Mail komt niet aan bij Gmail of Microsoft 365
Je verstuurt mail, er komt geen foutmelding, en toch heeft de ontvanger niets. Of alles komt aan behalve bij Gmail. Bij de grote ontvangers is dat vrijwel nooit toeval: ze houden zich aan regels die je kunt nalopen.
Loop je hier nu tegenaan?
Bel en leg het voor. Vaak is in tien minuten duidelijk waar het aan ligt. Bellen mag direct. Mail beantwoord ik meestal dezelfde werkdag.
Herken je dit?
- Mail naar Gmail komt in spam of helemaal niet aan, elders wel.
- Je krijgt geen bounce, maar de ontvanger heeft niets ontvangen.
- Facturen uit je boekhoudpakket komen niet aan, gewone mail wel.
- Sinds een nieuwe nieuwsbrief- of CRM-dienst gaat het mis.
- Je hebt SPF ingesteld en het helpt niet.
Waar het meestal aan ligt
In verreweg de meeste gevallen is het één van deze. Loop ze in deze volgorde na.
SPF dekt niet alle verzenders
Elke partij die namens jouw domein mailt — boekhouding, CRM, nieuwsbrieven, je website — moet in je SPF staan. Eén ontbrekende dienst en juist die mail faalt. Let ook op de limiet van tien DNS-lookups.
DKIM ontbreekt of is ongeldig
Zonder geldige DKIM-signatuur valt je mail terug op SPF alleen, en die overleeft geen doorsturing. Een verlopen of verkeerd gepubliceerde sleutel geeft een signatuur die actief faalt: erger dan geen signatuur.
DMARC-alignment die niet klopt
DMARC eist dat het domein in het From-veld overeenkomt met het domein van SPF of DKIM. Verstuurt een dienst met haar eigen envelope-domein en zonder DKIM op jouw domein, dan faalt DMARC ook al staat alles "groen".
Reverse DNS en HELO die niet matchen
Verstuur je vanaf je eigen server, dan wil de ontvanger een PTR-record dat bij je HELO-naam past. Ontbreekt dat, dan is dat voor Gmail al reden voor wantrouwen.
Reputatie van IP of domein
Een nieuw IP zonder geschiedenis, een gedeeld IP met slechte buren, of een piek in verzendvolume. Reputatie is opgebouwd gedrag en dat herstelt niet met één DNS-wijziging.
Bulkmail zonder de juiste kenmerken
Nieuwsbrieven zonder List-Unsubscribe, naar oude lijsten met veel foutadressen, of met een hoog klachtenpercentage. Voor bulk gelden strengere eisen dan voor gewone mail.
Wat ik als eerste check
Doe deze stappen zelf, of bel en dan lopen we ze samen door.
- 1
Zoek de bounce of de headers op
Eén geweigerd bericht met de volledige bounce of de
Authentication-Results-header uit de ontvangen mail vertelt vaak direct wat er mis is. Zonder dat ben je aan het gissen. - 2
Controleer SPF, DKIM en DMARC van buitenaf
Kijk met
dig TXT jouwdomein.nlendig TXT _dmarc.jouwdomein.nlwat de wereld ziet, niet wat er in je beheerpaneel staat. Die twee lopen vaker uiteen dan je denkt. - 3
Stuur een testbericht naar een eigen Gmail-adres
Bekijk daar de originele headers (in Gmail: "Origineel weergeven"). Daar staat per mechanisme pass of fail, en dat is de snelste diagnose die er is.
- 4
Breng in kaart wie namens jou verstuurt
Zet DMARC op
p=nonemet eenrua-adres en lees de rapporten een week. Daarna weet je precies welke diensten er namens jouw domein mailen, inclusief degene die je vergeten was. - 5
Controleer PTR en HELO bij eigen verzending
dig -x <jouw-ip>moet een naam teruggeven die overeenkomt met de HELO-naam van je server, en die naam moet weer naar dat IP wijzen. - 6
Kijk naar volume en klachten
Bij bulkmail: de Google Postmaster Tools laten zien hoe Gmail jouw domein beoordeelt, inclusief het klachtenpercentage. Boven 0,3% krijg je structureel problemen.
De drie vragen die de ontvanger stelt
Elke grote ontvanger stelt in feite dezelfde drie vragen. Mag deze server namens dit domein versturen (SPF)? Is het bericht onderweg niet gewijzigd en ondertekend door het juiste domein (DKIM)? En hoort het domein in het From-veld bij één van die twee (DMARC-alignment)?
Zodra je de vraag zo stelt, is het geen zwarte magie meer. Je loopt de drie antwoorden na, en waar een fail staat, weet je wat er moet gebeuren. Het lastige is niet de techniek maar het overzicht: wie verstuurt er eigenlijk allemaal namens jouw domein? Dat blijken in de praktijk bijna altijd meer partijen dan verwacht.
Even laten controleren?
Stuur me een bericht dat is geweigerd, of je domeinnaam, dan kijk ik naar SPF, DKIM, DMARC, reverse DNS en reputatie en zeg wat er mist. Dat is doorgaans een kwestie van een uur, en daarna weet je waar je staat.
Veelgestelde vragen
- Ik heb SPF ingesteld, waarom helpt dat niet?
- SPF alleen is niet genoeg. Het overleeft geen doorsturing, en als het domein in je From-veld niet overeenkomt met wat SPF controleert, faalt DMARC nog steeds. Je hebt ook DKIM nodig, ondertekend op jouw eigen domein, en dan een DMARC-record dat de boel aan elkaar knoopt.
- Waarom krijg ik geen bounce als de mail niet aankomt?
- Omdat de mail wel is geaccepteerd en daarna in spam of in een filter is beland. Dat is beleid van de ontvanger, geen afwijzing. Vandaar dat DMARC-rapporten en de headers van ontvangen mail nuttiger zijn dan wachten op een foutmelding.
- Mijn boekhoudpakket verstuurt mijn facturen en die komen niet aan.
- Dat is een klassieker: die dienst verstuurt met jouw adres in het From-veld, maar vanaf haar eigen servers. Zonder die dienst in je SPF en zonder DKIM op jouw domein faalt DMARC. Bijna elk pakket biedt een manier om dat goed in te richten; die moet je alleen wel gebruiken.
- Hoe snel is dit op te lossen?
- De configuratie is meestal binnen een paar uur op orde. Gaat het om reputatieschade, dan is het gedrag aanpassen en geduld: reputatie herstelt in dagen tot weken, niet in minuten.
Verwante problemen
SPF, DKIM en DMARC goed instellen
Van p=none naar p=reject zonder je eigen facturen te blokkeren. Hoe SPF, DKIM en DMARC samenwerken, wat alignment betekent en de valkuilen per stap.
[Blacklist]IP of domein op een blacklist
Je IP of domein staat op een blacklist en mail wordt geweigerd. Delisting is de laatste stap: eerst de oorzaak, anders sta je er zo weer op.
[Mailserver]Mailserver werkt niet meer: Postfix, Dovecot en Mailcow
Mail blijft in de queue, TLS-fouten, volle schijf of een certificaat dat niet vernieuwt: de meest voorkomende storingen op een eigen mailserver.
Zelf geen tijd of geen zin om te blijven zoeken?
Ik kijk mee, zeg eerlijk wat er aan de hand is en los het op. Bellen mag direct. Mail beantwoord ik meestal dezelfde werkdag.
Terug naar Specialist e-mailbezorging en mailservers