander adres, dan verstuurt zijn server hem opnieuw, vanaf zijn eigen IP-adres. SPF kán daar niet slagen. Dat is geen probleem zolang DKIM goed staat: de handtekening reist mee en blijft geldig.

Dit is meteen de belangrijkste reden om DKIM op orde te hebben vóór u naar p=reject gaat. Met alleen SPF verliest u doorgestuurde post.