Mijn DNS-status wordt nooit groen

DNS-verificatie controleert de records voor je gekozen configuratie. Een domein dat via TrekMail mail ontvangt, heeft doorgaans MX, SPF, DKIM en DMARC nodig. Aanbevolen records zoals MTA-STS en TLS-RPT kunnen apart verschijnen. Deze gids helpt het Dashboard met je DNS-provider te vergelijken zonder te gokken.

Begin met de recordtabel in het Dashboard

Open Domeinen, kies het betreffende domein en open de DNS-status. Kopieer type, host, waarde en bij MX de prioriteit uit de tabel. De tabel is leidend omdat DKIM-waarden en sommige beleidsrecords domeinspecifiek zijn.

Controleer vóór een wijziging of een andere dienst de bestaande waarde nog nodig heeft. Behoud vooral één SPF-record en iedere geldige include van een andere verzenddienst.

Hoe snel wordt een wijziging verspreid?

DNS-updates worden met verschillende snelheden zichtbaar, afhankelijk van provider, eerdere TTL en resolvercaches. Een status in behandeling bewijst niet dat de waarde verkeerd is en verstreken tijd bewijst niet dat ze juist is.

Gebruik deze volgorde:

1. Sla het record op bij de provider van de gezaghebbende DNS-zone.
2. Vergelijk het met de Dashboard-tabel, inclusief MX-prioriteit en volledige DKIM-waarde.
3. Gebruik DNS verifiëren eenmaal voor een nieuwe TrekMail-controle.
4. Blijft het in behandeling, bekijk dan conflictdetails en een onafhankelijke opzoeking van de huidige openbare waarde.

Vereiste records

Voor normale mailhosting zijn dit de belangrijkste records. Kopieer de waarden uit je eigen Dashboard en niet uit een ander domein:

Aanbevolen records kunnen afleveringsbeveiliging verbeteren, maar vervangen de kernrecords niet:

Optionele CNAMEs voor clientconfiguratie (autoconfig, autodiscover) versnellen de instelling van mailapps, maar beïnvloeden aflevering niet.

Controle 1: voeg dubbele SPF-records samen

Slechts één TXT-record op het hoofddomein mag beginnen met v=spf1. Met twee records kunnen ontvangers het juiste beleid niet betrouwbaar bepalen en kan TrekMail niet correct verifiëren.

Symptoom: beide records staan in DNS, maar TrekMail meldt nog dat SPF niet is ingesteld.

Oplossing: voeg afzenderregels samen in één record. Heb je:

v=spf1 include:_spf.google.com ~all
v=spf1 include:spf.trekmail.net -all

Vervang dit door:

v=spf1 include:_spf.google.com include:spf.trekmail.net -all

Welk einde gebruiken: -all of ~all

Gebruik er één. Zowel -all als ~all slaagt als include:spf.trekmail.net ervoor staat. De keuze beïnvloedt mail van andere diensten.

Een adviesmelding over het einde is geen mislukte verificatie. Het domein kan met beide worden geverifieerd.

Gebruik niet:

• ?all, want dit biedt geen bruikbaar autorisatiebeleid.
• +all, want dit machtigt iedere afzender op internet.

Een SPF-record mag maximaal tien DNS-opzoekingen gebruiken. Verminder bij veel externe afzenders het aantal include-onderdelen of vraag de provider naar ondersteunde consolidatie.

Controle 2: een Cloudflare-mail-CNAME wordt geproxied

Cloudflare kan webverkeer proxyen, maar een mail-CNAME moet op Alleen DNS staan. Dit geldt voor mta-sts, autoconfig, autodiscover en andere hosts die het Dashboard vraagt.

Symptoom: het record verschijnt als geblokkeerd of kan niet worden geverifieerd, hoewel het in Cloudflares DNS-lijst staat.

Oplossing: open in Cloudflare DNS, zoek de host en verander de oranje wolk in grijs Alleen DNS. Gebruik daarna DNS verifiëren in TrekMail.

Het A-record of de belangrijkste web-CNAME mag geproxied blijven. Wijzig alleen de mailhost die het Dashboard aanwijst.

Controle 3: DMARC staat op de verkeerde host

DMARC hoort op _dmarc.yourdomain.com, niet op het hoofddomein. Sommige formulieren vullen @ vooraf in, waardoor het makkelijk verkeerd wordt opgeslagen.

Symptoom: DMARC bestaat in DNS, maar TrekMail vindt het niet.

Oplossing: voeg het toe op _dmarc. Sommige interfaces willen _dmarc, andere _dmarc.yourdomain.com. Lees de formulierhulp. Verwijder een verkeerd record op @ pas nadat je hebt bevestigd dat het geen ander doel heeft.

Controle 4: DKIM is verkeerd geplakt of gesplitst

DKIM-waarden zijn lang. Providers kunnen een lange TXT als gekoppelde segmenten opslaan, maar het openbare resultaat moet overeenkomen met de volledige Dashboard-waarde.

"p=MIIBIjANBgkqhki..." "...continues here" "...and ends here"

De meeste providers doen dit automatisch. Verkeerd plakken kan tekens, witruimte of aanhalingstekens toevoegen of verwijderen.

Symptoom: DKIM is zichtbaar, maar TrekMail meldt "DKIM key invalid" of "p= does not match".

Oplossing:

• Plak de waarde exact zoals in het Dashboard.
• Splitst de provider lange TXT-waarden automatisch, plak dan alles en laat de provider splitsen.
• Vraagt hij om segmenten, volg dan zijn instructies en behoud ieder teken.
• Bevestig met een onafhankelijke DNS-opzoeking dat de openbare TXT de volledige sleutel bevat.

Controle 5: MTA-STS heeft aandacht nodig

MTA-STS is een aanbevolen beveiligingsfunctie voor domeinen die via TrekMail ontvangen. Toont het Dashboard deze functie, dan zijn de getoonde TXT en CNAME mta-sts nodig. Voeg ze niet toe aan een domein dat alleen verzendt, tenzij het Dashboard dit expliciet vraagt.

Geblokkeerd door DNS. De CNAME mta-sts ontbreekt of verwijst elders. Voeg hem toe of corrigeer hem met het huidige Dashboard-doel.

Geblokkeerd door Cloudflare. De CNAME bestaat maar wordt geproxied. Zet de host op Alleen DNS, zoals in Controle 2.

Verslechterd nadat het werkte. Vergelijk TXT en CNAME met het Dashboard. Een gewijzigd of verwijderd record is meestal de oorzaak. Herstel het, voer DNS verifiëren uit en bekijk de nieuwe status.

Controle 6: vergelijk een openbare opzoeking met het Dashboard

Tijdens verspreiding kunnen je lokale netwerk en TrekMail verschillende resultaten zien. Een openbare opzoeking toont wat andere netwerken zien.

Vergelijk zo:

1. Open dnschecker.org of whatsmydns.net.
2. Voer de volledige host en het type in, bijvoorbeeld _dmarc.yourdomain.com en TXT voor DMARC.
3. Vergelijk teruggegeven host, waarde en MX-prioriteit met de Dashboard-tabel.
4. Toont de opzoeking de juiste waarde maar TrekMail nog een verschil, voeg het resultaat dan toe aan een supportticket.

Controle 7: een oude DNS-waarde zit nog in de cache

Na een wijziging kan de oude waarde in tussenliggende resolvers blijven tot de TTL (Time To Live, in seconden) verloopt. Bij oudere records is 24 uur (86400 seconden) gebruikelijk.

Symptoom: je wijzigde een record een uur geleden, maar controles zien wereldwijd nog de oude waarde.

Oplossing: vermijd herhaald wijzigen terwijl dezelfde update zich verspreidt. Voor een geplande migratie kun je de TTL vooraf verlagen als de provider dit ondersteunt. Kies na stabilisatie een TTL die bij normaal DNS-beheer past.

Stap voor stap problemen oplossen

1. Open de pagina Domeinen en klik op je domein.
2. Is Conflicten bekijken beschikbaar, open het dan. Het scheidt te herstellen records van aanbevolen en informatieve items.
3. Vergelijk iedere verwachte host, waarde en MX-prioriteit met het opgeslagen record bij de provider.
4. Breng alleen de kleinste nodige wijziging aan en behoud records van andere diensten.
5. Klik in TrekMail op DNS verifiëren.
6. Lees de bijgewerkte status. Een domein is actief wanneer de voor de gekozen configuratie vereiste records geldig zijn; aanbevolen records kunnen apart staan.

Gebruik voor eigen controles in een terminal (Mac/Linux/WSL):

dig +short MX yourdomain.com
dig +short TXT yourdomain.com
dig +short TXT _dmarc.yourdomain.com
dig +short TXT dkim._domainkey.yourdomain.com
dig +short CNAME mta-sts.yourdomain.com

Vergelijk de uitvoer met de waarden voor je eigen domein in het Dashboard. Kopieer nooit een DKIM-sleutel, MTA-STS-beleids-ID of andere domeinspecifieke waarde uit een voorbeeld.

Veelvoorkomende valkuilen bij DNS-providers

• Cloudflare: mail-CNAMEs moeten Alleen DNS zijn. De provider kan een afsluitende punt verbergen; vergelijk het opgeloste doel in plaats van dubbele punten toe te voegen.
• GoDaddy: gebruik @ voor het hoofddomein en _dmarc voor DMARC. GoDaddy voegt zelf de domeinnaam toe.
• Namecheap: voeg records alleen onder Advanced DNS toe als Namecheap de gezaghebbende DNS-provider is. Gebruik @ voor het hoofddomein.
• Route 53: selecteer de gehoste zone die werkelijk met het domein verbonden is en plak de volledige Dashboard-waarde.
• Websitebouwers en registrars: waar je het domein kocht, beheert mogelijk niet het DNS. Controleer nameservers en wijzig records bij de provider die dat wel doet.

Wanneer alles klopt maar de status rood blijft

Tonen het Dashboard en een onafhankelijke openbare opzoeking dezelfde vereiste records maar meldt TrekMail nog een verschil, open dan een ticket met:

• Je domeinnaam.
• Het openbare resultaat voor het betreffende record.
• Een schermafbeelding van Conflicten bekijken, indien beschikbaar.

Vermeld geen account- of postvakwachtwoorden, herstelcodes of toegangstokens.