550 5.7.26 Gmail: sender is unauthenticated (SPF of DKIM ontbreekt)

Zo ziet de foutmelding eruit

• 550-5.7.26 This mail has been blocked because the sender is unauthenticated. Gmail requires all senders to authenticate with either SPF or DKIM.
• 550-5.7.26 Your email has been blocked because the sender is unauthenticated. Gmail requires all senders to authenticate with either SPF or DKIM.
• 550-5.7.26 Unauthenticated email from domein.nl is not accepted due to domain's DMARC policy.
• 550 5.7.26

Waarom gebeurt dit?

Gmail controleert bij elke binnenkomende mail of de afzender echt namens zijn domein mag versturen. Dat gebeurt met SPF (een lijst in je DNS met servers die namens jouw domein mogen mailen) en DKIM (een digitale handtekening die je mailserver op elk bericht zet). Slaagt geen van beide, dan weigert Gmail de mail met 550 5.7.26.

Google en Yahoo stellen voor alle afzenders als eis dat minstens SPF of DKIM slaagt. Voor bulkverzenders, die grote aantallen berichten per dag naar Gmail-adressen sturen, gelden extra eisen: SPF én DKIM, een DMARC-record, ‘alignment’ (het domein in het afzenderadres moet overeenkomen met het domein van SPF of DKIM), een afmeldlink met één klik in marketingmail en een laag aantal spamklachten.

De variant met due to domain's DMARC policy betekent dat jouw domein een DMARC-beleid heeft (quarantine of reject) en dat de mail daar niet aan voldoet. Vaak verstuurt een dienst namens jou, zoals een webshop, nieuwsbriefprogramma of boekhoudpakket, die niet in je SPF staat en geen DKIM voor jouw domein zet.

Zo herken je dit probleem

• De weigering komt van Gmail (of een Google Workspace-domein) en noemt 5.7.26 of unauthenticated.
• Het treft vaak mail uit één bron: de website, de webshop, een nieuwsbrieftool of een scanner. Gewone mail uit Outlook komt dan wel aan.
• Komt de mail wel aan maar in de spammap, zie dan mail komt in de spam.
• Noemt de weigering een blocklist of spam zonder 5.7.26, zie dan 554 mail geweigerd als spam.

Zo los je het op, stap voor stap

Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.

1. Bekijk de controleresultaten van een testmail

   Stuur een testmail naar een eigen Gmail-adres. Lukt dat, open de mail dan, klik op de drie puntjes en kies Origineel weergeven. Je ziet bovenaan of SPF, DKIM en DMARC PASS of FAIL zijn. Wordt de mail geweigerd, gebruik dan de Mail-DNS-check om je records te bekijken.

2. Zoek uit wie er namens je domein verstuurt

   Maak een lijst van alles wat mail met jouw domein als afzender verstuurt: je mailprovider, de website, de webshop, een nieuwsbrieftool, een boekhoud- of CRM-pakket, een scanner. Elke bron moet in SPF staan of DKIM voor jouw domein zetten. Een bron die vergeten is, geeft precies deze fout.

3. Zet het SPF-record goed

   Een domein mag maar één SPF-record hebben. Voeg alle verzenders toe met hun include:-regel en sluit af met ~all of -all. Twee SPF-records naast elkaar maken SPF ongeldig. Uitgebreide uitleg: SPF-record fout.

   dig +short TXT domein.nl
   
   voorbeeld (één record):
   v=spf1 include:spf.jouwmailprovider.nl include:spf.nieuwsbriefdienst.nl ~all

4. Zet DKIM aan bij elke verzender

   In het beheerpaneel van je mailprovider en van elke externe dienst zet je DKIM-ondertekening aan voor jouw domein. Je krijgt een of meer DNS-records (TXT of CNAME) met een ‘selector’ die je bij je domeinbeheerder invoert. Zie DKIM-fout.

   dig +short TXT selector1._domainkey.domein.nl

5. Voeg een DMARC-record toe

   Begin met p=none zodat je kunt meten zonder dat mail wordt geweigerd. Met rapportage (rua=) zie je welke bronnen nog niet goed zijn. Verscherp pas naar quarantine of reject als alle bronnen slagen. Zie DMARC instellen.

   _dmarc.domein.nl  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@domein.nl"

6. Controleer de alignment

   Voor DMARC moet het domein in het zichtbare afzenderadres overeenkomen met het domein dat bij SPF of DKIM slaagt. Een nieuwsbriefdienst die met zijn eigen domein ondertekent, laat DKIM slagen voor dát domein, maar niet voor het jouwe. Stel bij zo’n dienst een eigen ‘authenticated domain’ of eigen DKIM in.

7. Verstuur je in bulk? Regel ook de extra eisen

   Verstuur nieuwsbrieven via een dienst die een afmeldlink met één klik (in de berichtkop) ondersteunt, stuur alleen naar mensen die zich hebben aangemeld en houd je adressenlijst schoon. Gmail Postmaster Tools laat zien hoe Google je domein beoordeelt.

Let op: Zet DMARC niet meteen op p=reject. Mist er dan één verzender in SPF of DKIM, dan weigeren Gmail en anderen juist al die mail.

Wanneer schakel je hulp in?

• Je weet niet welke diensten allemaal namens je domein versturen.
• Je hebt SPF, DKIM en DMARC ingesteld, maar Gmail blijft weigeren.
• Je verstuurt nieuwsbrieven of facturen in grote aantallen en wilt aan de eisen voor bulkverzenders voldoen.
• Er staan meerdere SPF-records of een SPF-record met te veel opzoekingen en je durft er niet aan te komen.

Verwante oplossingen

Meer in E-mailfoutmeldingen

• 550 5.1.1 User unknown
• 550 5.7.1 Unable to relay / Relay access denied
• 421 4.7.0 Try again later
• 552 5.2.2 Mailbox full / 452 4.2.2 over quota
• 552 5.3.4 Message size exceeds fixed maximum
• 535 5.7.8 authentication failed
• Outlook-fout 0x800CCC0E
• Kan e-mail niet ophalen (Cannot Get Mail)
• Certificaatfout in Outlook of Mail
• 550 5.4.1 Recipient address rejected
• Alle E-mailfoutmeldingen →

Hulp nodig van een mens? Gratis Mail-DNS-check · Zakelijke e-mail in jouw plaats · Microsoft 365-hulp · Alle oplossingen