Hotmail of Outlook weigert uw mail? Zo stelt u SPF, DKIM en DMARC in voor DirectAdmin en Microsoft 365

Komt uw mail terug van een Hotmail-, Outlook.com-, Live- of MSN-adres, terwijl mailen naar andere adressen gewoon werkt? Controleer dan eerst of uw domein een DMARC-record heeft. Bij de recente weigeringen ontbreekt vaak precies dat. Hieronder leest u stap voor stap hoe u DMARC, SPF en DKIM instelt in DirectAdmin en in Microsoft 365.

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records

Dit is de foutmelding die sinds begin november het vaakst wordt gemeld. Heeft u haast? Ga dan meteen naar stap 4: DMARC toevoegen, of laat het ons voor u instellen.

Gebruikt u Microsoft 365? Ga dan naar de uitleg voor Microsoft 365.

Wat is er veranderd bij Hotmail en Outlook.com?

Sinds ongeveer 5 november 2026 melden bedrijven en beheerders dat Outlook.com, Hotmail, Live en MSN mail weigeren met de foutmelding hierboven. Dat is nieuw, want het treft ook kleine afzenders die maar een paar mails per dag versturen. De regels die Microsoft in mei 2025 invoerde, gelden officieel voor domeinen die 5.000 of meer mails naar deze adressen sturen.

In de meldingen gaat het vooral om domeinen zonder DMARC-record, ook als SPF en DKIM al goed staan. Microsoft heeft hier tot nu toe (stand van 9 november) niets over bekendgemaakt, dus de precieze oorzaak is niet bevestigd. Niet alle mail wordt geweigerd: soms komt hetzelfde bericht bij een nieuwe poging wel aan. Er zijn ook beheerders die de melding krijgen terwijl alle drie de records er staan. Een DMARC-record is dus een logische eerste stap, maar geen garantie.

Ook Gmail is strenger geworden. Google voert sinds november 2025 de handhaving op van de regels uit 2024 en weigert vaker mail die niet te controleren is. De zwaarste eisen zijn bedoeld voor grote verzenders, maar elke afzender moet minimaal SPF of DKIM op orde hebben.

Welke foutmelding heeft u?

In de mail die u terugkrijgt, staat een code. Die vertelt waar u moet zoeken:

• 550 5.7.1 ... lacks SPF/DKIM/DMARC Auth Records: Outlook.com, Hotmail, Live en MSN, gemeld sinds 5 november 2026. Vaak ontbreekt het DMARC-record.
• 550 5.7.23: Microsoft meldt dat de SPF-controle niet lukt. Kijk of uw SPF-record klopt en of u er maar één heeft.
• 550 5.7.515 Access denied: Outlook.com, de regel voor grote verzenders. SPF, DKIM en DMARC moeten alle drie kloppen.
• 550 5.7.26: Gmail kan niet vaststellen dat de mail echt van uw domein komt. Controleer SPF en DKIM.

Een 550-melding is definitief. De server probeert het niet opnieuw, dus mail die al is teruggekomen moet u zelf nog een keer versturen zodra de instellingen kloppen. Heeft u zelf een Hotmail-adres en krijgt een ander zijn mail niet bij u afgeleverd? Dan kunt u daar niets aan veranderen. De instellingen horen bij het domein van de afzender.

Wat doen SPF, DKIM en DMARC?

SPF is de lijst met servers die namens uw domein mogen mailen. DKIM is een digitale handtekening in elke mail. DMARC vertelt de ontvanger wat er moet gebeuren als de controle niet klopt, en werkt alleen als SPF of DKIM aansluit op het domein in uw afzenderadres.

Meer achtergrond leest u in onze uitleg wat is SPF, DKIM en DMARC.

Welk deel heeft u nodig?

Staat uw mail op de hostingserver en beheert u die in DirectAdmin? Volg dan stap 1 tot en met 6. Loopt uw mail via Microsoft 365? Ga dan naar het deel over Microsoft 365. Gebruikt u Google Workspace, dan zet u DKIM aan bij Google zelf. DKIM in DirectAdmin (stap 3) en SpamAssassin (stap 6) gelden alleen voor mail die via de hostingserver loopt, zoals mailboxen op die server en mail vanuit uw website.

In de schermafbeeldingen gebruiken wij ons eigen domein netron.cloud als voorbeeld. Dat domein ontvangt zijn mail via Microsoft 365. De schermen zijn voor elk domein in DirectAdmin hetzelfde.

In de afbeeldingen staat met een rood kader wat u moet aanklikken of invullen. Klik op een afbeelding om hem groter te zien.

Stap 1: Inloggen en domein kiezen

Log in op DirectAdmin. Rechtsboven ziet u welk domein actief is. Heeft u meerdere domeinen? Kies dan eerst het juiste domein. U stelt alles per domein in.

Stap 2: SPF controleren

Ga in het menu naar Accountbeheer en klik op DNS Beheer.

Zoek in de lijst naar een TXT-record dat begint met v=spf1. Bij veel domeinen staat dit er al.

Klik op het potloodje achter het SPF-record. DirectAdmin opent een hulpscherm waarin u met vinkjes aangeeft wie er mag mailen:

• Servers vermeld als MX: de mailserver van uw domein mag mailen.
• Huidige IP-adres van het domein: de webserver mag mailen, bijvoorbeeld voor contactformulieren.
• IP Adressen: extra servers die namens u mailen.
• Inclusief Domein: externe diensten. Gebruikt u Microsoft 365, dan staat hier spf.protection.outlook.com. Voor Google Workspace is dat _spf.google.com. Mailt u via een dienst als SMTP2GO of Brevo, dan voegt u die hier ook toe.

Onderaan kiest u de Modus. Mislukt betekent -all: alles wat niet op de lijst staat, wordt afgekeurd. Dat is de strengste instelling, en die is goed zolang u zeker weet dat alle diensten die namens u mailen in de lijst staan. Twijfelt u, kies dan de zachtere variant (~all). In het veld Waarde ziet u het record dat DirectAdmin voor u maakt. Laat de TTL op 3600 staan en klik op Opslaan.

Belangrijk: een domein mag maar één SPF-record hebben. Staan er twee, dan is SPF ongeldig. Voeg extra diensten dus toe aan het bestaande record.

Stap 3: DKIM aanzetten

Ga in het menu naar E-mail Beheer en klik op E-mail Accounts.

Rechtsboven staat de knop Schakel DKIM in. Klik erop.

U krijgt een melding dat DKIM is ingeschakeld. De knop verandert in Schakel DKIM uit.

DirectAdmin maakt nu zelf een sleutel aan en zet het record x._domainkey in uw DNS. Staat uw DNS ergens anders, bijvoorbeeld bij Cloudflare of uw domeinregistrar? Kopieer dan het x._domainkey-record uit DNS Beheer en zet het daar handmatig neer.

Stap 4: DMARC toevoegen

Ga terug naar Accountbeheer en DNS Beheer. Klik op Record toevoegen.

Kies bij Vermelding Type voor TXT. Er verschijnt een extra veld TXT Record Type. Kies daar DMARC.

DirectAdmin vult de naam _dmarc zelf in. Kies bij Domein beleid Type wat er moet gebeuren met mail die de controle niet haalt:

• Geen (p=none): er gebeurt niets met de mail. Hier begint u mee.
• Quarantaine (p=quarantine): de mail gaat naar de spam.
• Weigeren (p=reject): de mail wordt geweigerd.

Vul bij Geaggregeerde e-mail (RUA) een mailadres in. Zonder adres krijgt u geen rapporten en ziet u dus niet wie er namens uw domein mailt. U ontvangt dagelijks XML-rapporten van onder andere Google en Microsoft, dus gebruik daar liever een apart adres voor. De overige velden kunt u laten staan. Onderaan in Waarde ziet u het record. Klik op Toevoegen.

Ons advies: begin met Geen en lees een paar weken de rapporten. Staan alle diensten die namens u mailen goed, zet het beleid dan op Quarantaine en later op Weigeren. Blijft u op Geen staan, dan wordt misbruik van uw domein niet tegengehouden.

Stap 5: Controleren

In DNS Beheer ziet u nu de drie records staan: _dmarc, het SPF-record (v=spf1) en x._domainkey voor DKIM.

Een wijziging in de DNS is meestal binnen een uur zichtbaar. Daarna kunt u het testen:

• Doe de e-mailtest op internet.nl. Vul uw domein in en u ziet per onderdeel of het goed staat.
• Controleer de records op MXToolbox. Zo ziet u of ze ook echt online zichtbaar zijn.
• Stuur een mail naar het adres dat u krijgt op mail-tester.com. U ziet dan precies hoe uw mail scoort.
• Stuur een testmail naar een Hotmail- of Gmail-adres en kijk of hij in de inbox aankomt.

Komt uw mail daarna nog steeds terug? Kijk dan of SPF of DKIM echt aansluit op het domein in uw afzenderadres. Blijft het misgaan, stuur dan de volledige foutmelding met datum, tijd en afzenderdomein naar de ondersteuning voor afzenders van Outlook.com.

Stap 6: Spamfilter instellen met SpamAssassin

SPF, DKIM en DMARC zorgen dat uw uitgaande mail goed aankomt. Voor de mail die u ontvangt, zet u SpamAssassin aan. Dit geldt alleen voor mailboxen op de hostingserver. Microsoft 365 en Google hebben een eigen spamfilter.

Ga naar E-mail Beheer en klik op Spamassassin instellen. Klik op SpamAssassin inschakelen.

Kies bij Blok Strategie voor Gebruiker Spambox. Spam komt dan in de map Spam van de mailbox zelf. Zo kan iedereen de eigen spam nog nakijken en gaat er niets verloren.

Laat Hoge score blok op Nee staan. Kiest u Ja, dan wordt mail met een heel hoge spamscore meteen verwijderd en kan niemand hem meer terugvinden. Klik op Configuratie opslaan.

Scroll naar Geavanceerde Configuratie. Bij Globale drempel bepaalt u hoe streng het filter is. Laag (5.0) is de standaard en werkt voor de meeste mensen goed. Komt er te veel echte mail in de spam? Kies dan Gemiddeld (10.0).

Zet Onderwerp overschrijven op Ja en vul *****SPAM***** in. Spam herkent u dan meteen aan het onderwerp, ook als uw mailprogramma de map Spam niet laat zien. Kies bij Spam bezorging voor Gebruik geen bijlagen. De mail blijft dan gewoon leesbaar en wordt alleen gemarkeerd. Klik op Configuratie opslaan.

Onderaan de pagina kunt u nog adressen op de zwarte lijst of witte lijst zetten. Een adres op de zwarte lijst wordt als spam gezien, een adres op de witte lijst niet. Typ het adres en druk op Enter.

SPF, DKIM en DMARC instellen voor Microsoft 365

Mailt u via Microsoft 365 met uw eigen domein? Dat herkent u aan het MX-record in uw DNS: dat eindigt op mail.protection.outlook.com. Dan regelt u drie dingen: SPF en DMARC zet u in de DNS, en DKIM zet u aan bij Microsoft. De stappen uit DirectAdmin voor DKIM en SpamAssassin heeft u hiervoor niet nodig.

Zonder eigen DKIM ondertekent Microsoft uw mail alleen met uw onmicrosoft.com-domein. Dat telt bij DMARC niet als uw eigen domein. U heeft een beheerdersaccount van Microsoft 365 nodig en toegang tot de plek waar uw DNS staat, bijvoorbeeld DNS Beheer in DirectAdmin, uw domeinregistrar of Cloudflare.

1. SPF instellen

Maak in uw DNS een TXT-record op uw domein, of pas het bestaande SPF-record aan. Verstuurt u alleen mail via Microsoft 365, dan is dit het record:

v=spf1 include:spf.protection.outlook.com -all

Mailt uw website of een andere dienst ook namens uw domein? Voeg die dan toe aan datzelfde record, want een domein mag maar één SPF-record hebben. Microsoft raadt -all aan als u ook DKIM en DMARC gebruikt. Zet de TTL op minimaal 3600.

2. DKIM aanzetten in Microsoft 365

1. Ga naar de DKIM-instellingen in Microsoft Defender en log in als beheerder. Via het menu is dat Email & collaboration, Policies & rules, Threat policies, Email authentication settings, tabblad DKIM.
2. Zet in de rij van uw domein de schakelaar van Disabled naar Enabled. U krijgt nu een foutmelding met de twee CNAME-records die nodig zijn. Dat hoort zo. Klik op OK. Ziet u bij uw domein de knop Create DKIM keys, klik daar dan eerst op.
3. Klik op de rij van uw domein, niet op de schakelaar. Bij Publish CNAMEs staan de twee records. Kopieer ze.
4. Maak in uw DNS twee CNAME-records aan, met als naam selector1._domainkey en selector2._domainkey. Als waarde gebruikt u precies wat Microsoft toont.
5. Wacht een paar minuten, soms duurt het langer. Ga terug naar hetzelfde scherm en zet Sign messages for this domain with DKIM signatures aan. Staat de status daarna op Signing DKIM signatures for this domain, dan is het klaar.

De waarde van de CNAME-records verschilt per domein. Bij bestaande domeinen eindigt die vaak op onmicrosoft.com, bij nieuwe domeinen op dkim.mail.microsoft. Typ hem dus niet zelf over uit een voorbeeld. Staat uw DNS in DirectAdmin? Kies dan bij Record toevoegen voor CNAME en zet een punt aan het eind van de waarde, zoals bij de andere CNAME-records in de lijst.

Blijft de status op CnameMissing staan? Dan ziet Microsoft de records nog niet. Controleer ze op MXToolbox en probeer het later opnieuw.

3. DMARC toevoegen

Maak in uw DNS een TXT-record aan met de naam _dmarc. Staat uw DNS in DirectAdmin, dan werkt dat zoals in stap 4. Vervang het mailadres door een adres waar de rapporten heen mogen:

v=DMARC1; p=none; rua=mailto:dmarc@uwdomein.nl

Microsoft adviseert dezelfde volgorde als hierboven: begin met p=none, ga daarna naar p=quarantine en sluit af met p=reject. Bekijk bij elke stap de rapporten voordat u verdergaat.

4. Controleren

Wacht een paar minuten en stuur een mail naar een extern adres, bijvoorbeeld op Gmail of Outlook.com. Binnen uw eigen organisatie krijgt mail geen DKIM-handtekening, dus een test naar een collega zegt niets. Open de kopteksten van de ontvangen mail en zoek naar Authentication-Results. Daar moet spf=pass, dkim=pass en dmarc=pass staan. Achter DKIM-Signature moet bij d= uw eigen domein staan, niet onmicrosoft.com. De kopteksten kunt u ook plakken in de Message Header Analyzer van Microsoft.

Veelgemaakte fouten bij Microsoft 365

• Twee SPF-records, bijvoorbeeld één van de hosting en één van Microsoft. Voeg ze samen tot één record.
• DKIM alleen aangezet voor het hoofddomein. Elk eigen domein en subdomein waarmee u mailt, heeft zijn eigen SPF en DKIM nodig.
• DKIM aangezet in DirectAdmin en denken dat het daarmee klaar is. Dat geldt alleen voor mail via de hostingserver, niet voor mail via Microsoft 365.
• Een scanner, website of boekhoudpakket vergeten dat namens uw domein mailt. Die moet ook in SPF staan, of via een eigen DKIM-koppeling lopen.

Waar moet u nog meer op letten?

Nieuwsbrieven en mailingen. Verstuur geen grote mailingen via uw gewone mailbox. Stuurt u te veel tegelijk, dan kan de server geblokkeerd worden en raakt dat ook uw gewone mail. Gebruik voor nieuwsbrieven een dienst als Brevo of Laposta. Die geven u ook eigen DKIM-records om in uw DNS te zetten.

Mail vanuit uw website of webshop. Contactformulieren en orderbevestigingen verstuurt u het best via een echte SMTP-dienst, bijvoorbeeld SMTP2GO met de bijbehorende WordPress-plugin. Vergeet niet die dienst toe te voegen aan uw SPF-record.

Maximaal 10 lookups. Elke include, a en mx in uw SPF-record telt mee, net als de verwijzingen binnen een include. Boven de 10 keurt de ontvanger uw SPF af. Haal dus diensten weg die u niet meer gebruikt.

Meer weten over het beschermen van uw mail? Lees over onze e-mailbeveiliging of over zakelijke webhosting.