Wat is SPF-flattening en waarom is het belangrijk?

“De misvatting over SPF-flattening is dat het een eenmalige oplossing zou zijn”, zegt Adam Lundrigan, CTO van DuoCircle en architect van de flattening-engine van AutoSPF. “IP-bereiken van leveranciers veranderen voortdurend – Google heeft zijn _netblocks alleen al in 2025 drie keer geroteerd. Een geflattend record dat niet automatisch opnieuw wordt opgelost, veroudert en ontneemt legitieme afzenders stilzwijgend hun autorisatie. Daarom scant AutoSPF elke 15 minuten opnieuw.”

“De limiet van 10 lookups is veruit de meest voorkomende reden waarom SPF-records van bedrijven stilzwijgend kapotgaan”, zegt Brad Slavin, General Manager van DuoCircle en oprichter van AutoSPF. “Op basis van onze ervaring met het beheren van SPF voor meer dan 2.000 klantdomeinen is de faalwijze altijd dezelfde: een team voegt een nieuwe SaaS-tool toe, de include daarvan duwt het totaal voorbij 10, en legitieme e-mail begint te falen – maar niemand merkt het op totdat een klant klaagt over ontbrekende facturen of wachtwoordherstel.”

Als u slechts een paar e-maildiensten heeft, laten we zeggen één of misschien twee servers die namens u e-mails verzenden, is het onderhouden van uw SPF-records vrij eenvoudig. Maar in werkelijkheid is dat niet echt haalbaar, aangezien de meeste organisaties meer dan een handvol servers en diensten van derden hebben die uw domein namens u gebruiken. Denk hierbij aan uw CRM, marketingplatform, helpdesksysteem, facturatiesoftware, of zelfs clouddiensten die e-mails verwerken of doorsturen.

Volgens RFC 7208 is de SPF-evaluatie beperkt tot 10 DNS-mechanisme-lookups en 2 void-lookups per controle – het overschrijden van een van beide limieten produceert een PermError die de authenticatie voor elk bericht van het domein laat mislukken.

Elke keer dat u een van deze diensten toevoegt, voegt u ook nog een “include:” toe aan uw SPF-record. En wanneer deze zich beginnen op te stapelen, wordt uw SPF-record te lang en te ingewikkeld om te beheren. Bovendien heeft SPF een strikte limiet: het kan slechts 10 DNS-lookups uitvoeren. Dit betekent dat telkens wanneer SPF een “include:”, een “mx” of iets anders ziet dat het verplicht een ander DNS-record op te halen, dit meetelt voor die limiet. En zodra u de 10 lookups overschrijdt, stopt SPF met verder controleren en behandelt het uw record als ongeldig.

Hoe neemt u dus alle verzendende diensten op in uw SPF-record om ervoor te zorgen dat ze door de ontvangende server als legitiem worden beschouwd? Daar komt SPF-flattening om de hoek kijken.

Wat is SPF-flattening?

SPF-flattening is een manier om uw lange, ingewikkelde SPF-record om te zetten in een eenvoudige versie die niet afhankelijk is van zoveel DNS-lookups. Wat het doet, is al die “include”-vermeldingen in uw SPF-record nemen en ze omzetten in één enkele lijst met IP-adressen.

In plaats van de ontvangende server te vragen meerdere DNS-records te controleren, elk voor een andere dienst, levert SPF-flattening dus één enkele lijst met IP-adressen die gemachtigd zijn om namens u e-mails te verzenden. Zo blijft uw SPF-record licht, gemakkelijk te verwerken en ruim binnen de limiet van 10 lookups. Het verkleint ook de kans op SPF-fouten door DNS-time-outs of te veel geneste lookups. Als u uw opties afweegt, legt onze vergelijking van macro’s versus flattening uit wanneer elke aanpak zinvol is.

Waarom is SPF-flattening een belangrijk aspect van e-mailbezorgbaarheid en -authenticatie?

Zoals u weet, kan het SPF-record niet alles rechtstreeks bevatten wanneer u meerdere e-maildiensten gebruikt. Zodra u de limiet van 10 DNS-lookups bereikt, werkt SPF niet meer zoals het zou moeten. Maar dit betekent niet dat u die diensten niet kunt gebruiken, of dat ze niet als legitiem kunnen worden beschouwd. SPF-flattening maakt dit allemaal mogelijk.

Laten we begrijpen hoe:

Lost de beperking van DNS-lookups op

Een van de grootste beperkingen van SPF is de regel van de limiet van 10 DNS-lookups. Dit betekent dat het lastig wordt om meerdere diensten in uw SPF-record op te nemen zonder die limiet per ongeluk te overschrijden. SPF-flattening helpt u dit probleem te omzeilen door de extra lookups te verwijderen. In plaats van te vertrouwen op meerdere includes, geeft flattening de ontvangende server één enkele, volledige lijst met IP-adressen. Dit voorkomt dat uw SPF-record de lookup-limiet overschrijdt en voorkomt dat legitieme e-mails mislukken alleen omdat het record te groot is geworden.

Vermindert het risico op e-mailspoofing

Wanneer uw SPF-record te lang of ongestructureerd is, wordt het voor aanvallers gemakkelijker om gaten in uw record te vinden en te misbruiken. Stel dat uw SPF-record niet alle legitieme diensten bevat die u gebruikt, of dat een deel ervan mislukt vanwege het probleem met de lookup-limiet: dan kunnen ontvangende servers mogelijk niet duidelijk verifiëren wie gemachtigd is om namens u e-mails te verzenden. Dit opent deuren voor aanvallers om vervalste e-mails te verzenden die authentiek lijken.

SPF-flattening helpt u dit te voorkomen door de ontvangende server een duidelijke en volledige lijst met geautoriseerde IP-adressen te geven. Wanneer uw SPF-record schoon, nauwkeurig en altijd binnen de lookup-limiet is, kunnen e-mailproviders met vertrouwen controleren of een e-mail werkelijk van u afkomstig is.

Maakt SPF-beheer eenvoudiger

Naarmate uw merk groeit, neemt ook het aantal platforms toe dat namens u e-mails verzendt. U heeft nu waarschijnlijk een CRM-platform, een marketingtool, of misschien zelfs een aparte facturatie- of meldingsdienst nodig. Dit alles handmatig beheren kan behoorlijk uitdagend zijn. SPF-flattening vereenvoudigt dit door alles om te zetten in één overzichtelijke lijst met IP-adressen die gemakkelijk te lezen en bij te werken is. U hoeft zich geen zorgen meer te maken over het bijhouden van een lange keten van “include”-vermeldingen of over de last om binnen de limiet te blijven.

Hoe werkt SPF-flattening?

Het werkt door uw huidige SPF-record af te breken, alles wat extra lookups veroorzaakt eruit te halen en het te consolideren tot één overzichtelijke lijst met IP-adressen die ontvangende servers direct kunnen verifiëren. U kunt in ons stapsgewijze overzicht zien hoe SPF-flattening werkt onder de motorkap.

Zo helpt SPF-flattening u om het gedoe te vermijden van binnen de limiet van 10 DNS-lookups blijven.

Domeindetectie

De eerste stap is het analyseren van uw huidige SPF-record om alle domeinen te identificeren waarnaar wordt verwezen via mechanismen zoals include, a of mx. Dit zijn de vermeldingen die doorgaans extra DNS-lookups veroorzaken.

IP-adressen verzamelen

Zodra de domeinen zijn geïdentificeerd, is de volgende stap het opzoeken van alle IP-adressen die erachter zitten. Dit betekent het controleren van hun A- en AAAA-records om zowel IPv4- als IPv6-adressen te verzamelen, zodat er niets wordt gemist.

Het record verdichten

Zodra u alle IP’s heeft, wordt het SPF-record herschreven. Dit betekent dat alle “include”-, “a”- en “mx”-vermeldingen worden vervangen door daadwerkelijke IP-adressen. Op deze manier hoeft de ontvangende server geen extra lookups uit te voeren.

Bijwerken en onderhoud

Het is heel belangrijk dat het nieuwe, bijgewerkte SPF-record zo snel mogelijk aan de DNS van uw domein wordt toegevoegd, zodat de mailservers ernaar kunnen verwijzen wanneer ze uw e-mails authenticeren.

Gebruikersverificatie

De laatste stap is het uitvoeren van verificatiecontroles om te bevestigen dat alles correct werkt. Zorg er, zodra dat is gebeurd, voor dat u begrijpt hoe u het geflattende record voortaan onderhoudt, zodat u toekomstige PermErrors kunt voorkomen.

Hoe AutoSPF kan helpen

Wij begrijpen dat e-mailecosystemen dichter en complexer zijn geworden, vooral met zoveel tools en platforms die namens u e-mails verzenden. Daarom zijn wij er om het u gemakkelijker te maken. Door uw SPF-record te stroomlijnen, kan onze tool voor automatische SPF-flattening helpen ervoor te zorgen dat uw legitieme verzenddiensten correct worden geauthenticeerd zonder de DNS-lookup-limieten te overschrijden.

Neem contact met ons op voor meer informatie!