Mail komt niet aan bij Gmail of Microsoft 365
Je verstuurt mail, er komt geen foutmelding, en toch heeft de ontvanger niets. Of alles komt aan behalve bij Gmail. Bij de grote ontvangers is dat vrijwel nooit toeval: ze houden zich aan regels die je kunt nalopen.
Loop je hier nu tegenaan?
Bel of mail en leg het voor. Neem ik niet op, stuur dan even een mail.
Herken je dit?
- Mail naar Gmail komt in spam of helemaal niet aan, elders wel.
- Je krijgt geen bounce, maar de ontvanger heeft niets ontvangen.
- Facturen uit je boekhoudpakket komen niet aan, gewone mail wel.
- Sinds een nieuwe nieuwsbrief- of CRM-dienst gaat het mis.
- Je hebt SPF ingesteld en het helpt niet.
Waar het meestal aan ligt
In verreweg de meeste gevallen is het één van deze. Loop ze in deze volgorde na.
SPF dekt niet alle verzenders
SPF kijkt naar het envelope-adres (de Return-Path), niet naar het From-veld. Gebruikt een dienst jouw domein als Return-Path, dan moet hij in je SPF. Mailt hij vanaf zijn eigen bounce-domein, dan helpt een include niks en heb je DKIM op jouw domein nodig. Let ook op de limiet van tien DNS-lookups.
DKIM ontbreekt of is ongeldig
Zonder geldige DKIM-signatuur valt je mail terug op SPF alleen, en die overleeft geen doorsturing. Een verkeerd gepubliceerde of weggegooide sleutel geeft een signatuur die faalt, en voor DMARC is dat hetzelfde als geen signatuur.
DMARC-alignment die niet klopt
DMARC eist dat het domein in het From-veld past bij het domein van SPF of DKIM (een subdomein mag, standaard). Verstuurt een dienst met haar eigen envelope-domein en zonder DKIM op jouw domein, dan faalt DMARC ook al staat alles "groen".
Reverse DNS die niet klopt
Verstuur je vanaf je eigen server, dan eist Gmail een PTR-record, en die naam moet weer naar hetzelfde IP wijzen. Zonder PTR krijg je een 550 5.7.25. Een HELO-naam die gelijk is aan de PTR is netjes, maar geen eis.
Reputatie van IP of domein
Een nieuw IP zonder geschiedenis, een gedeeld IP met slechte buren, of een piek in verzendvolume. Reputatie is opgebouwd gedrag en dat herstelt niet met één DNS-wijziging.
Bulkmail zonder de juiste kenmerken
Nieuwsbrieven zonder List-Unsubscribe, naar oude lijsten met veel foutadressen, of met een hoog klachtenpercentage. Voor bulk gelden strengere eisen dan voor gewone mail.
Wat ik als eerste check
Doe deze stappen zelf, of bel en dan lopen we ze samen door.
- 1
Zoek de bounce of de headers op
Eén geweigerd bericht met de volledige bounce of de
Authentication-Results-header uit de ontvangen mail vertelt vaak direct wat er mis is. Zonder dat ben je aan het gissen. - 2
Controleer SPF, DKIM en DMARC van buitenaf
Kijk met
dig TXT jouwdomein.nl,dig TXT _dmarc.jouwdomein.nlendig TXT <selector>._domainkey.jouwdomein.nlwat de wereld ziet, niet wat er in je beheerpaneel staat. Die twee lopen vaker uiteen dan je denkt. - 3
Stuur een testbericht naar een eigen Gmail-adres
Bekijk daar de originele headers (in Gmail: "Origineel weergeven"). Daar staat per mechanisme pass of fail, en dat is de snelste diagnose die er is.
- 4
Breng in kaart wie namens jou verstuurt
Zet DMARC op
p=nonemet eenrua-adres en lees de rapporten een week. Daarna weet je precies welke diensten er namens jouw domein mailen, inclusief degene die je vergeten was. - 5
Controleer PTR en HELO bij eigen verzending
dig -x <jouw-ip>moet een naam teruggeven, en die naam moet weer naar dat IP wijzen. Laat je HELO-naam daar dan ook op uitkomen. - 6
Kijk naar volume en klachten
Bij bulkmail: de Google Postmaster Tools laten zien hoe Gmail jouw domein beoordeelt, inclusief het klachtenpercentage. Google wil je onder de 0,1% zien, en 0,3% is de harde grens.
De drie vragen die de ontvanger stelt
Elke grote ontvanger stelt in feite dezelfde drie vragen. Mag deze server namens dit domein versturen (SPF)? Is het bericht onderweg niet gewijzigd en ondertekend door het juiste domein (DKIM)? En hoort het domein in het From-veld bij één van die twee (DMARC-alignment)?
Zodra je de vraag zo stelt, is het geen zwarte magie meer. Je loopt de drie antwoorden na, en waar een fail staat, weet je wat er moet gebeuren. Het lastige is niet de techniek maar het overzicht: wie verstuurt er eigenlijk allemaal namens jouw domein? Reken erop dat het er meer zijn dan je denkt.
Even laten controleren?
Stuur me een bericht dat is geweigerd, of je domeinnaam, dan kijk ik naar SPF, DKIM, DMARC, reverse DNS en reputatie en zeg wat er mist. Daarna weet je waar je staat.
Veelgestelde vragen
- Ik heb SPF ingesteld, waarom helpt dat niet?
- SPF alleen is niet genoeg. Het overleeft geen doorsturing, en als het domein in je From-veld niet overeenkomt met wat SPF controleert, faalt DMARC nog steeds. Je hebt ook DKIM nodig, ondertekend op jouw eigen domein, en dan een DMARC-record dat de boel aan elkaar knoopt.
- Waarom krijg ik geen bounce als de mail niet aankomt?
- Omdat de mail wel is geaccepteerd en daarna in spam of in een filter is beland. Dat is beleid van de ontvanger, geen afwijzing. Vandaar dat DMARC-rapporten en de headers van ontvangen mail nuttiger zijn dan wachten op een foutmelding.
- Mijn boekhoudpakket verstuurt mijn facturen en die komen niet aan.
- Dat is een klassieker: die dienst verstuurt met jouw adres in het From-veld, maar vanaf haar eigen servers. Zonder DKIM op jouw domein faalt DMARC dan, en SPF redt het meestal niet omdat zo'n dienst vanaf een eigen bounce-domein mailt. Bijna elk pakket biedt een manier om dat goed in te richten; die moet je alleen wel gebruiken.
- Hoe snel is dit op te lossen?
- De configuratie is meestal binnen een paar uur op orde. Gaat het om reputatieschade, dan is het gedrag aanpassen en geduld: reputatie herstelt in dagen tot weken, niet in minuten.
Verwante problemen
SPF, DKIM en DMARC goed instellen
Van p=none naar p=reject zonder je eigen facturen te blokkeren. Hoe SPF, DKIM en DMARC samenwerken, wat alignment betekent en de valkuilen per stap.
[Blacklist]IP of domein op een blacklist
Je IP of domein staat op een blacklist en mail wordt geweigerd. Delisting is de laatste stap: eerst de oorzaak, anders sta je er zo weer op.
[Mailserver]Mailserver werkt niet meer: Postfix, Dovecot en Mailcow
Mail blijft in de queue, TLS-fouten, volle schijf of een certificaat dat niet vernieuwt: de meest voorkomende storingen op een eigen mailserver.
Wil je dit bespreken?
Bel of mail met je vraag. Neem ik niet op, stuur dan even een mail.
Terug naar Hulp bij e-mailbezorging en mailservers