SPF-record instellen voor Gmail: een praktische gids voor Google Workspace

Om SPF in te stellen voor Google Workspace, publiceert u een DNS-TXT-record op uw hoofddomein met de inhoud v=spf1 include:_spf.google.com ~all. Het mechanisme include:_spf.google.com autoriseert alle mailservers van Google om namens u te verzenden. Voeg aanvullende include- of ip4/ip6-mechanismen toe voor externe diensten die ook e-mail vanaf uw domein versturen, en blijf daarbij binnen de limiet van 10 DNS-lookups zoals gedefinieerd door RFC 7208.

Volgens de vereisten van Google voor bulkverzenders van februari 2024 moet elk domein dat meer dan 5.000 berichten per dag naar Gmail-gebruikers verstuurt, beschikken over SPF- of DKIM-authenticatie en een gepubliceerd DMARC-beleid van minimaal p=none - waardoor een correcte SPF-configuratie een nalevingsvereiste is en niet slechts een best practice.

“Beheerders van Google Workspace erven vaak SPF-records waarin al 8 à 9 includes aanwezig zijn. Het toevoegen van _spf.google.com brengt hen over de limiet van 10 lookups, en opeens begint legitieme post te bouncen”, zegt Brad Slavin, General Manager van AutoSPF. “De oplossing is niet om verzenders te verwijderen, maar om het record af te vlakken zodat elke dienst geautoriseerd blijft binnen de limiet van RFC 7208.”

Voor installatie-instructies die Google Workspace en tientallen andere platforms behandelen, raadpleegt u onze Gids voor het instellen van SPF-records.

Het Sender Policy Framework (SPF) is een fundamentele beheersmaatregel voor e-mailauthenticatie die Gmail en andere providers helpt te verifiëren welke servers namens uw domein e-mail mogen verzenden. Voor organisaties die Google Workspace gebruiken verbetert een correct gepubliceerd SPF-record de e-mailbezorgbaarheid, versterkt het de beveiliging en ondersteunt het de gegevensbescherming door vertrouwen te signaleren aan ontvangende systemen en spoofing en phishing te ontmoedigen.

Impact op bedrijfsvoering en naleving

• E-mailauthenticatie verkleint het risico op imitatie en ondersteunt juridische en nalevingsverplichtingen rond identiteitsbevestiging en toegangsbeheer. Het vormt een aanvulling op DMARC en DKIM als onderdeel van een gelaagde beveiligingsstrategie.

• Sterke praktijken voor domeinbeheer - zoals ervoor zorgen dat het SPF-record correct is in DNS - beschermen de merkreputatie en verminderen de belasting van de helpdesk die samenhangt met ondersteuning en probleemoplossing.

• Beheerders kunnen de Admin-console van Google Workspace gebruiken om diensten in te stellen en te beheren, de configuratie te verifiëren en rapportages en monitoring in te zetten om de afstemming van authenticatie te volgen, wat de auditbereidheid bevordert.

Operationele voordelen voor beheerders

• Minder valse positieven en betere plaatsing in het postvak IN bij Gmail dankzij duidelijke autorisatiesignalen.

• Eenvoudiger gebruikersbeheer, vooral tijdens een gegevensmigratie of bij het uitrollen van apps die e-mail verzenden, omdat het beleid centraal in DNS staat in plaats van verspreid over de eindpunten.

• Sluit aan op de beveiligingsinstellingen voor apparaatbeheer en interne apps, waardoor shadow-IT-risico’s van niet-gecontroleerde apps en integraties tot een minimum worden beperkt.

Hoe SPF werkt: mechanismen, kwalificatoren en essentiële zaken over het DNS-TXT-record

SPF wordt gedefinieerd via een DNS-TXT-record op het hoofddomein. Ontvangers evalueren het SPF-record van het MAIL FROM-domein om te bepalen of het slaagt of faalt. Als een van de onderstaande mechanismen u onbekend voorkomt, worden ze gedefinieerd in onze woordenlijst met SPF-termen.

SPF-mechanismen: de bouwstenen

Veelvoorkomende mechanismen zijn onder meer:

• a en mx: autoriseren de A- of MX-hosts van het domein om te verzenden.
• ip4 en ip6: staan expliciete IP-bereiken toe.
• include: delegeert naar het SPF-record van een ander domein (bijvoorbeeld dat van Google).
• exists en ptr: geavanceerde/verouderde opties; gebruik ze spaarzaam.
• all: een vangnetmechanisme dat als laatste hoort te staan.

Kwalificatoren en beleidssemantiek

• + (pass) wordt geïmpliceerd wanneer het wordt weggelaten.
• ~ (softfail) signaleert “niet geautoriseerd, maar accepteren en markeren”.
• - (fail) weigert niet-geautoriseerde bronnen rechtstreeks.
• ? (neutral) doet geen enkele bewering.

De meeste organisaties beginnen met ~all om verstoringen te beperken en scherpen dit vervolgens aan tot -all zodra het in kaart brengen van verzenders is voltooid. Voor een diepgaandere blik op de verschillende typen SPF-records raadpleegt u onze volledige gids.

Essentiële zaken over het DNS-TXT-record voor beheerders

• Plaats het SPF-record in DNS als één enkele TXT-tekenreeks die begint met v=spf1.
• Respecteer de limiet van 10 DNS-lookups verspreid over include, a, mx, ptr en exists.
• Houd het record onder de 255 tekens per tekenreeks (gebruik indien nodig opsplitsingen tussen aanhalingstekens).
• Coördineer wijzigingen in de wijzigingskalender van de Admin-console zodat beheerders weten wanneer mailpaden worden aangepast.
• Gebruik rapportages en monitoringtools om wijzigingen te valideren en fouten proactief op te lossen.

Breng uw verzenders in kaart: Google, externe platforms en netwerkbronnen

Voordat u SPF instelt, inventariseert u alle systemen die met behulp van uw domein verzenden. Dit is een kernonderdeel van domeinbeheer en vermindert afwijkingen naarmate apps en integraties zich ontwikkelen.

Eigen bronnen: Google en uw netwerk

• Gmail- en Google Workspace-diensten: autoriseer ze met include:_spf.google.com.

Google-diensten die verzenden via Apps Script of een cloudapplicatie-workflow, authenticeren zich bij correcte routering eveneens via de SPF-infrastructuur van Google.

• Uitgaand verkeer van uw netwerk: als apparaten of relays rechtstreeks verzenden, voegt u ip4/ip6-mechanismen toe. Documenteer wie verantwoordelijk is voor apparaatbeheer, zodat gebruikersbeheer en IT weten wie die IP-adressen onderhoudt.

Externe apps en integraties

Veel externe apps verzenden systeemmails, waarschuwingen of meldingen namens u. Voorbeelden zijn onder meer 15Five, 4me, Adaptive Insights, Adobe Acrobat Sign, Aha!, Amazon Business, diensten op Amazon Web Services, AppDynamics, Asana, Atlassian Cloud, Automox, BambooHR, Betterworks en vele andere. Voor elke daarvan:

• Bevestig of ze een SPF-include bieden (voorkeur) of dedicated IP-adressen vereisen.
• Beheer in de Marketplace-administratie de Marketplace-apps en houd door de beheerder geïnstalleerde apps, verzoeken om app-toegang en de status van geverifieerde externe apps bij.
• Pas OAuth 2.0- en SSO-praktijken toe - SAML, SAML-gebaseerde SSO, geïntegreerde SAML-apps of een aangepaste SAML-app via een externe IdP - om toegang te autoriseren en app-toegang te beheren. Onderhoud de SAML-certificaten, stem de SSO-instellingen af en bewaak de SSO-aanmeldingsstroom.
• Configureer externe apps met een toegestane-appslijst, controleer de app-toegang regelmatig en schakel automatische intrekking van tokens in waar dit wordt ondersteund, om de gegevenstoegang verantwoord te beheren.

Volgens een Egress-rapport uit 2025 hebben 94% van de organisaties in de afgelopen 12 maanden te maken gehad met beveiligingsincidenten rond e-mail - veel daarvan te herleiden tot verkeerd geconfigureerde of ontbrekende SPF-records voor externe verzenders die werden toegevoegd zonder DNS bij te werken.

Checklist voor integratiebeheer

• Breng aangepaste attributen en het gebruikersschema in kaart om de juiste verzenderidentiteit in meldingen te waarborgen.
• Bevestig dat privéwebapps of interne apps geen externe e-mail verzenden, tenzij dit uitdrukkelijk is geautoriseerd.
• Leg beleid vast in trainingshandleidingen voor consistente administratie en snellere ondersteuning en probleemoplossing.

Vind uw DNS-host en krijg er toegang toe: vereisten en machtigingen

Uw SPF-record bevindt zich in DNS. Zorg dat u weet waar de zone van uw domein wordt gehost en wie de rechten heeft om deze te wijzigen.

Identificeer de DNS-provider en de zone van autoriteit

• Controleer het dashboard van uw registrar of hostingprovider, of raadpleeg de NS-records om te achterhalen waar DNS wordt beheerd. Veel organisaties gebruiken cloud-DNS-diensten zoals die welke worden aangeboden op Amazon Web Services.
• Beoordeel de behoeften voor subdomeinen afzonderlijk (marketing.example.com versus example.com) en zorg voor consistent domeinbeheer over de bedrijfsonderdelen heen.
• Als leveranciers subdomeinen of CNAME’s inrichten, stem dit dan af om fragmentatie van SPF te voorkomen.

Bevestig rollen, toegang en wijzigingsbeheer

• Zorg ervoor dat een superbeheerder en aangewezen beheerders toegangsbeheer hebben tot zowel het DNS-portaal als de Admin-console.
• Stem het eigenaarschap van facturering en abonnementen af zodat wijzigingen niet stagneren tijdens verlengingen.
• Gebruik een implementatieoverzicht en een wijzigingsticket, plan een onderhoudsvenster en voorzie in monitoring van de propagatie.

Proceshygiëne en waarneembaarheid

• Log elke DNS-wijziging; leg de SPF-recordwaarden van voor en na vast.
• Gebruik rapportages en monitoring om de authenticatieresultaten in Gmail na de wijziging te controleren.
• Valideer waar van toepassing de impact op gegevenssynchronisatie als integraties de MAIL FROM herschrijven of via andere gateways routeren.

Bouw het basisrecord voor Google Workspace

Het veiligste startpunt voor de meeste Google Workspace-tenants is het publiceren van de include van Google en de softfail. Als dit nieuw voor u is, behandelt onze gids over hoe u een SPF-record maakt de basisbeginselen. Dit autoriseert Gmail en de belangrijkste Google-verzenders, terwijl u tegelijkertijd achterblijvers kunt identificeren:

v=spf1 include:_spf.google.com ~all

Zodra u alle externe verzenders in kaart hebt gebracht en hun SPF-includes hebt bevestigd, voegt u ze toe aan het record. Als u de limiet van 10 lookups overschrijdt, overweeg dan SPF-flattening om geneste includes te herleiden tot IP-adressen - of gebruik AutoSPF om het flattenen te automatiseren en uw record conform te houden zonder handmatig DNS-beheer.