Cold e-mail die aankomt: SPF, DKIM en DMARC uitgelegd

Je kunt de beste acquisitiemail ooit schrijven: als hij in de spammap landt, leest niemand hem. Of je mail aankomt, hangt af van drie dingen:

• Techniek. Kan de ontvangende mailserver controleren dat de mail echt van jou komt?
• Reputatie. Wat is er eerder vanaf dit domein en deze mailbox verstuurd, en hoe reageerden ontvangers daarop?
• Gedrag. Hoeveel mail je verstuurt, hoe snel, en of mensen antwoorden of juist op "spam" klikken.

Dit artikel loopt ze alle drie langs, te beginnen bij de techniek: drie DNS-records met onhandige afkortingen die samen bepalen of je mail vertrouwd wordt.

SPF, DKIM en DMARC: wat doen ze?

Alle drie zijn het TXT-records in de DNS van je domein. Je stelt ze in bij de partij waar je domeinnaam geregistreerd is, of bij je hostingpartij. In de voorbeelden hieronder gebruiken we het fictieve domein werfkracht.nl met een mailbox bij Google Workspace.

SPF: wie mag namens jou mailen?

SPF (Sender Policy Framework) is een lijst van servers die mail mogen versturen namens je domein. Komt er een mail binnen van een server die niet op de lijst staat, dan weet de ontvanger dat er iets niet klopt.

werfkracht.nl.   TXT   "v=spf1 include:_spf.google.com ~all"

include:_spf.google.com zegt dat de mailservers van Google mogen versturen. ~all betekent: alle andere servers zijn verdacht. Een domein heeft precies één SPF-record. Gebruik je meerdere diensten die namens jou mailen, dan zet je ze allemaal in hetzelfde record. Houd het overzichtelijk: SPF staat maximaal tien verwijzingen naar andere records toe.

DKIM: een digitale handtekening

DKIM (DomainKeys Identified Mail) zet een handtekening op elke mail. Je mailserver ondertekent met een geheime sleutel, en de publieke sleutel staat in je DNS. De ontvanger controleert daarmee dat de mail onderweg niet is aangepast en echt van jouw domein komt.

google._domainkey.werfkracht.nl.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…IDAQAB"

Het deel vóór ._domainkey heet de selector; bij Google Workspace is dat standaard google. De sleutel zelf genereer je in de beheeromgeving van je mailprovider (bij Google Workspace in de Gmail-instellingen van de beheerconsole) en kopieer je naar je DNS. Vergeet niet om DKIM daarna ook echt aan te zetten.

DMARC: wat doe je als het niet klopt?

DMARC verbindt de twee. Het vertelt ontvangers wat ze moeten doen als SPF en DKIM niet kloppen, en het controleert of het domein in je afzenderadres overeenkomt met het domein dat de controle doorstond. Daarnaast kun je rapporten ontvangen over wie er namens jouw domein mailt.

_dmarc.werfkracht.nl.   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@werfkracht.nl"

Met p=none verandert er nog niets aan de aflevering; je krijgt alleen rapporten. Daarna kun je naar p=quarantine (verdachte mail naar spam) of p=reject (weigeren). Begin met none, kijk of alle mail die je zelf verstuurt goed door de controle komt, en verscherp dan pas.

En MX

Het MX-record vertelt waar mail voor je domein naartoe moet. Zonder werkend MX-record kun je geen antwoorden ontvangen, en een domein dat alleen verstuurt maar niets ontvangt, oogt verdacht. Ontdooi controleert SPF, DKIM, DMARC en MX voor je domein voordat je gaat mailen, en laat zien wat er ontbreekt.

Een apart (sub)domein voor acquisitie

Koude e-mail brengt altijd wat risico met zich mee. Een paar spamklachten te veel, en je reputatie daalt. Dat wil je niet op het domein waarmee je ook facturen, offertes en klantmail verstuurt. Daarom kiezen veel bedrijven voor een apart domein voor acquisitie.

• Een subdomein, zoals team.werfkracht.nl. Herkenbaar voor de ontvanger en snel ingericht. De reputatie is wel deels verbonden met je hoofddomein.
• Een apart domein, zoals werfkracht-hr.nl. Je hoofddomein loopt dan het minste risico. Zorg dat het domein naar je echte website doorverwijst en dat SPF, DKIM, DMARC en MX ook hier goed staan.

In beide gevallen maak je op dat domein een gewone mailbox aan, bijvoorbeeld sanne@werfkracht-hr.nl, met een echte naam en handtekening. Antwoorden komen daar binnen, net als bij elke andere mailbox.

Opwarmen: rustig beginnen

Een nieuw domein of een nieuwe mailbox heeft nog geen reputatie. Stuur je op dag één honderd koude mails, dan ziet dat er voor een spamfilter precies zo uit als een spammer die net een domein heeft gekocht. Bouw het daarom rustig op.

Dit is een voorzichtig schema, geen garantie. Zie je veel bounces of afmeldingen, ga dan terug naar een lager tempo en kijk eerst naar je lijst en je tekst.

Daglimieten

Voor koude e-mail is rustig het devies: zo'n 30 tot 50 mails per mailbox per dag. Dat is ver onder wat een mailbox technisch aankan, maar het lijkt op wat een mens normaal verstuurt. Ontdooi houdt standaard een daglimiet van 40 mails per mailbox aan en verspreidt de mails over je verzendvenster, in plaats van ze allemaal om 9.00 uur te versturen.

Wil je meer contacten per dag bereiken, koppel dan een extra mailbox in plaats van de limiet te verhogen. Het aantal mailboxen dat je kunt koppelen, verschilt per abonnement; zie Prijzen.

Platte tekst, geen trackingpixels

Een koude mail die eruitziet als een nieuwsbrief, met logo, kleuren, knoppen en vijf links, wordt ook als nieuwsbrief behandeld. Een persoonlijke mail is platte tekst: een aanhef, een paar zinnen en een naam. Precies wat je zelf zou typen.

Veel verzendtools voegen een trackingpixel toe: een onzichtbaar plaatje dat laat zien of iemand de mail heeft geopend. Dat plaatje is voor spamfilters een signaal van bulkmail, en het zegt steeds minder: sommige mailprogramma's laden afbeeldingen vooraf in, waardoor "geopend" ook wordt gemeten als niemand de mail las. Ontdooi gebruikt daarom geen trackingpixels. Je meet wat er echt toe doet: antwoorden.

Wees ook zuinig met links. Eén link naar je website in een vervolgmail is prima; een linkverkorter of meerdere links in de eerste mail niet.

Afmeldlink en one-click afmelden

Mail je een rechtspersoon zonder toestemming, dan moet elke mail een afmeldmogelijkheid bevatten. Dat is de wet (zie Mag je bedrijven ongevraagd sms'en?; voor e-mail geldt dezelfde regel). Maar het helpt ook je aflevering: wie makkelijk kan afmelden, klikt minder snel op "spam".

Naast een afmeldlink in de tekst kun je een afmeldoptie in de technische kop van de mail meesturen. Mailprogramma's zoals Gmail tonen dan een afmeldknop naast de afzender. Met de tweede regel werkt dat met één klik, zonder dat de ontvanger nog een pagina hoeft te openen:

List-Unsubscribe: <https://werfkracht-hr.nl/afmelden/abc123>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Ontdooi zet onder elke mail een afmeldlink en stuurt de one-click-kop mee. Wie zich afmeldt, komt op de afmeldlijst, en die geldt voor alle kanalen.

Wat Google en Yahoo sinds 2024 eisen

Sinds februari 2024 stellen Google en Yahoo strengere eisen aan verzenders. Voor iedereen geldt: zorg voor SPF of DKIM, een geldige technische inrichting van je mailserver en een laag aantal spamklachten. Voor grote verzenders (Google noemt een grens van zo'n 5.000 berichten per dag naar Gmail-adressen) gaat het verder:

• SPF én DKIM én DMARC, waarbij het domein in je afzenderadres overeenkomt met een van de gecontroleerde domeinen;
• afmelden met één klik voor commerciële mail, en afmeldingen snel verwerken;
• spamklachten onder 0,3%, en liefst ruim daaronder.

Met 40 koude mails per dag vanuit je eigen mailbox ben je geen grote verzender. Toch kijken de filters naar dezelfde signalen. Zie deze eisen dus als de ondergrens voor iedereen die serieus acquisitie per e-mail doet.

Waarom je eigen mailbox, en geen verzendplatform

Het ligt voor de hand om koude mail te versturen via een dienst voor nieuwsbrieven of transactionele mail. Doe dat niet. Die diensten verbieden in hun voorwaarden vrijwel altijd het mailen naar mensen die zich niet zelf hebben aangemeld, en ze sluiten accounts die het toch doen. Bovendien delen ze vaak verzendservers met andere klanten, en zien je mails er voor een filter uit als bulkmail.

Een koude mail hoort te komen van een echte mailbox van een echt persoon. Daarom werkt Ontdooi met je eigen mailbox: een Google Workspace-account met een app-wachtwoord (daarvoor moet verificatie in twee stappen aan staan), of een andere mailbox met SMTP en IMAP. Vervolgmails gaan in dezelfde thread, zodat de ontvanger het hele gesprek ziet, en antwoorden haalt Ontdooi via IMAP op en zet ze in je inbox, met een label. Meer hierover op E-mail.

Checklist

1. SPF, DKIM, DMARC en MX staan goed voor het domein waarvan je mailt.
2. Je mailt vanaf een apart (sub)domein, niet vanaf het domein van je facturen.
3. De mailbox is een paar weken rustig opgewarmd.
4. Je blijft rond de 30 tot 50 koude mails per mailbox per dag.
5. Je mails zijn platte tekst, zonder trackingpixels en met weinig links.
6. Elke mail heeft een afmeldlink, en one-click afmelden werkt.
7. Afmeldingen verwerk je direct, voor alle kanalen.
8. Je verstuurt via je eigen mailbox, niet via een nieuwsbriefdienst.

Dit artikel is algemene informatie en geen juridisch advies. Twijfel je over je eigen situatie, laat het dan toetsen.