SPF, DKIM en DMARC uitgelegd: bescherm je e-maildomein

Een mail die van je eigen directeur lijkt te komen, of een factuur die afkomstig lijkt van je bedrijf, maar door een crimineel is verstuurd. Het vervalsen van de afzender, ook wel spoofing, is een van de meest gebruikte trucs bij phishing. Het goede nieuws: met drie maatregelen maak je het criminelen een stuk moeilijker om jouw domeinnaam te misbruiken. Ze heten SPF, DKIM en DMARC.

In dit artikel lees je wat ze doen, hoe ze samenwerken en waarom ze tegenwoordig eigenlijk onmisbaar zijn. Bijgewerkt in oktober 2026: Microsoft en Google weigeren inmiddels mail die niet goed is ingericht, en DMARC is officieel een internetstandaard geworden.

Waarom je domein beschermd moet worden

E-mail is ooit ontworpen zonder ingebouwde controle op de afzender. Iedereen kan in principe een mail versturen met jouw adres als afzender. Zonder extra maatregelen kan een ontvanger niet zien of een bericht echt van jouw organisatie komt.

Dat heeft twee gevolgen. Criminelen kunnen je klanten, leveranciers en medewerkers benaderen uit naam van jouw bedrijf. En je eigen, echte mail loopt een groter risico om in de spambox te belanden, omdat ontvangende mailservers minder vertrouwen hebben in domeinen die niet goed zijn ingericht.

Wat is SPF?

SPF staat voor Sender Policy Framework. Met SPF leg je in de DNS van je domein vast welke mailservers namens jou mogen mailen, zoals Microsoft 365 en bijvoorbeeld je nieuwsbriefprogramma.

Ontvangt een mailserver een bericht van jouw domein, dan controleert hij of het is verstuurd door een van die toegestane servers. Is dat niet zo, dan is dat een signaal dat er iets niet klopt.

Wat is DKIM?

DKIM staat voor DomainKeys Identified Mail. DKIM voorziet elke uitgaande mail van een digitale handtekening. Je mailserver maakt die handtekening met een geheime sleutel; de bijbehorende openbare sleutel staat in je DNS.

De ontvanger controleert met die openbare sleutel of de handtekening klopt. Zo weet hij dat de mail echt van jouw domein komt én dat de inhoud onderweg niet is aangepast. Omdat criminelen de geheime sleutel niet hebben, kunnen ze geen geldig ondertekende mail uit jouw naam versturen.

Wat is DMARC?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het is de regie boven SPF en DKIM. Met DMARC leg je vast wat een ontvanger moet doen met een mail die niet door de controles komt:

• p=none: niets doen, alleen rapporteren. Handig om mee te beginnen.
• p=quarantine: de mail in de spambox plaatsen.
• p=reject: de mail helemaal weigeren.

Met een aparte instelling voor subdomeinen (sp=) en, sinds de nieuwe standaard, voor subdomeinen die helemaal niet bestaan (np=), sluit je ook die achterdeur. Daarover hieronder meer.

Daarnaast levert DMARC rapporten op. Daarin zie je welke servers mail versturen uit naam van je domein. Zo zie je misbruik, en ook legitieme diensten die je nog niet in je SPF hebt opgenomen.

Hoe ze samenwerken

SPF controleert wie de mail verstuurt, DKIM controleert of de mail echt en ongewijzigd is, en DMARC bepaalt wat er gebeurt als het niet klopt. Alleen samen bieden ze goede bescherming. Een domein met SPF maar zonder DMARC is nog altijd relatief makkelijk te misbruiken.

Tegenwoordig eigenlijk verplicht

Grote e-mailaanbieders stellen al een paar jaar eisen, en sinds 2025 handhaven ze die ook echt:

• Google en Yahoo vragen sinds 2024 van organisaties die veel mail versturen (vanaf zo’n 5.000 berichten per dag) dat hun domein is ingericht met SPF, DKIM en DMARC. Sinds november 2025 weigert Gmail mail die daar niet aan voldoet, tijdelijk of definitief. Eerder bleef het bij waarschuwingen.
• Microsoft doet hetzelfde voor Outlook.com, Hotmail en Live: sinds 5 mei 2025 wordt bulkmail zonder geldige SPF, DKIM en DMARC geweigerd. De mail belandt dan niet in de spambox, maar komt helemaal niet aan.

Het minimum dat deze aanbieders vragen is een DMARC-record met p=none, waarbij SPF of DKIM overeenkomt met het afzenderdomein dat de ontvanger ziet. Dat is de ondergrens, niet het doel: met p=none laat je nog steeds toe dat criminelen je domein misbruiken.

Ben je geen grote verzender? Dan gelden de harde grenzen niet, maar je merkt het wel. Mail die de controles niet doorstaat, wordt ook bij kleinere afzenders sneller vertraagd, als spam gezien of geweigerd. Denk aan facturen uit je boekhoudpakket of mail vanaf je website. Het is dus voor elke organisatie verstandig om dit op orde te hebben.

Nieuw: DMARC is een officiële standaard

DMARC bestaat sinds 2015, maar was formeel nooit meer dan een informatief document. In mei 2026 heeft de IETF, de organisatie achter de internetstandaarden, de vernieuwde versie gepubliceerd als echte standaard (RFC 9989, met RFC 9990 en 9991 voor de rapporten). In de praktijk heet die versie ook wel DMARCbis.

Wat betekent dat voor jou?

• Je bestaande DMARC-record blijft gewoon werken. De werking is hetzelfde: je publiceert een beleid, de ontvanger controleert en handelt ernaar.
• pct= verdwijnt. Daarmee kon je het beleid eerst op een deel van je mail toepassen. Daarvoor in de plaats komt een testmodus (t=y): de ontvanger past dan een stap lichter beleid toe (quarantaine wordt alleen rapporteren, weigeren wordt quarantaine). Gebruik je nu pct=, dan is het verstandig om dat bij de volgende stap te vervangen.
• Nieuw: np= voor subdomeinen die niet bestaan. Criminelen versturen graag mail vanaf verzonnen subdomeinen, zoals factuur.jouwbedrijf.nl. Met np=reject geef je aan dat zulke mail altijd geweigerd mag worden.
• Het hoofddomein wordt anders bepaald. Ontvangers zoeken voortaan zelf in de DNS op welk beleid geldt, in plaats van een vaste lijst met domeinextensies te gebruiken. Voor een gewoon bedrijfsdomein verandert er niets.

Mailservers en controletools stappen de komende tijd over op de nieuwe standaard. Oude records blijven daarbij geldig, dus haast is niet nodig, maar het is een goed moment om je DMARC-instellingen na te lopen.

Zo pak je het aan

1. Breng in kaart wie namens jou mailt: Microsoft 365, maar ook je nieuwsbriefdienst, boekhoudpakket, CRM of website.
2. Stel SPF in met al die diensten erin.
3. Zet DKIM aan voor Microsoft 365 en voor andere diensten die het ondersteunen.
4. Begin met DMARC op p=none en bekijk de rapporten een paar weken.
5. Schroef het beleid op naar quarantine en uiteindelijk reject, als je zeker weet dat alle legitieme mail goed wordt herkend. Wil je voorzichtig beginnen, gebruik dan eerst de testmodus (t=y).
6. Sluit de achterdeuren: zet np=reject voor niet-bestaande subdomeinen, en een DMARC-record met p=reject op domeinen die je niet voor mail gebruikt.

Wil je snel zien hoe je domein ervoor staat? Met de gratis test op internet.nl controleer je onder meer je e-mailinstellingen. Die test wordt ook aanbevolen in de basismaatregelen van het CCV.

Checklist

• Je weet welke diensten namens je domein mailen
• SPF is ingesteld en bevat al die diensten
• DKIM staat aan voor Microsoft 365 en je andere maildiensten
• DMARC is ingesteld en je bekijkt de rapporten
• Het DMARC-beleid staat op quarantine of reject (p=none is alleen het begin)
• Je gebruikt geen pct= meer, maar zo nodig de testmodus t=y
• Niet-bestaande subdomeinen zijn afgedekt met np=reject
• Ook domeinen die je níet gebruikt voor mail, zijn beschermd tegen misbruik
• Mail uit je boekhoudpakket, CRM en website komt aan bij Gmail en Outlook.com

Voor Microsoft 365-omgevingen die wij beheren, richten we SPF, DKIM en DMARC standaard goed in. Wil je weten hoe jouw domein ervoor staat? Lees ook ons artikel over phishing herkennen, bekijk onze aanpak voor cybersecurity of neem contact met ons op.