Inbox hygiëne: hoe je je mailbox terugpakt, met of zonder Google Workspace – PCPal

De meeste mensen behandelen hun inbox als een bak waar dingen in vallen. Ze scrollen, ze zuchten, ze zoeken die ene bevestigingsmail terug tussen driehonderd nieuwsbrieven, en ze accepteren dat als een natuurwet. Dat is het niet. Een inbox is een systeem, en een systeem kun je inregelen.

Bij mij ziet dat er zo uit: Google Workspace laat zijn filters los op strikte interpretatie van SPF, DKIM en DMARC, en maakt op basis daarvan aparte postvakken voor primair persoonlijk verkeer, automatische updates, fora en sociale netwerken, en de overige reclame. Vertrouwde afzenders met prioriteit komen met een ster bovenin te staan. Wat overblijft in mijn primaire vak is wat een mens mij persoonlijk heeft gestuurd. De rest wacht netjes in zijn eigen hoek tot ik er zin in heb.

Dit stuk gaat over hoe dat werkt, waarom het werkt, en hoe je hetzelfde bereikt als je géén Workspace hebt.

Twee lagen: wie ben je, en waar hoor je

Elke mail die binnenkomt doorloopt twee beoordelingen, en het loont om die uit elkaar te houden.

Laag 1 is authenticatie. Is deze afzender wie hij beweert te zijn? Dat is wiskunde en DNS, geen smaak. SPF, DKIM en DMARC beantwoorden die vraag met ja, nee, of “geen idee”. Faalt het hier, dan is de rest niet meer interessant.

Laag 2 is classificatie. Deze mail is echt van wie hij zegt te zijn — maar wil ik hem nu zien? Dat is de laag van categorieën, prioriteit, sterren en filters. Hier komt smaak wel om de hoek kijken, en hier valt de meeste winst te halen.

Vrijwel alle inbox-ellende komt doordat mensen alleen laag 2 kennen — ze slepen wat mappen bij elkaar — terwijl laag 1 bij hen wagenwijd openstaat. Dan filter je netjes een postbus waar iedereen ongecontroleerd in mag gooien.

Laag 1: SPF, DKIM en DMARC in gewone taal

SPF — wie mag namens dit domein versturen

SPF (Sender Policy Framework, RFC 7208) is een lijstje in DNS waarin de eigenaar van een domein vastlegt welke servers namens hem mogen mailen. Een ontvangende server kijkt van welk IP de mail komt en of dat IP in het lijstje staat.

pcpal.nl.  TXT  "v=spf1 include:_spf.google.com ~all"

De staart is het belangrijkste deel en juist daar gaat het mis. ~all betekent softfail: “hoort er eigenlijk niet bij, maar doe er verder niets mee”. -all betekent hardfail: “iedereen die hier niet in staat, is een vervalser”. Wie serieus is zet -all. Een SPF-record dat op ~all blijft hangen is een slot dat je niet omdraait.

Let ook op de tienlookup-limiet: elke include: kost DNS-lookups, en boven de tien wordt je hele record ongeldig verklaard. Wie drie marketingtools, een boekhoudpakket en een ticketsysteem achter elkaar plakt, zit daar zo overheen — en merkt niets, want het faalt stil.

DKIM — de handtekening op de envelop

DKIM (DomainKeys Identified Mail, RFC 6376) zet een cryptografische handtekening over de mail zelf. De publieke sleutel staat in DNS, de private sleutel bij de verzendende server. Klopt de handtekening, dan weet je twee dingen: de mail komt echt van dat domein, én de inhoud is onderweg niet gewijzigd.

Waar SPF alleen naar het IP kijkt, kijkt DKIM naar het bericht. Dat is het verschil tussen “deze brief kwam uit het juiste postkantoor” en “deze brief is ondertekend en het zegel is ongebroken”.

DMARC — het beleid, en de rapportage

DMARC (RFC 7489) bindt de twee samen en voegt het stuk toe dat SPF en DKIM allebei missen: wat moet de ontvanger doen als het misgaat, en wie krijgt daar bericht van.

_dmarc.pcpal.nl.  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"

p=none — kijken, niets doen. Prima als startpunt, waardeloos als eindstation.
p=quarantine — verdacht verkeer naar spam.
p=reject — weigeren aan de deur. Dit is waar je heen wilt.
rua= — het adres waar je dagelijkse XML-rapporten binnenkrijgt over wie er namens jouw domein mailt. Dit is het nuttigste veld van het hele record en vrijwel niemand gebruikt het.
adkim=s / aspf=s — strikte alignment: het domein in de handtekening moet exact matchen, niet alleen een subdomein zijn.

Die rua-rapporten zijn het instrument waarmee je ontdekt dat er al maanden iemand vanaf een Braziliaans IP facturen verstuurt met jouw domein in de afzender. Zonder DMARC-rapportage is dat volledig onzichtbaar totdat een klant belt.

ARC en BIMI: de twee die je er onvermijdelijk bij tegenkomt

ARC (Authenticated Received Chain, RFC 8617) lost het probleem op dat DMARC zelf veroorzaakt: zodra een bericht wordt doorgestuurd — via een mailinglijst, of via een oud adres dat je naar je nieuwe laat doorlopen — verandert de afzender en sneuvelt de SPF-controle. Een legitieme mail belandt dan in de spambak omdat hij een station te veel heeft aangedaan. ARC laat elke tussenliggende server ondertekenen dat de authenticatie bij hém nog wél klopte, zodat de eindontvanger de keten kan teruglezen. Stuur je post door, of ontvang je via een forwarder, dan is dit de reden dat het soms misgaat.

BIMI is de andere kant: je eigen logo naast je naam in het postvak van de ontvanger. Het klinkt als marketing en dat is het ook, maar het vereist wél p=reject en meestal een betaald certificaat. Nuttig om te weten waarom sommige afzenders een logo hebben en jij niet — en waarom dat logo op zichzelf geen enkel bewijs van betrouwbaarheid is.

Zelf een mail ontleden: de headers liegen niet

In Gmail: open een bericht, klik op de drie puntjes, “Origineel weergeven”. Je krijgt dan onder meer dit te zien:

Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=selector1;
       spf=pass (google.com: domain of [email protected] designates 1.2.3.4) ;
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=bank.nl

Drie keer pass en een p=REJECT-beleid: deze mail is echt. Zie je dmarc=fail, of p=NONE bij een partij die met geld omgaat, dan weet je genoeg. Dit is de snelste phishing-check die er bestaat en hij kost tien seconden.

Let op één ding: dat de afzender authentiek is, zegt niets over of hij deugt. Een oplichter kan zijn eigen domein keurig van SPF, DKIM en DMARC voorzien. Authenticatie bewijst identiteit, niet integriteit. Wat het wél afsnijdt is de goedkoopste truc uit het boekje: doen alsof je iemand anders bent.

Sinds 2024 is dit geen vrijblijvend advies meer

In februari 2024 hebben Google en Yahoo gezamenlijk de duimschroeven aangedraaid voor bulkverzenders — inmiddels gevolgd door Microsoft en Apple. Wie meer dan 5.000 berichten per dag naar persoonlijke accounts stuurt, moet aan een aantal harde eisen voldoen:

SPF én DKIM correct ingericht, plus een geldig DMARC-record op het afzenderdomein.
Eén-klik afmelden volgens RFC 8058 op marketingmail, en de afmelding binnen twee dagen verwerkt.
Een spamklachtpercentage dat onder de 0,3% blijft — met 0,1% als praktische bovengrens waar je je op moet richten.
Uitgaande verbindingen over TLS.

Dat is voor jou als ontvanger goed nieuws, want het betekent dat een grote afzender die zijn zaken niet op orde heeft, structureel in de spambak eindigt. Voor jou als verzender — en iedere ondernemer met een eigen domein is een verzender — is het een deadline die al twee jaar verstreken is.

Laag 2: de vier bakken, en waarom ze werken

Gmail en Workspace sorteren binnenkomende post standaard in categorieën: Primair, Reclame, Sociaal, Updates en Fora. Die verdeling is niet willekeurig — ze loopt langs de lijn van wie stuurt dit, en waarom.

Primair — een mens die aan jou schrijft. Dit is het enige tabblad dat je aandacht verdient op het moment dat het binnenkomt.
Updates — bevestigingen, facturen, verzendberichten, wachtwoordresets. Machinaal, maar wel over jouw zaken. Belangrijk, niet urgent.
Reclame — nieuwsbrieven, aanbiedingen, alles met een afmeldlink onderaan. Machinaal, en over hún zaken.
Sociaal — meldingen van platforms.
Fora — mailinglijsten en discussiegroepen, herkenbaar aan de List-Id-header.

De kracht zit hem niet in de indeling zelf maar in wat het met je dag doet. Zonder categorieën onderbreekt een aanbieding voor tuinmeubels je even hard als een klant met een storing. Met categorieën is er precies één plek die piept, en de rest is een archief dat je bezoekt wanneer het jou uitkomt.

Prioriteit: de ster als vaste bovenlaag

Categorieën scheiden het verkeer, maar ze zeggen niets over wie er voor jou toe doet. Daar is de ster voor. Met de weergave “Eerst met ster” staat alles wat ik als vertrouwde afzender met prioriteit heb gemarkeerd bovenin, boven alle overige post, ongeacht datum.

Dat automatiseer je met een filter, zodat je het niet met de hand hoeft bij te houden:

Van:    ([email protected] OR *@belangrijkeklant.nl OR *@umcg.nl)
Doe:    Markeer als belangrijk
        Ster toevoegen
        Categoriseren als Primair
        Nooit naar spam sturen

Die laatste regel — nooit naar spam — is degene die je op een dag redt. Een klant die één keer via een nieuwe mailserver stuurt en daardoor in je spambak valt, is een klant die denkt dat je hem negeert.

Wat Workspace erbij geeft dat gratis Gmail niet heeft

Je eigen domein, en daarmee zeggenschap over je eigen SPF, DKIM en DMARC. Dat is de hele basis van laag 1. Op een gratis adres beheer je andermans reputatie.
Beheerdersregels op organisatieniveau, in de Admin-console onder Apps → Google Workspace → Gmail: routing, compliance-filters, blokkeerlijsten, quarantaines. Regels die voor elke gebruiker tegelijk gelden.
Strikte afhandeling van DMARC-fouten instelbaar, in plaats van de zachte standaardbehandeling voor consumenten.
Onbeperkt aliassen en groepsadressen — cruciaal, zie hieronder.
Bewaarbeleid en doorzoekbare archivering (Vault), zodat “weggegooid” niet hetzelfde is als “weg”.

De belangrijkste truc: één adres per partij

Dit is de maatregel waarvan je het meeste plezier hebt en die bijna niemand toepast. Geef elke partij zijn eigen adres.

[email protected]          ← plusadressering, werkt overal met Gmail
[email protected]          ← eigen alias op eigen domein
[email protected] ← catch-all subdomein, oneindig veel adressen

Twee dingen gebeuren er dan. Ten eerste kun je per adres filteren, dus elke partij komt automatisch op zijn eigen plek terecht zonder dat je afzendernamen hoeft te raden. Ten tweede — en dat is de mooiste — weet je bij een datalek exact wie je gegevens heeft doorverkocht. Als er spam binnenkomt op [email protected], dan is dat geen mysterie. Dat is bewijs.

En een alias die vervuild raakt, gooi je gewoon weg. Je hoofdadres blijft schoon. Een adres dat je aan honderd partijen hebt gegeven kun je nooit meer opgeven; een alias die je aan één partij hebt gegeven is wegwerpbaar. Let wel op: plusadressering wordt door sommige formulieren geweigerd en door partijen die het snappen simpelweg afgekapt bij de plus. Een echte alias op je eigen domein is daarom sterker.

Zonder Workspace: hetzelfde resultaat, ander gereedschap

Je hebt Google hier niet voor nodig. Het principe is belangrijker dan de leverancier, en er zijn drie routes die net zo goed of beter werken.

Route 1: een andere aanbieder, wel je eigen domein

Fastmail, Migadu, Mailbox.org, Proton, of een Nederlandse hoster met fatsoenlijke IMAP. Wat je zoekt is niet een merk maar een lijstje eigenschappen: eigen domein, DKIM-ondertekening die je zelf kunt aanzetten, onbeperkt aliassen, en server-side filtering. Dat laatste betekent Sieve.

Server-side filteren is het verschil tussen een inbox die overal opgeruimd is en een inbox die alleen opgeruimd is op de computer waar je regels toevallig staan. Een Sieve-regel draait op de server, dus je telefoon, je laptop en je webmail zien allemaal dezelfde ordening. Een regel in Outlook op één pc doet dat niet.

require ["fileinto", "envelope", "imap4flags"];

# Fora herkennen aan de List-Id header
if exists "List-Id" {
    fileinto "Lijsten";
    stop;
}

# Reclame herkennen aan de afmeldheader
if exists "List-Unsubscribe" {
    fileinto "Reclame";
    stop;
}

# Alles wat DMARC niet haalt apart zetten
if header :contains "Authentication-Results" "dmarc=fail" {
    fileinto "Verdacht";
    stop;
}

# Prioriteitsafzenders: vlaggen en in het primaire vak laten
if address :domain "from" ["belangrijkeklant.nl", "umcg.nl"] {
    setflag "\\Flagged";
    stop;
}

Dat is in twintig regels wat Gmail als product verkoopt. De headers List-Id en List-Unsubscribe zijn de sleutels: nieuwsbrieven en mailinglijsten identificeren zichzelf verplicht, dus je hoeft niet te raden.

Route 2: alles zelf draaien

Postfix voor transport, Dovecot voor IMAP en Sieve, Rspamd voor filtering en DKIM-ondertekening. Rspamd doet SPF-, DKIM- en DMARC-controle, bayesiaanse classificatie die van jouw eigen post leert, greylisting en snelheidsbegrenzing. Je krijgt er een webinterface bij waarin je precies ziet waarom een bericht een score kreeg — iets wat geen enkele grote aanbieder je laat zien.

Wees eerlijk over wat dit kost: het bezorgbaarheidsprobleem is echt. Een verse IP-reputatie opbouwen kost maanden, een enkele slechte buur in je IP-blok kan je de das omdoen, en Microsoft blokkeert kleine zelfhosters routineus zonder opgaaf van reden. Wie deze route kiest, kiest voor het beheer erbij. Er zijn kant-en-klare bundels (Mailcow, Mail-in-a-Box, Stalwart) die het opzetten sterk vereenvoudigen, maar het beheer niet.

Route 3: laat je mail waar hij is, maar zet er een fatsoenlijke client voor

Thunderbird met een handvol berichtfilters, of een client met een goede zoekfunctie en snelle toetsenbordbediening. Minder krachtig dan server-side filteren omdat het per apparaat is, maar oneindig veel beter dan niets. En Thunderbird laat je met één toetsaanslag de volledige broncode van een bericht zien — de authenticatie-headers dus.

Het model omdraaien: wie mag er überhaupt sturen?

Alles hierboven is reactief. De post komt binnen en wordt daarna gesorteerd. Er bestaat een tweede model dat zelden ter sprake komt en dat structureel sterker is: niet sorteren wat binnenkomt, maar vooraf bepalen wie er binnen mag. Van filteren naar deurbeleid.

De wachtkamer voor onbekenden

Het principe is dat je postvak standaard dicht staat. Een afzender die je nooit eerder hebt gezien belandt niet in je inbox maar in een wachtkamer. Eén keer beslis je: binnen, of nooit meer. Die beslissing geldt daarna permanent, en je hoeft hem nooit opnieuw te nemen.

De bekendste implementatie is de Screener van Hey.com, waar dit het centrale ontwerpprincipe van het hele product is. Maar je hebt daar geen abonnement voor nodig — met Sieve bouw je het zelf. De sterkste heuristiek die er bestaat is bovendien gratis: iedereen aan wie jij ooit zelf een mail hebt gestuurd, mag jou mailen. Dat adresboek heb je al, het staat in je map Verzonden. De rest is een lijst die je in de loop van een paar weken aanvult, waarna hij vrijwel niet meer verandert.

require ["fileinto", "envelope"];

# Bekenden eerst: iedereen aan wie ik zelf ooit heb gemaild
if header :contains "X-Bekende-Afzender" "ja" {
    keep;
    stop;
}

# Machinale post herkent zichzelf en mag door
if anyof (exists "List-Id", exists "List-Unsubscribe") {
    fileinto "Reclame";
    stop;
}

# En al het overige: onbekend, dus wachtkamer
fileinto "Wachtkamer";
stop;

Wees eerlijk over de kosten: de eerste twee weken zijn onaangenaam. Je bouwt de allowlist op terwijl de wachtkamer vol loopt, en in die periode moet je hem dagelijks doorlopen. Daarna kantelt het, en houd je een postvak over waar letterlijk niemand ongevraagd in kan.

Een gedeeld geheim in het adres

De armemansvariant, en verrassend effectief: neem een adres met een willekeurig blokje erin — [email protected] — geef dat alleen aan mensen die je vertrouwt, en gooi alles weg wat aan het kale jelle@ is gericht. Geen software nodig, geen lijst bijhouden. Wie het geheim niet heeft, komt er niet in. Wie het lekt, verraadt zichzelf.

Challenge-response: waarom het werkt en waarom je het toch niet doet

De radicale variant stuurt elke onbekende afzender automatisch een verificatiemail terug: bevestig even dat je een mens bent, dan komt je bericht alsnog aan. TMDA en Boxbe deden dit. Het werkt technisch uitstekend en het is de reden dat het idee blijft terugkomen.

Doe het niet. Ten eerste leg je jouw spamprobleem bij je correspondent neer — een klant die eerst een formulier moet invullen om je te mogen bereiken, belt de volgende in het lijstje. Ten tweede, en ernstiger: spam draagt een vervalste afzender, dus je verificatiemails komen terecht bij mensen die jou nooit hebben geschreven. Dat heet backscatter, en daarmee ben je zelf de spammer geworden. Een stille wachtkamer doet hetzelfde werk zonder iemand anders lastig te vallen.

Weigeren voordat de mail binnen is

En dan is er nog een laag die vóór alles hierboven zit, op de mailserver zelf, tijdens het SMTP-gesprek. Wie zelf host of een provider heeft die het aanbiedt, haalt hier meer winst dan met welk filter dan ook — want post die je nooit accepteert, hoeft ook nooit gesorteerd te worden.

Greylisting (RFC 6647) geeft elke onbekende combinatie van afzender en ontvanger bij het eerste contact een tijdelijke weigering: probeer het over vijf minuten nog eens. Elke echte mailserver ter wereld doet dat, want dat schrijft het protocol voor. Wegwerpbotnets hebben geen wachtrij en komen nooit terug. Kosten: een paar minuten vertraging bij het allereerste bericht van een nieuwe afzender. Valse positieven: nul.
DNSBL’s — Spamhaus Zen voorop — zijn realtime lijsten van IP-adressen waar aantoonbaar rommel vandaan komt. Op MTA-niveau weiger je die met een 5xx en dan is het klaar. Dit vangt het grofste geweld weg voordat je filter er ook maar naar heeft gekeken.
Snelheidsbegrenzing en tarpitting: wie in tien seconden vijftig verbindingen opent, is geen correspondent. Traag afhandelen kost jou niets en de spammer zijn verdienmodel.

Een provider die greylisting en Spamhaus standaard aan heeft staan, doet meer voor je postvak dan alle regels die je daarna zelf bedenkt. Dat is meteen een goede vraag om te stellen vóórdat je ergens klant wordt.

Hele landen wegzetten: het botte instrument dat verrassend goed werkt

Alles hierboven filtert op eigenschappen van een bericht. Er is een grover instrument dat in de praktijk vaak meer oplevert dan al het fijnslijpwerk bij elkaar: filteren op herkomst. Niet op afzender, niet op inhoud, maar op het topleveldomein waar de post vandaan komt.

De redenering is simpel en niemand durft hem hardop te maken. Ken jij iemand in Indonesië? In Congo? Correspondeer jij zakelijk met een .cd-adres, of met .ru, of met een van de honderd landen waar je in je hele leven nooit één legitieme mail vandaan hebt gekregen? Nee. Dan hoeft die post ook niet dagelijks door je handen. Een regel die een compleet TLD naar quarantaine stuurt is één handeling en scheelt permanent werk.

Gereedschap: de TLD-mailregelgenerator

Om dit werk niet met de hand te hoeven doen heb ik er een generator voor gebouwd: pcpal.nl/spam.html. Je vinkt aan welke topleveldomeinen voor jou relevant zijn — standaard staan .com, .net, .org, .gov, .co.uk, .eu en .nl aan — en de pagina levert direct twee kant-en-klare varianten op. Let op dat je dus een omgekeerde selectie moet maken om de ongewenste domeinen uit te filteren.

Een reguliere expressie, voor Google Workspace contentbeleid of Exchange transport rules.
Een wildcardlijst in de vorm *@*.tld, voor Outlook, Thunderbird en eenvoudige blocklists.

Bij elk TLD staat een INFO-link naar de registry die het beheert, zodat je kunt nakijken met wat voor land of sector je te maken hebt voor je iets afsnijdt. Er is een knop om de selectie om te keren, wat het verschil is tussen een lijst van wat je wél wilt ontvangen en een lijst van wat je wilt wegzetten. Bedenk goed welke van de twee je in je filter plakt — die vergissing is precies één klik groot en blokkeert in het ergste geval je eigen Nederlandse post.

De gegenereerde regels kijken naar de zichtbare afzender. Dat is prima voor het grofvuil, maar zoals hierboven beschreven is die regel vrij invulbaar — wil je het echt dichttimmeren, dan doe je hetzelfde op envelope-niveau in Sieve of in je MTA.

De asymmetrie waar het om draait

Filteren wordt meestal beoordeeld op precisie: hoeveel valse positieven levert het op. Dat is de verkeerde maatstaf voor een eenmanszaak. De juiste maatstaf is totale arbeid. Elke dag twintig berichten wegen die je toch niet wilde, kost over een jaar een werkweek. Eén keer per kwartaal een terecht bericht uit quarantaine vissen kost drie minuten. Een filter dat af en toe misslaat maar structureel werk weghaalt, wint van een filter dat perfect is en niets uitspaart.

Incidenten corrigeren die wél de bedoeling waren, is minder werk dan dagelijks sorteren. Dat is de hele stelling.

Doe het zo dat het niet tegen je werkt

Er is één manier waarop dit fout gaat, en dat is stil weggooien. Wie post in het niets laat verdwijnen, weet nooit dat hij iets mist en de afzender weet het ook niet. Twee opties zijn wel netjes:

Naar een quarantainemap in plaats van naar de prullenbak. Je ziet het niet, het is er wel, en je kunt er doorheen scrollen wanneer het jou uitkomt.
Weigeren tijdens het SMTP-gesprek met een 5xx-code. Dan krijgt een legitieme afzender netjes een foutmelding en weet hij dat hij je anders moet bereiken. Dit is beleefder dan het klinkt en veel beleefder dan zwijgen.

Filter bij voorkeur op de envelope sender en niet alleen op de zichtbare afzenderregel. De From: die je in je mailprogramma ziet is vrij invulbaar; de envelope-afzender is waar de server daadwerkelijk mee kwam aanzetten. In Sieve:

require ["fileinto", "envelope"];

# Complete TLD's naar quarantaine
if envelope :domain :matches "from" ["*.id", "*.cd", "*.cg", "*.br", "*.ru"] {
    fileinto "Quarantaine-landen";
    stop;
}

# Uitzondering eerst, als je toch één contact daar hebt
if address :is "from" "[email protected]" {
    fileinto "INBOX";
    stop;
}

Let op de volgorde: in Sieve wint de eerste regel die raak is en stop uitvoert. Uitzonderingen horen dus bóven de brede regel, niet eronder. Dat is de meest gemaakte fout bij dit soort filters.

Wat het niet oplost

Reken erop dat dit de onderkant van je spam wegneemt, niet de bovenkant. De rommel die je het meest kost — nepfacturen, phishing die op je bank lijkt, incassodreigementen — komt niet uit een exotisch TLD. Die komt van een gekaapt account bij Gmail of Outlook, of van een vers geregistreerd .com-domein dat drie dagen bestaat. Landenfilters zijn een aanvulling op SPF, DKIM en DMARC, geen vervanging ervan.

En weeg per TLD af wat je afsnijdt. .br is een economie van tweehonderd miljoen mensen; .id idem. Voor een ICT-eenmanszaak in Zutphen is dat een leeg vak, maar zet het dan wel in quarantaine en niet in de shredder. Voor de kleine landen waar structureel niets legitiems vandaan komt, is een harde weigering prima verdedigbaar.

Afmelden, blokkeren, of gewoon negeren

Een praktische volgorde die werkt:

Legitieme afzender die je ooit toestemming gaf? Afmelden. De eenklikslink is verplicht en moet binnen twee dagen verwerkt zijn. Werkt hij niet, dan is dat een overtreding — en meteen reden voor stap 3.
Legitiem maar je wilt het bewaren? Filter naar een map, sla het postvak IN over, markeer als gelezen. Nooit meer gezien, wel doorzoekbaar.
Echte spam of een niet-werkende afmeldlink? Melden als spam, niet afmelden. Bij ongevraagde post bevestigt afmelden alleen dat je adres leeft.
Terugkerende afzender die je nooit hebt uitgenodigd? Blokkeren op afzender of op domein, en het bijbehorende alias intrekken.

En dan de hardste regel van allemaal: het opgeruimde postvak van vandaag is over een half jaar weer een zwijnenstal als je aan de voorkant je adres blijft rondstrooien. Hygiëne aan de instroomkant is tien keer zoveel waard als opruimen aan de uitstroomkant.

De instroomkant: het adres dat ze niet hebben

Die vorige regel verdient meer dan een afsluitende zin, want hier ligt de grootste winst van allemaal. Een adres dat nooit in een database terechtkomt, hoeft nooit gefilterd te worden. Vier maatregelen, oplopend van vijf minuten werk tot een gewoonte.

Voor Nederlandse ondernemers: de KVK is je grootste lek

Dit is de maatregel die vrijwel geen enkele eenmanszaak kent en die binnen een kwartier geregeld is. Het Handelsregister is openbaar, en er zit een complete industrie op die dagelijks de nieuwe inschrijvingen afgraast. Vandaar die stroom aan nepfacturen voor bedrijvengidsen, domeinnaam-“verlengingen” en keurmerken-die-niet-bestaan die precies begint op de dag dat je je inschrijft.

Zet de Non-Mailing Indicator (NMI) aan. Op je uittreksel staat dan dat je adresgegevens niet voor reclame gebruikt mogen worden — gratis, en je regelt het zelf via KVK. Het maakt geadresseerde reclame en deurverkoop op dat adres onrechtmatig, en dat geeft je meteen een grond om iemand aan te spreken.
Werk je vanuit huis, dan kun je onder omstandigheden ook je bezoekadres laten afschermen. Dat is iets anders dan de NMI en het zit strenger in de voorwaarden, maar het bestaat.
Zet er geen adres in dat je ook privé gebruikt. Het e-mailadres dat je bij je inschrijving opgeeft, is het adres dat je over vijf jaar niet meer kunt opgeven.

Publiceer je adres nergens leesbaar

Een mailto:-link op je eigen website is een uitnodiging aan iedere harvester die HTML kan lezen, en dat zijn ze allemaal. Zet er een contactformulier neer, of een wegwerpalias die je jaarlijks vervangt. Hetzelfde geldt voor je domeinregistratie: zet WHOIS-privacy aan, want anders staat je adres in een database die letterlijk is ontworpen om massaal te worden bevraagd.

Aliassen met een uit-knop

Eerder in dit stuk stond al dat je elke partij zijn eigen adres geeft. Er bestaat een categorie diensten die daar een schakelaar bovenop legt: SimpleLogin, addy.io, Apple Hide My Email en Firefox Relay genereren een uniek adres per aanmelding, en zetten dat met één klik weer uit. Ze doen bovendien iets wat een gewone alias niet kan: via een reverse alias kun je vanaf dat adres antwoorden zonder je echte adres prijs te geven. Hebt u Cloudflare voor uw domein, dan doet Email Routing hetzelfde — daarover verderop meer.

En het verschil met plusadressering blijft belangrijk: jij+webshop@ wordt door partijen die het snappen simpelweg afgekapt bij de plus. Een echt eigen alias niet.

En als het toch misgaat: melden

Ongevraagde commerciële e-mail is in Nederland geen ergernis maar een overtreding — artikel 11.7 van de Telecommunicatiewet. De ACM houdt daar toezicht op en heeft een meldpunt: acm.nl/nl/spamklacht. Een enkele melding levert je persoonlijk niets op, dat moet gezegd. Maar de ACM handhaaft op patroon, en een afzender met honderd meldingen achter zijn naam krijgt daadwerkelijk bezoek. Vooral relevant bij een afmeldlink die niet werkt: dat is op zichzelf al een overtreding, en dan is melden zinniger dan nog een keer op “uitschrijven” klikken.

De checklist

Eenmalig, voor je eigen domein:

SPF-record met -all, en onder de tien DNS-lookups.
DKIM aan, en controleer dat de selector daadwerkelijk in DNS staat.
DMARC beginnen op p=none met rua=, de rapporten een paar weken lezen, dan doorschuiven naar quarantine en uiteindelijk reject.
MTA-STS en TLS-RPT erbij als je het netjes wilt doen.
Een aliasstrategie kiezen en die vanaf nu volhouden.
Nederlandse ondernemer? De NMI aanzetten bij KVK, en WHOIS-privacy op je domein.

Eenmalig, voor je postvak:

Categorieën aanzetten, of de Sieve-equivalent inrichten op List-Id en List-Unsubscribe.
Een lijst prioriteitsafzenders vastleggen in één filter: ster, belangrijk, nooit naar spam.
Weergave op “Eerst met ster”.
Automatisch doorschuiven van alle nieuwsbrieven naar hun eigen map.
Overwegen of je naar een wachtkamer-model wilt: onbekende afzenders standaard apart, één keer beslissen per afzender.
Bij je provider navragen of greylisting en Spamhaus aan staan.

Terugkerend:

Wekelijks: de reclamebak in bulk legen, en tijdens dat legen twee afmeldingen doen. Twee per week is honderd per jaar.
Maandelijks: je DMARC-rapporten doorkijken op afzenders die je niet herkent.
Elk kwartaal: filters nalopen op regels die niets meer vangen.
Jaarlijks: aliassen intrekken van partijen waar je niets meer mee doet.

Cloudflare Email Routing: Wat is het en wanneer gebruik je het?

Als je net al deze anti-spam maatregelen voor je domein hebt doorgenomen, ben je in het Cloudflare-dashboard waarschijnlijk ook de optie Email Routing tegengekomen. Maar wat doet dit precies? Is het een extra spamfilter voor je mailbox? Nee. Het is een intelligente, gratis doorstuurservice (forwarder). En als je het slim inzet, is het een fantastisch wapen in je anti-spam arsenaal.

Hoe werkt Cloudflare Email Routing?

Met Email Routing maak je professionele e-mailadressen aan op je eigen domeinnaam (zoals [email protected]), zonder dat je daarvoor een betaalde mailbox bij een provider hoeft af te nemen. Cloudflare vangt de mail voor je op en stuurt deze razendsnel, in de achtergrond, door naar je persoonlijke e-mailadres (bijvoorbeeld je privé Gmail- of Outlook-account).

Wanneer is dit de perfecte oplossing?

Er zijn twee scenario’s waarin deze tool perfect tot zijn recht komt:

1. De ultieme spam-val opzetten (Aliassen): Omdat Email Routing gratis is, kun je eindeloos veel adressen aanmaken. Dit is een briljante anti-spam tactiek. Maak bijvoorbeeld voor elke webshop waar je bestelt een apart adres aan (zoals [email protected]). Begint één van die specifieke adressen ineens spam te ontvangen? Dan weet je exact welk bedrijf jouw gegevens heeft gelekt. Je gaat vervolgens naar Cloudflare, zoekt de regel voor dat adres op, en verandert de actie van ‘Send to’ naar ‘Drop’. De spammer praat vanaf dat moment tegen een dichte muur, zonder dat je échte e-mailadres gevaar loopt.
2. Kosten besparen voor starters: Ben je een startende ondernemer of freelancer en wil je wel professioneel overkomen, maar nog niet maandelijks betalen voor Google Workspace of Microsoft 365? Dan kun je via Cloudflare Email Routing al je zakelijke post gewoon in je vertrouwde, gratis privé-inbox laten bezorgen.

De belangrijke beperking (Waar je op moet letten)

Hoewel het een krachtige tool is, is er één belangrijke technische spelregel: Cloudflare Email Routing neemt de ontvangst van je e-mail (de zogenaamde MX-records) volledig over.

Dit betekent dat je deze dienst niet kunt activeren als je al wél gebruikmaakt van een volwaardige, betaalde mailbox bij een hostingpartij. Het is een “of/of” situatie. Als je Cloudflare Email Routing inschakelt terwijl je al een werkende mailbox hebt bij een provider, zal Cloudflare de oude verbinding weghalen en stopt je huidige mailbox met het ontvangen van e-mails. Heb je dus al een professionele mailbox ingericht? Laat Email Routing dan simpelweg uitstaan; je hebt het dan niet nodig.

Waar het echt over gaat

Een rommelige inbox is geen slordigheid, het is een ontwerpkeuze — alleen niet die van jou. Elke partij die jou mailt heeft er belang bij dat zijn bericht net zo prominent binnenkomt als dat van je moeder. Het standaardpostvak IN geeft hun dat, want het standaardpostvak IN behandelt alle post als gelijkwaardig. Dat is geen neutraliteit. Dat is een gebrek aan beleid, en waar geen beleid is beslist degene die het hardst schreeuwt.

Inbox hygiëne is het terugnemen van die beslissing. Jij bepaalt wie bovenin staat. Jij bepaalt wat mag onderbreken. En de authenticatielaag eronder bepaalt dat wie zich voordoet als iemand anders, überhaupt niet meedoet.

Het is een middag werk. Daarna heb je er jaren profijt van.

Bronnen

Zelf niet aan toe?

Het inrichten van SPF, DKIM en DMARC op je eigen domein, het opzetten van een aliasstrategie en het inregelen van filters die daadwerkelijk doen wat jij wilt — dat is precies het soort werk dat PCPal doet. Eén keer goed, en daarna heb je er geen omkijken meer naar.