SPF, DKIM en DMARC voor Google Workspace: stap voor stap
Dit is de toegepaste, doe-het-in-deze-volgorde-versie — wil je eerst begrijpen wat SPF, DKIM en DMARC precies doen, lees dan die gidsen. Deze behandelt alleen de records en klikken specifiek voor Google Workspace.
SPF voor Google Workspace
Voeg één TXT-record toe aan de root van je domein:
v=spf1 include:_spf.google.com ~all
Verstuur je ook mail vanuit andere diensten (een CRM, een helpdesk, een marketingtool), voeg dan hun includes toe aan datzelfde record — een domein kan maar één SPF-record hebben, dus een tweede voegt geen dekking toe, het breekt alleen de validatie.
DKIM voor Google Workspace
- Ga in de Admin Console naar Apps → Google Workspace → Gmail → E-mail verifiëren
- Genereer een nieuw record — kies een 2048-bits sleutel als die wordt aangeboden; dit is de sterkere optie en Google ondersteunt het
- Google geeft je een TXT-record: een hostnaam (de selector, iets als google._domainkey) en een lange waarde
- Voeg precies dat TXT-record toe aan je DNS
- Klik terug in de Admin Console op "Verificatie starten" — het DNS-record alleen toevoegen schakelt DKIM-ondertekening niet in
DMARC voor Google Workspace
DMARC wordt helemaal niet binnen Google Workspace geconfigureerd — het is een gewoon DNS TXT-record op _dmarc.jouwdomein.nl. Begin met p=none om te monitoren zonder de bezorging te beïnvloeden, en bekijk onze DMARC-gids voor het kiezen van rua-adressen en de overstap naar een strenger beleid.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Alle drie verifiëren
Zodra de records gepubliceerd zijn en DKIM-verificatie is gestart, bevestigt een e-mailbeveiligingscontrole dat SPF, DKIM en DMARC allemaal correct oplossen en uitlijnen.
Fouten die deze configuratie breken
- Een overgebleven SPF-record van een vorige e-mailprovider, waardoor er twee SPF TXT-records ontstaan in plaats van één samengevoegd record
- Het DKIM TXT-record toevoegen, maar nooit op "Verificatie starten" klikken in de Admin Console — Google ondertekent uitgaande mail pas als je dat doet
- De DKIM-status controleren meteen na het toevoegen van het record, voordat DNS is gepropageerd — Google's eigen controle kan mislukken om redenen die niets te maken hebben met een fout record
Controleer je configuratie
Zie de theorie in de praktijk — voer E-mailbeveiligingscontrole uit voor je eigen domein.