Spamcheck-API voor e-mail,
inbox en domein

Snel aan de slag

Drie aanroepen. Geen sleutel, geen account, geen registratie. Twee verzoeken en één e-mail. De derde aanroep is alleen nodig omdat de analyse enkele seconden duurt.

1. Reserveer een adres

   Stuur een POST-verzoek naar het inbox-endpoint. Je krijgt een adres terug dat precies één bericht accepteert en na een uur verloopt, plus de slug waaraan al het andere is gekoppeld.

   Verzoek

   # 1. reserve a single-use address
   curl -sX POST 'https://email-spam-tester.com/api/v1/inbox?lang=en'

   Antwoord

   {
     "address": "test-<slug>@t.email-spam-tester.com",
     "slug": "<slug>",
     "expires_at": "2026-01-01T12:00:00Z"
   }

2. Stuur het echte bericht ernaartoe

   Via SMTP, vanaf het platform dat de campagne zal verzenden. De helft van de controles leest headers die je verzendplatform toevoegt, dus een handmatig opgesteld bericht meet het verkeerde.

   Verzoek

   # 2. send your message to that address, from your own platform
   To: test-<slug>@t.email-spam-tester.com

3. Poll de status en lees daarna het rapport

   Het status-endpoint is enkele honderden bytes groot en vertelt je of het volledige rapport al kan worden opgehaald. Het rapport zelf beslaat enkele duizenden regels.

   Verzoek

   # 3. poll
   curl -s 'https://email-spam-tester.com/api/v1/tests/<slug>/status'

   Antwoord

   {
     "slug": "<slug>",
     "analysis_status": "checks_ready",
     "ai_status": "running",
     "checks_done": 42,
     "checks_total": 42
   }

   Verzoek

   # 4. read the report once analysis_status is checks_ready
   curl -s 'https://email-spam-tester.com/api/v1/tests/<slug>'

   Antwoord

   {
     "report_url": "https://email-spam-tester.com/t/<slug>",
     "score_ours": 86.4,
     "score_compat": 9.2,
     "subscores": {"auth": 100.0, "infra_spam": 78.1, "content": 92.0, "compliance": 75.0},
     "complete": true,
     "checks": [
       {
         "id": "auth.dmarc",
         "status": "warn",
         "title": "DMARC result",
         "summary": "DMARC passes, but the policy is p=none.",
         "weight_ours": -4.0,
         "evidence": {"policy": "none", "aligned": "dkim"},
         "citations": {"standards": [{"title": "RFC 9989 §4.7", "quote": "..."}]}
       }
     ],
     "fixes": [
       {"id": "dmarc-enforce", "gain_ours": 4.0, "gain_compat": 0.0,
        "fix": {"title": "Move DMARC to quarantine", "severity": "medium"}}
     ]
   }

Reserveer een adres, stuur het bericht dat je naar je lijst wilde verzenden en lees het rapport. Alles wat de pagina toont, staat in de JSON, inclusief de score, alle 42 controles met het bijbehorende bewijs en de sectie van de standaard waarop elke bevinding berust.

De eerste 100.000 rapporten zijn gratis, zonder sleutel en zonder account. Als je een agent in plaats van een script integreert, is de MCP-server geschikter dan polling.

Endpoints

Basisadres https://email-spam-tester.com. Alles retourneert JSON.

Snel aan de slag

1. Maak een test

   Stuur een POST naar het plaatsingseindpunt. Je krijgt een markering en de testinboxen terug.

   Verzoek

   # 1. create a test
   curl -sX POST 'https://email-spam-tester.com/api/v1/placement' \
     -H 'Content-Type: application/json' \
     -d '{"public_results_accepted":true}'

   Antwoord

   {
     "slug": "<slug>",
     "marker": "est-3f9a1c7e2b4d6a80c5e1f2d3",
     "status": "waiting",
     "deadline": "2026-10-31T12:30:00Z",
     "poll_after_seconds": 60,
     "results": [
       {"address": "<seed>", "provider": "gmail", "kind": "Gmail",
        "placement": "pending", "observed_at": null}
     ],
     "fleet": {
       "status": "observing",
       "results": [
         {"address": "<mailbox>", "provider": "yahoo", "available": true,
          "placement": "pending", "coverage": "pending"}
       ]
     }
   }

2. Stuur één bericht naar elke inbox

   Zet de markering in het onderwerp en stuur het vanaf je normale platform in één keer naar alle adressen.

   Verzoek

   # 2. one message to every address, with the marker in the subject
   Subject: October invoice est-3f9a1c7e2b4d6a80c5e1f2d3
   To: <seed>, <mailbox>, ...

3. Vraag de mappen op

   Bij elk adres worden de provider en map ingevuld. Blijf opvragen totdat de status niet meer waiting is.

   Verzoek

   # 3. poll for the folders
   curl -s 'https://email-spam-tester.com/api/v1/placement/<slug>'

   Antwoord

   {
     "status": "complete",
     "received": 2,
     "total": 2,
     "results": [
       {"address": "<seed>", "provider": "gmail", "kind": "Gmail",
        "placement": "primary", "observed_at": "2026-10-31T12:04:11Z"},
       {"address": "<seed>", "provider": "gmail", "kind": "Google Workspace",
        "placement": "promotions", "observed_at": "2026-10-31T12:04:11Z"}
     ],
     "fleet": {
       "status": "finished",
       "results": [
         {"address": "<mailbox>", "provider": "yahoo", "available": true,
          "placement": "inbox", "coverage": "ok"},
         {"address": "<mailbox>", "provider": "outlook", "available": true,
          "placement": "spam", "coverage": "ok"}
       ]
     }
   }

Endpoints

Snel aan de slag

1. Doe één GET

   Geef het domein door. ip voegt je verzendadressen toe, en selector noemt de DKIM-selectors die moeten worden gelezen.

   Verzoek

   curl -s 'https://email-spam-tester.com/api/v1/infra/check?domain=example.com&selector=mail&diff=true'

2. Lees het oordeel

   ok is het antwoord voor een script, en sections laat zien welk onderdeel is mislukt.

   Antwoord

   {
     "id": "ir_01JB8Y4T2M6K9QZ7H3V5N1XWDA",
     "domain": "example.com",
     "checked_at": "2026-10-31T12:00:00Z",
     "ok": false,
     "status": "fail",
     "score": 78,
     "coverage": {"answered": 7, "total": 8},
     "ips": [{"ip": "203.0.113.5", "sources": ["mx", "spf"], "managed": false}],
     "sections": {
       "dkim": {"status": "pass", "core": true, "findings": [], "data": {}},
       "ptr": {"status": "fail", "core": true, "findings": [], "data": {}}
     },
     "not_checked": [
       {"check": "dkim_signature", "reason": "needs_a_message"},
       {"check": "alignment", "reason": "needs_a_message"}
     ],
     "diff": {
       "baseline": {"id": "ir_01JB2...", "checked_at": "2026-10-24T12:00:00Z"},
       "first_run": false,
       "changed": true,
       "worsened": true,
       "status_from": "pass",
       "score_from": 100,
       "changes": [
         {"path": "dkim.key.mail.sha256", "section": "dkim", "kind": "removed",
          "severity": "critical", "effect": "worsened", "from": "9f2c...", "to": null}
       ],
       "not_compared": [
         {"path": "blocklist_ip.203.0.113.5.bl.spamcop.net.listed", "reason": "lookup_failed"}
       ]
     }
   }

3. Zet het in cron

   Met diff=true wordt elke uitvoering vergeleken met je vorige, en jq zet het antwoord om in een afsluitcode.

   Verzoek

   # exits non-zero if the domain is broken or its setup changed
   curl -s 'https://email-spam-tester.com/api/v1/infra/check?domain=example.com&selector=mail&diff=true' \
     | jq -e '.ok and (.diff.changed | not)'

Het antwoord lezen

Een voltooide controle antwoordt met 200 en het oordeel staat in de body. status is de slechtste van de vereiste secties: spf, dkim, dmarc, ptr, blocklist_ip, blocklist_domain, mx en smtp. unknown in een vereiste sectie telt als warn. ok is true wanneer de status pass of warn is. score loopt van 0 tot 100 over de vereiste secties die een antwoord gaven en is null wanneer er door errors en unknowns minder dan de helft van het toepasselijke gewicht overblijft. mta_sts, tls_rpt, bimi, dnssec, dane, ns en registration worden gerapporteerd en vergeleken, maar hebben geen invloed op ok of score.

Een sectie kan pass, warn, fail, error (we konden de controle niet uitvoeren), unknown (te weinig informatie) of skipped (niet van toepassing) zijn. skipped heeft geen invloed op het resultaat en de reden staat in not_checked. dkim_signature en alignment zijn er altijd, omdat ze een echt bericht nodig hebben.

Wat ip en selector veranderen

PTR en blocklists gaan over adressen, dus een run heeft er enkele nodig. De run gebruikt de ip-waarden die je doorgeeft. Zonder waarden neemt de run er maximaal vier van je MX-hosts en uit ip4:- en ip6:-termen met één adres in het SPF-record op het hoofddomein. Adressen van een bekende mailprovider worden als managed vermeld en niet gecontroleerd, en als er niets overblijft, antwoorden ptr en blocklist_ip met skipped. Een selector kan niet uit DNS worden afgeleid, dus een run probeert die van jou, de selectors die tijdens je eerdere runs zijn gevonden en een lijst met gangbare namen. Niets vinden bewijst niets en dkim antwoordt met unknown. Als je vanaf je eigen server verstuurt, geef je beide door.

Wat is veranderd

Elke vermelding in diff.changes heeft een path, een kind (added, removed, changed), een severity (critical, warning, info) en een effect (worsened, improved, neutral). Alleen critical en warning stellen diff.changed in, zodat een geroteerde DKIM-sleutel met dezelfde lengte, een nieuw MX-adres of een vernieuwd certificaat de cronregel niet laat mislukken. diff.worsened volgt het effect van elke wijziging. Bij een eerste uitvoering is er niets om mee te vergelijken, en diff.first_run geeft dat aan.

Een baseline is altijd een run van jezelf, dus als iemand anders het domein tussen twee van je runs controleert, blijft er niets verborgen. Alles wat we deze keer niet konden uitlezen, gaat naar diff.not_compared, waarbij de laatst bekende waarde behouden blijft. Dit betekent dat een wijziging die tijdens een storing is aangebracht zichtbaar wordt zodra de lookup weer werkt. Een run met een andere ip of selector blijft in dezelfde reeks en wat die run niet opvroeg, wordt ook niet vergeleken.

Waarom een geplande controle een sleutel moet gebruiken

Zonder sleutel hoort je geschiedenis bij een hash met sleutel van je IP-adres, dus eindigt die wanneer het adres verandert en delen mensen achter hetzelfde adres die geschiedenis: de run van een collega verplaatst je baseline. Met een persoonlijke API-sleutel in Authorization: Bearer volgt de geschiedenis de sleutel. Runs met een sleutel worden 365 dagen bewaard en zijn alleen met die sleutel toegankelijk. Runs zonder sleutel worden 30 dagen bewaard en zijn toegankelijk voor iedereen die de id ervan heeft.

6 requests per minuut en 50 per dag per IP, of 30 en 500 per sleutel. Daarboven is het antwoord 429 met Retry-After. Een identiek request binnen 60 seconden komt uit een cache, wordt gemarkeerd met cached: true, maakt geen run aan en telt niet mee. Het lezen van opgeslagen runs staat 120 requests per minuut per client toe. 503 met Retry-After betekent dat er te veel controles worden uitgevoerd of, bij het lezen van opgeslagen runs, dat de opslag niet beschikbaar is. 401 betekent een onjuiste sleutel. 422 bevat detail.code: invalid_domain, invalid_ip, invalid_selector, invalid_check, invalid_since, unknown_baseline of account_required.

Endpoints

Snel aan de slag

1. Kies een controle

   Kies de tool uit de onderstaande lijst en geef het domein, het adres of het IP door waarnaar wordt gevraagd.

   Verzoek

   curl -s 'https://email-spam-tester.com/api/v1/tools/spf?domain=example.com'

2. Lees de status en bevindingen

   Elke tool antwoordt met een status en de bijbehorende bevindingen. De velden daarna zijn afhankelijk van de tool.

   Antwoord

   {
     "tool": "spf",
     "query": {"domain": "example.com"},
     "checked_at": "2026-10-31T12:00:00Z",
     "duration_ms": 412,
     "status": "fail",
     "findings": [
       {"code": "spf.too_many_lookups", "level": "fail",
        "params": {"limit": 10, "count": 12},
        "message": "RFC 7208 §4.6.4 allows at most 10 DNS lookups, and this record needs 12, so receivers return permerror."}
     ],
     "record": "v=spf1 include:_spf.example.net ~all",
     "lookups": {"count": 12, "limit": 10, "void": 0}
   }

Endpoints