Ik kan niet mailen naar Hotmail of Gmail vanuit Microsoft 365. Wat nu?

Envelop die halverwege de opening van een blauwe brievenbus blijft steken

Je verstuurt een offerte vanuit Microsoft 365, maar je klant met een Hotmail- of Gmail-adres ontvangt niets. Andere klanten krijgen je mail wel. Soms komt er een foutmelding terug, soms belandt het bericht in de spammap. Waar begin je?

Controleer eerst wat er met het bericht gebeurt. Ontbrekende of verkeerde SPF-, DKIM- en DMARC-instellingen kunnen een oorzaak zijn, maar ook afzenderreputatie, een verzendblokkade of filtering bij de ontvanger spelen mee. Alleen een DNS-record toevoegen is dus niet altijd de oplossing.

Dit artikel gaat over zakelijke Microsoft 365-mail met je eigen domein, zoals naam@jouwbedrijf.nl. Je hebt voor de instellingen toegang nodig tot het Microsoft-beheer van je organisatie én tot het DNS-beheer van je domein.

In dit artikel

Waarom komt Microsoft 365-mail niet aan bij Hotmail of Gmail?

Een Microsoft 365-abonnement betekent niet dat alle instellingen van je eigen domeinnaam automatisch goed staan. Zeker na een verhuizing, wijziging van DNS-beheer of aansluiting van een extra mailsysteem kunnen records ontbreken of verouderd zijn.

Gmail en Outlook.com, waaronder Hotmail valt, controleren wie de afzender is en of de verzendende partij namens dat domein mag mailen. Dat helpt misbruik van bedrijfsnamen en e-mailadressen tegen te gaan. Ook een echte offerte kan worden tegengehouden als die controles niet goed uitpakken.

Google stelt in zijn richtlijnen voor afzenders eisen aan authenticatie. Voor alle afzenders naar persoonlijke Gmail-adressen geldt SPF of DKIM; voor bulkafzenders gelden strengere eisen, waaronder SPF, DKIM en DMARC. Google raadt alle drie ook voor andere afzenders aan.

Ook Microsoft hanteert strengere eisen voor grote afzenders naar Outlook.com. Dat betekent niet dat iedere kleine ondernemer onder de bulkregels valt, of dat iedere geweigerde mail door ontbrekende DMARC wordt veroorzaakt. Een goede inrichting is wél belangrijk, ook als je maar een paar offertes per dag verstuurt.

Stap 1: begin bij de foutmelding

Bewaar de volledige retourmelding, inclusief foutcode, ontvanger en verzendtijd. Alleen “mijn mail komt niet aan” geeft weinig houvast. Een melding over authenticatie vraagt om ander onderzoek dan een ongeldig ontvangstadres of een te grote bijlage.

  • Retourmelding ontvangen? Lees het technische gedeelte. Woorden als SPF, DKIM, DMARC of authentication geven een richting, maar laat de volledige melding beoordelen.
  • Geen retourmelding? Laat de ontvanger spam en eventuele filters controleren. “Verzonden” in Outlook bewijst niet dat de mail in de inbox staat.
  • Meerdere berichten getroffen? Noteer of het om één mailbox, één ontvangend domein of alle uitgaande mail gaat.

Je beheerder kan in het Exchange-beheercentrum bij Message trace zoeken op afzender, ontvanger en tijdstip. Daarmee zie je hoe Microsoft 365 het bericht heeft verwerkt. Bij externe aflevering betekent een succesvolle overdracht nog niet dat de ontvanger het bericht in zijn inbox heeft gekregen. Meer uitleg staat in de Microsoft-documentatie over berichttracering.

SPF, DKIM en DMARC: wat regelen ze?

  • SPF vermeldt welke maildiensten voor een domein mogen verzenden.
  • DKIM voegt een digitale handtekening toe. De ontvanger kan daarmee controleren of de ondertekende onderdelen onderweg zijn gewijzigd en welk domein heeft ondertekend.
  • DMARC controleert of een geslaagde SPF- of DKIM-controle ook aansluit bij het zichtbare afzenderdomein. Daarnaast publiceer je een beleid voor berichten die niet slagen.

Je hoeft deze techniek niet dagelijks te beheren, maar de drie instellingen moeten wel bij je werkelijke verzendroutes passen. Denk behalve aan Outlook ook aan je facturatiepakket, nieuwsbriefsoftware en website.

Stap 2: de DKIM-selectors in Microsoft 365 opvragen

Microsoft 365 gebruikt twee CNAME-records voor DKIM. Kopieer de doelwaarden uit jouw organisatie; bouw ze niet zelf na op basis van een voorbeeld.

  1. Open DKIM in Microsoft Defender met een zakelijk beheerdersaccount met passende rechten.
  2. Selecteer je eigen verzenddomein, niet zomaar het onmicrosoft.com-domein.
  3. Zijn er nog geen sleutels? Gebruik de optie om DKIM-sleutels aan te maken. Bij inschakelen kan Microsoft eerst melden dat CNAME-records ontbreken.
  4. Open de domeindetails en kopieer beide waarden bij Publish CNAMEs.
  5. Voeg bij je DNS-beheerder de CNAME-records selector1._domainkey en selector2._domainkey toe, elk met de bijbehorende Microsoft-doelwaarde.
  6. Controleer of je DNS-paneel je domeinnaam automatisch achter de recordnaam zet. Voorkom een dubbel domein.
  7. Wacht tot Microsoft de records herkent en schakel DKIM-ondertekening in. Controleer de status; alleen DNS toevoegen is niet genoeg.

De menunamen kunnen per taal verschillen. Volg bij afwijkingen de actuele Microsoft-instructie.

Een beheerder kan na verbinding met Exchange Online PowerShell de waarden ook opvragen:

Get-DkimSigningConfig -Identity jouwbedrijf.nl | Format-List Selector1CNAME,Selector2CNAME

Vervang het voorbeelddomein. Microsoft gebruikt verschillende doelnaamformaten; neem de volledige uitvoer over.

Schakel DKIM na de DNS-wijzigingen ook in Microsoft 365 in

Alleen de twee CNAME-records toevoegen is niet voldoende. Zodra Microsoft de records herkent, moet je de DKIM-ondertekening ook nog inschakelen.

  1. Ga terug naar de DKIM-instellingen in Microsoft Defender.
  2. Selecteer je eigen domeinnaam.
  3. Zet ‘Berichten voor dit domein ondertekenen met DKIM-handtekeningen’ op Ingeschakeld.
  4. Controleer of de status bevestigt dat berichten voor dit domein worden ondertekend.

Herkent Microsoft de records nog niet? Controleer beide CNAME-records op typefouten en probeer het na enige tijd opnieuw. Het verwerken van DNS-wijzigingen kan even duren.

Staat DKIM al ingeschakeld en is de status goed? Dan hoef je het niet opnieuw uit en aan te zetten na een DNS-, SPF- of DMARC-wijziging. Verstuur na de verwerking een nieuw testbericht en controleer bij de ontvanger of de DKIM-controle slaagt.

Stap 3: controleer het bestaande SPF-record

Zoek bij je DNS-beheer naar het TXT-record dat begint met v=spf1. Voor een domein dat uitsluitend via de gebruikelijke Microsoft 365-cloud mailt, is dit het standaardvoorbeeld:

v=spf1 include:spf.protection.outlook.com -all

Vervang je huidige record niet blind door dit voorbeeld. Andere diensten kunnen ook namens jouw domein mailen. Die moeten correct zijn meegenomen. Voeg geen tweede SPF-record toe: per domeinnaam hoort één SPF-beleid te staan. Meerdere TXT-records voor andere doeleinden zijn wel normaal.

Een SPF-controle moet ook rekening houden met de limiet van tien DNS-lookups tijdens de evaluatie. Eindeloos extra includes toevoegen kan daardoor juist fouten veroorzaken. Laat een bestaand record samenvoegen en controleren als je meerdere verzenders gebruikt. Zie ook de Microsoft-uitleg over SPF.

Verander voor dit onderzoek niet zomaar je MX-records. Die bepalen waar inkomende mail wordt afgeleverd; dit probleem gaat over uitgaande mail.

Stap 4: DMARC instellen en controleren

DMARC staat bij een eigen domein in DNS, niet in je persoonlijke Outlook-instellingen. Maak eerst een overzicht van alle systemen die mail versturen en controleer SPF en DKIM. DMARC slaagt als minstens één daarvan slaagt én aansluit bij het zichtbare afzenderdomein.

Bestaat er nog geen DMARC-record, dan kun je starten met monitoring. Voorbeeld voor het fictieve domein jouwbedrijf.nl:

Type Naam Waarde
TXT _dmarc v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl

Vervang het domein en gebruik een bestaand rapportageadres dat je beheert. Rapportages zijn technisch en kunnen veel mail opleveren; een rapportagedienst kan helpen. Voor een extern rapportagedomein kan aanvullende DNS-toestemming nodig zijn.

  • p=none: monitoring, zonder verzoek om mail op basis van DMARC te blokkeren.
  • p=quarantine: verzoek om falende berichten apart te behandelen, bijvoorbeeld als spam.
  • p=reject: verzoek om falende berichten te weigeren.

Controleer de rapporten voordat je het beleid aanscherpt. Anders kun je ook legitieme mail vanuit bijvoorbeeld je boekhoudpakket laten weigeren. Bestaat er al een strenger beleid? Verlaag dat niet zomaar en maak geen tweede DMARC-record. Volg de Microsoft-aanpak voor DMARC.

Stap 5: test de mail, niet alleen de DNS-records

DNS kan er goed uitzien terwijl een bericht via een andere route wordt verstuurd. Verstuur daarom na de wijzigingen een nieuw testbericht vanuit de Microsoft 365-mailbox waarmee je het probleem had.

  • Mail-tester.com: stuur een onschuldig testbericht naar het getoonde testadres. De uitslag helpt bij controle van authenticatie en berichtopbouw. Een hoge score garandeert geen plek in iedere inbox.
  • MXToolbox: controleer gepubliceerde DNS-records. Kies SPF, DMARC of CNAME en controleer voor DKIM beide volledige selectornamen.
  • Google Admin Toolbox Messageheader: helpt de route en vertragingen in ontvangen berichtheaders te bekijken.

Gebruik geen vertrouwelijke offerte of klantgegevens voor een externe testdienst. Ook headers kunnen e-mailadressen en andere persoonsgegevens bevatten.

Test vervolgens naar een Gmail- en Hotmail-adres waarvoor je toestemming hebt. Controleer ontvangst én spam. Laat bij een ontvangen testmail de authenticatieresultaten bekijken: idealiter slagen SPF, DKIM en DMARC. Blijft mail uit, onderzoek dan met de retourmelding en berichttracering verder. Verzendbeperkingen, reputatie en filters verdwijnen niet automatisch doordat DNS klopt.

Gaat het juist om berichten uit je website? Dat is mogelijk een andere maildienst. Lees dan Contactformulier ingevuld, maar geen e-mail ontvangen. Een geslaagde Outlook-test bewijst niets over die aparte route.

Liever je Microsoft 365-mail laten controleren?

Je wilt offertes versturen, geen middag uitzoeken welke selector bij welk domein hoort. Premium Online helpt met zakelijke e-mailproblemen en technische ondersteuning. We kijken naar de foutmelding, je DNS-instellingen en de diensten die namens je bedrijf mailen.

Komt je mail niet aan bij Gmail of Hotmail? Neem contact op en vermeld je domeinnaam, de foutmelding en wanneer het probleem speelt. Stuur geen wachtwoorden mee. Dan kijken we wat er misgaat en welke instellingen moeten worden aangepast.