Post die tegengehouden wordt

Op sommige servers staat er een extra machine vóór de mailserver: een mailgateway. Alle post voor jouw domein komt daar eerst binnen, wordt daar gecontroleerd, en gaat pas daarna door naar je mailbox. Wat er verdacht uitziet gaat niet door — het blijft op de gateway staan, in de quarantaine.

Deze pagina gaat over die quarantaine: hoe je ziet wat er vastgehouden wordt, en hoe je een bericht alsnog binnenhaalt.

Waar je het vindt — Paneel → Hosting → Accounts → jouw account → E-mail → Quarantaine. Staat dat tabblad er niet, dan zit er geen mailgateway voor jouw server. Dan filtert de mailserver zelf en hoort ongewenste post in de map Ongewenst — zie Spam tegenhouden.

Wat je ziet

Eén regel per bericht dat de gateway vasthoudt, het nieuwste bovenaan:

Standaard zie je de laatste zeven dagen. Met het menu rechtsboven de tabel kies je één dag of dertig dagen, en met het zoekveld filter je op afzender, ontvanger of onderwerp.

Je ziet alleen post voor je eigen domeinen. Wat de gateway voor een andere klant vasthoudt is voor jou niet zichtbaar en niet op te vragen.

Een bericht alsnog binnenhalen

1. Klik op de regel. Rechts schuift een paneel open met alle gegevens.
2. Klik op Alsnog bezorgen.

Het bericht wordt afgeleverd in de mailbox waarvoor het bedoeld was, precies zoals het bedoeld was. Het staat er binnen een paar seconden in.

Krijg je van deze afzender vaker post die blijft hangen? Vrijgeven doet alleen iets voor dít bericht. Zet de afzender op de doorlaatlijst van de mailbox — E-mail → klik de mailbox → tabblad Spam → Altijd toelaten — dan komt hij voortaan meteen door. Staat er een mailgateway voor je server, dan zet het paneel die regel op allebei de plekken tegelijk: op de mailserver én op de gateway.

Eén pagina, twee soorten regels

Sinds deze ronde staat álles wat is tegengehouden of gemarkeerd op één pagina, ook als er géén mailgateway voor je server staat. De badge in de kolom Bron zegt waar het bericht ligt, en dat bepaalt wat je ermee kunt:

Staat er voor geen enkel domein een gateway, dan zie je bovenaan een uitleg in plaats van een foutmelding — er is niets kapot, er is alleen niets om vrij te geven. Heb je allebei de soorten (bijvoorbeeld één domein achter de gateway en één niet), dan zegt de uitleg hoeveel domeinen aan welke kant staan.

Twee schakelaars, en wie ze zet

De gateway heeft twee losse schakelaars, en ze staan los van elkaar:

• Inkomende post filteren — de wereld levert af bij de gateway, die filtert en geeft de post aan de server door. De MX van je domein wijst dan naar de gateway.
• Uitgaande post via de gateway — jouw post verlaat de server via de gateway in plaats van rechtstreeks. Handig als je een schoon verzendadres wilt; je hoeft er zelf niets voor in te stellen.

Ze worden gezet op drie hoogtes — servergroep, server of jouw account — en de meest specifieke keuze wint. Staat de schakelaar aan voor de hele groep maar uit voor jouw account, dan geldt "uit". Andersom ook: jouw account kan aan staan terwijl de groep uit staat. Op de pagina zie je met een label of de keuze hier is gemaakt of overgenomen van een niveau erboven.

Het beheer van de gateways zelf — het adres, het wachtwoord, de machines — is voorbehouden aan de beheerder van het platform. Wat jij ziet en instelt is of jouw post erlangs gaat.

Een bericht weggooien

In hetzelfde paneel staat Bericht verwijderen. Het paneel vraagt eerst om een bevestiging, want dit kan niet ongedaan gemaakt worden: het bericht is daarna weg van de gateway en kan niet meer bezorgd worden.

Je hoeft niets weg te gooien. Wat je laat staan verdwijnt vanzelf zodra de bewaartermijn van de gateway om is.

Net aangezet, en de post wordt nog even geweigerd

Zet je de mailgateway aan voor een domein, dan schrijft het paneel dat domein meteen naar de gateway — maar de gateway zelf heeft een paar minuten nodig voordat hij post voor die naam ook echt aanneemt. Gemeten op onze eigen gateway: geweigerd op het moment van aanzetten en nog een minuut of drie daarna, geaccepteerd rond de vijf minuten.

Wat je in die minuten kunt zien, is een afzender die een foutmelding terugkrijgt in de trant van relay access denied of user unknown in relay recipient table. Dat is geen instelling die verkeerd staat en het lost zichzelf op.

Dus: zet de gateway aan, wacht vijf minuten, en test dan pas met een echt bericht. Blijft het na een kwartier misgaan, kijk dan bij Als er iets niet klopt hieronder.

Wat er verandert aan je DNS

Staat er een gateway voor je server, dan wijst de MX van je domein naar de gateway in plaats van naar de mailserver zelf. Dat is precies de bedoeling: zo komt de post daar eerst binnen. Hosten wij je DNS, dan is dat al geregeld en hoef je niets te doen.

Regel je je DNS ergens anders, kijk dan bij E-mail → DNS-records welke records er nu horen te staan. De MX is dan de naam van de gateway; mail.<jouw domein> blijft naar de mailserver wijzen, want dáár meldt je e-mailprogramma zich aan om post op te halen en te versturen. Dat verandert dus niet.

Zelf controleren waar je post binnenkomt

Wil je met eigen ogen zien dat de post eerst langs de gateway gaat, vraag dan de MX van je domein op. Dat kan vanaf elke computer:

dig +short MX jouwdomein.nl

10 pmg.corecp.dev.

Staat daar de naam van de gateway, dan klopt het. Ter vergelijking: de naam waarop je e-mailprogramma zich aanmeldt wijst nog steeds naar de mailserver zelf, en dat hoort ook zo:

dig +short CNAME mail.jouwdomein.nl

stck1.corecp.dev.

Als er iets niet klopt

Is de verbinding met de gateway wel echt die gateway?

Kort antwoord: ja, en dat wordt bij élke verbinding opnieuw gecontroleerd.

Een mailgateway heeft meestal een eigen, zelfondertekend certificaat. Daar kan je computer niets mee, want het staat in geen enkele lijst van vertrouwde uitgevers. Daarom werkt het paneel met een vingerafdruk: je beheerder legt één keer vast welk certificaat de gateway hoort te tonen, en het paneel praat met niets anders.

Dat klinkt eenvoudiger dan het is. Een beveiligde verbinding mag namelijk "hervat" worden — de tweede keer dat twee machines elkaar spreken, slaan ze de kennismaking over omdat ze elkaar al kenden. Bij zo'n hervatting werd de vingerafdruk vroeger niet opnieuw bekeken. Dat is opgelost: de controle zit nu óók op het hervatte gesprek, dus ook de tweede, tiende en honderdste verbinding kijkt of het nog steeds dezelfde gateway is.

Je merkt hier niets van als alles klopt. Klopt het níet, dan zie je het meteen:

1. Ga naar E-mail → Gateway.
2. Klik op Verbinding testen.

Heeft de gateway inmiddels een echt, door een uitgever ondertekend certificaat, dan mag het veld met de vingerafdruk leeg blijven — dan geldt de gewone controle.

Waar het gatewayformulier staat

Sinds augustus 2026 staat het beheer van gateways op één plek met alle andere koppelingen van het platform: Instellingen → Koppelingen. De kaart Mailgateways toont per gateway zijn status, uit welke machines hij bestaat en wanneer er voor het laatst is gesynchroniseerd; de knop Gateways beheren opent het formulier waar je er een toevoegt of wijzigt.

Het oude adres blijft werken. Wie /mail/gateway in zijn bladwijzers heeft, komt gewoon op het formulier uit — inclusief de servergroep die in die bladwijzer stond.

Wat níet is verhuisd, zijn de schakelaars inkomend filteren en uitgaand via de gateway. Die staan waar het object staat: op de pagina van de server, op de pagina van het account en op de mailpagina van dat account. Eén schakelaar op één plek — zie hierboven.

Meer over de andere koppelingen (Cloudflare, Telegram, de certificaatautoriteiten en de add-ons per server) staat in Koppelingen.