De nieuwe regels van Gmail en Yahoo gaan in: check je DMARC

Sinds begin februari 2024 voeren Gmail en Yahoo strengere regels in voor e-mail. Ze willen minder spam en phishing in de inbox. Wie mail verstuurt zonder goede afzenderchecks, loopt het risico dat berichten in de spamfolder belanden of helemaal niet aankomen. De regels worden stapsgewijs ingevoerd, dus een probleem is niet altijd direct zichtbaar.

Merk je dat je openingen of klikken plots dalen? Dan is je authenticatie het eerste om te controleren. Dat kost je ongeveer vijf minuten. In dit artikel lees je wat er verandert, hoe je zelf test en hoe je DMARC veilig instelt.

Wat is er veranderd bij Gmail en Yahoo?

De strengste eisen gelden voor bulkverzenders. Gmail noemt daarvoor een grens van meer dan 5.000 mails per dag naar Gmail-adressen. Maar ook als je minder verstuurt, is het verstandig om je aan de regels te houden. Mailproviders kijken steeds scherper naar elke afzender.

Dit zijn de belangrijkste eisen op een rij:

• SPF en DKIM staan goed ingesteld voor je afzenderdomein.
• DMARC is aanwezig, minimaal met beleid none.
• Het domein in je afzenderadres past bij het domein dat SPF of DKIM gebruikt. Dit heet alignment.
• Mensen kunnen zich met één klik afmelden. Gmail en Yahoo hebben aangekondigd dat dit in de loop van 2024 verplicht wordt.
• Het aantal spamklachten blijft laag. Google noemt 0,3 procent als bovengrens. Dat zijn ongeveer drie klachten op elke duizend mails.

Een korte uitleg van de vaktermen. SPF is een lijst met servers die namens jouw domein mogen mailen. DKIM is een digitale handtekening op je mail, zodat de ontvanger ziet dat de inhoud niet is aangepast. DMARC bepaalt wat er gebeurt als SPF of DKIM niet klopt, en stuurt jou rapporten.

Snel zelf testen in vijf minuten

Je hebt geen technische kennis nodig voor een eerste check. Je doet dit met een gewoon Gmail-adres.

1. Stuur een nieuwsbrief of testmail vanuit je gebruikelijke tool naar je eigen Gmail-adres.
2. Open de mail en klik rechtsboven op de drie puntjes.
3. Kies Origineel weergeven.
4. Bovenaan zie je drie regels: SPF, DKIM en DMARC.
5. Bij alle drie hoort PASS te staan.

Staat er FAIL, SOFTFAIL of NEUTRAL? Dan is er iets niet goed ingesteld. Test ook mails uit andere systemen, zoals je webshop of je boekhoudpakket. Elk systeem kan zijn eigen uitkomst hebben.

DMARC stap voor stap

DMARC klinkt zwaar, maar je kunt het rustig opbouwen. Je zet het in als een DNS-record. DNS is het adresboek van je domein. Je beheert dit meestal bij je domeinregistrar of hostingpartij.

Een eerste, veilig record ziet er zo uit: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl. Het adres achter rua is waar de rapporten naartoe gaan.

Zo pak je het aan:

1. Begin met beleid none. Je krijgt rapporten, maar er wordt geen mail geweigerd.
2. Lees de rapporten. Ze zijn technisch en komen als XML-bestand binnen. Gebruik een tool die ze leesbaar maakt.
3. Bekijk wie er mailt namens jouw domein. Je ziet vaak diensten die je vergeten was.
4. Los wat niet klopt op. Voeg die diensten toe aan SPF of stel DKIM bij hen in.
5. Scherp het beleid aan. Ga naar quarantine, waarbij onduidelijke mail in de spam belandt. Later kun je naar reject, waarbij die mail geweigerd wordt.

Neem hier de tijd voor. Een paar weken met alleen meekijken is geen verspilde tijd. Je voorkomt dat echte mail per ongeluk wordt tegengehouden.

Vergeet je andere systemen niet

De meeste problemen zitten niet in de nieuwsbrieftool. Die is vaak al goed ingesteld. Het gaat mis bij systemen waar je niet direct aan denkt.

Denk aan deze bronnen:

• Facturen uit je boekhoudpakket.
• Orderbevestigingen en verzendmails van je webshop.
• Mails uit je CRM of klantportaal.
• Meldingen uit je website, zoals contactformulieren.
• Mail van je helpdesk of afsprakensysteem.

Alles wat namens je domein verstuurt, moet in je SPF en DKIM staan. Anders ziet de ontvanger je mail als verdacht. Bij een strenger DMARC-beleid kan die mail zelfs worden geweigerd.

Een veelvoorkomend beeld: een ondernemer stuurt nieuwsbrieven via een e-mailtool, die netjes op PASS staat. Maar de webshop verstuurt orderbevestigingen via de eigen server van de hostingpartij. Die server staat niet in SPF en heeft geen DKIM. Zolang DMARC op none staat, merkt niemand er iets van. Zodra het beleid strenger wordt, komen bevestigingen in de spam terecht. Klanten bellen met de vraag waar hun bestelling blijft. De oorzaak is dan één ontbrekend record, maar je vindt het alleen als je de DMARC-rapporten hebt gelezen.

Meer dan techniek: afmelden en klachten

Goede authenticatie is nodig, maar niet genoeg. Gmail en Yahoo kijken ook naar hoe ontvangers op je mail reageren. Veel spamklachten wegen zwaar, ook als je techniek klopt.

Een paar vuistregels om je klachten laag te houden:

• Mail alleen mensen die toestemming hebben gegeven.
• Maak afmelden eenvoudig. Verstop de link niet in kleine letters.
• Verwijder mensen die al lange tijd niets openen.
• Houd je verzendfrequentie en onderwerpen duidelijk en eerlijk.
• Bouw nieuwe verzendvolumes rustig op.

Controleer ook of je e-mailtool de afmeldfunctie met één klik ondersteunt. Veel tools hebben die instelling al of voegen die in de loop van het jaar toe. Vraag het na bij je leverancier, zodat je niet voor verrassingen komt te staan.

Veelgestelde vragen

Geldt dit ook als ik maar een kleine lijst heb?

De strengste eisen gelden voor bulkverzenders. Maar SPF en DKIM zijn ook voor kleinere afzenders belangrijk. Zonder deze checks is de kans groter dat je mail in de spam belandt. DMARC instellen met beleid none kost weinig moeite en geeft je inzicht.

Kan ik DMARC meteen op reject zetten?

Dat raden we af. Je weet dan nog niet welke systemen namens jouw domein mailen. Eén vergeten dienst kan ervoor zorgen dat echte mail wordt geweigerd. Begin met none, lees de rapporten en scherp pas aan als alles klopt.

Hoe lang laat ik DMARC op none staan?

Dat verschilt per bedrijf. Een paar weken is vaak een goed begin, zodat je alle verzendbronnen ziet. Heb je veel systemen of een grote organisatie? Dan kan het langer duren. Het gaat erom dat je alle legitieme bronnen kent en hebt gecontroleerd.

Gratis kennismaking van 30 minuten

Wil je weten of jouw e-mail aan de nieuwe eisen voldoet? Of wil je hulp bij het instellen van SPF, DKIM en DMARC? Plan een gratis kennismaking van 30 minuten met Adventio Marketing in Amersfoort. We bekijken samen jouw situatie, lopen de belangrijkste punten langs en vertellen wat je als eerste kunt oppakken. Zo weet je waar je staat en wat er nodig is om je mail veilig in de inbox te krijgen.