Waarom je mail in spam belandt, en wat echt helpt

Het verloop is meestal hetzelfde. De formulierbevestiging komt nooit bij de klant aan, de nieuwsbrief belandt bij de helft van de ontvangers in de reclame- of spammap, en de eerste zoektocht naar een oplossing eindigt bij een lijst met woorden die je in de onderwerpregel moet vermijden. Dus gaat het uitroepteken eruit en wordt "gratis" herschreven. Daarna verandert er niets.

Dat komt doordat die tips aan de kleinste knop draaien. Een ontvangende mailserver stelt eerst de vraag wie er schrijft, en pas daarna de vraag wat erin staat. De eerste vraag beantwoorden drie DNS-records en het verzendgedrag van je domein in de afgelopen weken. Geen van beide staat in de onderwerpregel.

Dit artikel zet de knoppen op volgorde van effect. Aan het eind weet je welk record je als eerste aanpakt.

In deze volgorde loont het werk

De meeste checklists over bezorgbaarheid gooien twintig punten op één hoop en wegen er geen enkele. Op volgorde van effect wordt het overzichtelijker:

1. Authenticatie. SPF, DKIM en DMARC staan er en de alignment klopt.
2. Verzendroute. Je mail verlaat een server die volgens je eigen DNS-records voor het domein mag verzenden.
3. Lijstkwaliteit. Op de lijst staan adressen met gedocumenteerde toestemming, en bounces gaan eruit.
4. Reputatie van de afzender. Volume en frequentie passen bij wat dit domein tot nu toe verstuurde.
5. Inhoud. Onderwerp, tekst, verhouding tussen beeld en tekst, aantal en bestemming van de links.

Punt vijf is het punt waarover het meest geschreven wordt. Het gaat pas tellen als de vier erboven staan. Wie de volgorde omdraait, poetst formuleringen op in een mail die de ontvangende server aan niemand kan koppelen.

Wat de drie records bij de ontvanger echt controleren

De drie worden voortdurend in één adem genoemd en net zo vaak door elkaar gehaald. Ze beantwoorden drie verschillende vragen.

SPF zegt welke servers mogen verzenden

SPF staat beschreven in RFC 7208. Het is een TXT-record op je domein waarin staat welke servers namens dat domein mail mogen aanleveren. De ontvangende server vergelijkt het IP-adres van de aanleverende server met die lijst en heeft daarmee antwoord op één vraag: is deze route toegestaan.

De op een na meest voorkomende fout in de praktijk zit precies hier. Het uitwerken van een SPF-record mag hoogstens tien DNS-opvragingen veroorzaken, en elke opgenomen dienst kost er minstens een. Wie achter elkaar zijn mailbox, een nieuwsbriefdienst, een boekhoudprogramma en een ticketsysteem toevoegt, gaat een keer over de grens. Het resultaat is een permerror, en een SPF-record met permerror is waardeloos. In het DNS-paneel ziet het er nog steeds volstrekt normaal uit.

DKIM bewijst dat er onderweg niets is veranderd

DKIM staat in RFC 6376. Bij het verzenden komt er een cryptografische handtekening in de kop van de mail, en de bijbehorende publieke sleutel staat in het DNS van je domein. De ontvanger controleert daarmee twee dingen tegelijk: de mail komt echt van dat domein, en het ondertekende deel is onderweg onveranderd gebleven.

DMARC verbindt beide uitkomsten aan een opdracht

DMARC staat in RFC 7489 en is het record dat van twee controle-uitkomsten een beslissing maakt. Je legt daarin vast wat de ontvanger moet doen als de controle mislukt. Er zijn drie waarden: none betekent niets doen, quarantine betekent naar de spammap, reject betekent weigeren. Daarnaast opent DMARC het rapportagekanaal waarmee je ziet wie er in jouw naam verstuurt.

Veruit de meest gemaakte fout in het veld: het record staat op p=none en blijft daar voor altijd staan. Als startpunt klopt dat, want eerst wil je zien wat er überhaupt in jouw naam uitgaat. Als blijvende toestand is het een regel in het DNS zonder werking. Een record dat het serieus meent, ziet er uiteindelijk zo uit:

_dmarc.jouwbedrijf.nl.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwbedrijf.nl"

Alignment is het punt waarop de meeste inrichtingen stuklopen

Hier staat wat vrijwel elke handleiding overslaat. DMARC kijkt niet alleen of SPF of DKIM geslaagd zijn. Het eist bovendien dat het zichtbare afzenderdomein past bij het domein dat is gecontroleerd. Dat heet alignment, in het Nederlands uitlijning, en het is de term die je in de tools terugziet.

In de praktijk gaat dat zo. Je verstuurt je nieuwsbrief via een verzenddienst. In het afzenderveld staat je eigen adres. Technisch levert echter de dienst aan, en die heeft voor zijn eigen domein een keurig SPF-record. SPF slaagt dus. Ondertekend wordt er eveneens met het domein van de dienst. Voor DMARC ziet het er zo uit: gecontroleerd is een vreemd domein, zichtbaar is het jouwe. De alignment mislukt, daarmee mislukt DMARC, terwijl elk controletool nog steeds een groen SPF laat zien.

Bij elke serieuze aanbieder is de uitweg dezelfde: je zet je eigen domein in je account bij de verzenddienst en publiceert de DKIM-sleutel die hij daarvoor uitgeeft in je DNS. Daarna staat de handtekening op naam van jouw domein, klopt de alignment en slaagt DMARC.

Wat Google, Yahoo en Microsoft van bulkverzenders eisen

Sinds februari 2024 stellen Google en Yahoo eisen aan bulkverzenders, dus grofweg aan iedereen die meer dan ongeveer 5.000 berichten per dag naar Gmail-accounts stuurt. Vereist zijn SPF, DKIM en DMARC, een werkende afmelding in één klik in de mailheader volgens RFC 8058 en een spamklachtpercentage onder 0,3 procent. Microsoft heeft in 2025 vergelijkbare eisen voor Outlook.com aangekondigd en doorgevoerd.

Zit je ver onder dat volume, dan gel je formeel niet als bulkverzender. Aan de inrichting verandert dat niets: de drie records kosten je eenmalig een uur, de afmelding in één klik zet je verzendtool erin, en het klachtpercentage hangt bij elk volume aan de staat van je lijst. Het enige verschil onder de drempel is dat niemand je eraan meet.

Zoek je eigen geval in deze tabel

Waarom de eerste grote mailing bijna altijd wordt afgeremd

Ontvangende systemen houden voor elk verzendend domein een soort voorgeschiedenis bij. Een domein dat jarenlang niets verstuurde en dan op een dinsdagochtend 2.000 mails ineens aanlevert, ziet eruit als een overgenomen account. Het wordt afgeremd, en hoe netjes je DNS-records zijn maakt daarvoor niets uit.

De uitweg heet opwarmen, warmup in de tools, en is weinig spectaculair. Begin klein en voer het volume over meerdere weken op. Start bij de ontvangers die recent hebben geopend, geklikt of gekocht, want hun reactie is wat je reputatie opbouwt. De contacten waar je al langer niets van hoorde, komen daarna.

Is het jongste contact op je lijst drie jaar oud, dan helpt opwarmen alleen weinig. Dan komt het werk aan de lijst voor het verzenden.

Een verzorgde lijst levert meer op dan welke tekstcorrectie ook

Gekochte lijsten, jarenoude adressen en genegeerde bounces kosten je meer bezorging dan elk verdacht woord dat je ooit in een onderwerpregel hebt vermeden. De reden is simpel: elke mail naar een dood adres en elke klacht is een signaal dat direct tegen je reputatie telt.

De regels zijn kort. Hard bounces, dus definitief onbestelbare adressen, gaan meteen uit de verzendlijst. Soft bounces mag je meerdere keren proberen en verwijder je daarna. Klachten leiden direct tot afmelding, zonder navraag. Adressen die al jaren niets openen, vormen een risico voor alle anderen op je lijst.

Aan het begin van de lijst staat de toestemming. Hoe een nette double opt-in eruitziet, wat er vastgelegd moet worden en waarom dat ook technisch helpt, staat in het artikel over double opt-in en de AVG. Dit is een praktische duiding en geen juridisch advies, voor een bindende beoordeling van jouw geval heb je iemand met bevoegdheid nodig.

WordPress verstuurt standaard via de verkeerde route

Een eigen punt, omdat dit in kleine projecten de meest voorkomende enkele oorzaak is. WordPress verstuurt via wp_mail, en zonder verdere inrichting komt dat neer op de PHP-functie mail(). Die geeft het bericht direct door aan de webserver. Die webserver staat doorgaans in geen enkel SPF-record van je domein, en ondertekenen doet hij ook niets. De mail gaat dus uit en mislukt op beide controles tegelijk.

De gebruikelijke uitweg is de verzending via SMTP of via de API van je verzendaanbieder te laten lopen, met je eigen geverifieerde domein. Dat geldt voor alles wat je site automatisch verstuurt: formulierbevestigingen, wachtwoordherstelmails, orderbevestigingen en facturen. Die mails zijn voor de klant belangrijker dan welke nieuwsbrief ook, en het zijn precies die mails die het onopvallendst verdwijnen.

Waaraan je je tijd verspilt

Blijft de vraag wat er van de gebruikelijke tips overblijft. Verdachte woorden in de onderwerpregel zijn de klassieker, en die zijn tegenwoordig grotendeels folklore. Filters wegen het gedrag van de afzender zwaarder dan losse woorden. Het woord "gratis" in de onderwerpregel is geen probleem zolang de afzender een goede reputatie heeft, en het redt niets zolang hij die niet heeft.

Daarmee is werken aan de onderwerpregel niet zinloos. Het betaalt alleen uit op de openingsratio en niet op de bezorging. Die twee uit elkaar houden bespaart je een hoop vruchteloos herschrijven.

Wat de gratis versie dekt en waar Pro begint, staat op de prijzenpagina. Eerlijk erbij: vertakte automatiseringsreeksen zijn in Kurato nog in aanbouw.

Veelgestelde vragen