SPF, DKIM en DMARC instellen: zo komt je mail aan

SPF, DKIM en DMARC zijn drie records in de DNS van je domein. Een ontvangende mailserver controleert daarmee of een bericht dat van jouw domein lijkt te komen, ook echt van jou is. DMARC instellen is daarbij de laatste stap en de belangrijkste: dan zien Gmail, Outlook en Yahoo het verschil tussen jouw factuur en de kopie van een oplichter. Sla je het over, dan is juist jouw eigen mail degene die verdacht oogt.

• SPF (Sender Policy Framework) is de lijst met servers en diensten die namens je domein mogen mailen.
• DKIM (DomainKeys Identified Mail) zet een digitale handtekening onder elk bericht. Die bewijst dat het van jouw domein komt en onderweg niet is aangepast.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) controleert of SPF of DKIM is geslaagd voor het domein in het zichtbare Van-adres, vertelt ontvangers wat ze moeten doen als dat niet zo is, en stuurt je rapporten.

Het sleutelwoord is alignment: de domeinen moeten op elkaar aansluiten. SPF controleert het verborgen envelopadres waar bounces naartoe gaan, DKIM het domein dat het bericht heeft ondertekend. Een nieuwsbrieftool kan voor allebei slagen met zijn eigen domein, terwijl jouw naam in de Van-regel staat. DMARC slaagt pas als minstens een van de twee is geslaagd voor jouw domein, of voor een subdomein ervan.

Jarenlang waren deze records vooral een kwestie van netjes werken. Sinds februari 2024 zijn ze het toegangskaartje bij de grote mailproviders voor consumenten, en sinds 2025 wordt dat gehandhaafd met weigeringen, niet alleen met waarschuwingen.

Deze regels beschermen privémailboxen: Google zegt dat zijn eisen gelden voor mail aan persoonlijke Gmail-accounts. Zakelijke mailboxen bij Microsoft 365 of Google Workspace volgen de instellingen van hun eigen beheerder, en Microsoft 365 kan jouw DMARC-beleid ook toepassen op binnenkomende mail.

Verstuur je minder dan 5.000 berichten per dag, dan ben je in de praktijk niet vrijgesteld. Een bericht zonder SPF en zonder DKIM voldoet al niet aan de regel die Gmail aan elke verzender stelt. En een domein zonder DMARC is makkelijk te vervalsen: criminelen sturen nepfacturen uit jouw naam, en de klachten schaden jouw reputatie, niet die van hen.

De Nederlandse overheid heeft deze standaarden voor zichzelf verplicht gesteld. DMARC, DKIM en SPF staan op de "pas toe of leg uit"-lijst van Forum Standaardisatie, en overheden hebben afgesproken op al hun domeinen een streng beleid te voeren: quarantine of reject voor DMARC, ~all of -all voor SPF. Die verplichting geldt voor de overheid en haar inkoop, niet voor bedrijven. Het is wel een bruikbare maatstaf, en internet.nl, de test van het Platform Internetstandaarden, hanteert dezelfde.

Valt je bedrijf onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2? Dan moet je ook passende maatregelen nemen tegen je cyberrisico's. E-mailspoofing is een van de meest voorkomende, dus deze drie records horen bij dat werk. In onze gids over de Cyberbeveiligingswet (NIS2) lees je of je bedrijf eronder valt.

Elk record is een regel tekst met een vast begin en een paar tags. Hieronder staan de drie records van een verzonnen bedrijf op example.com, met mailboxen bij Google Workspace en een webserver die de mail van het contactformulier verstuurt.

Microsoft 365 (voorheen Office 365) werkt anders. Daar plak je geen sleutel, maar maak je twee CNAME-records aan, selector1._domainkey en selector2._domainkey, die verwijzen naar sleutels die Microsoft voor je bewaart en vervangt. Het doel ziet eruit als selector1-example-com._domainkey.jouwtenant.n-v1.dkim.mail.microsoft, maar de precieze waarden verschillen per tenant. Kopieer ze dus uit de Defender-portal, nooit uit een voorbeeld.

De volgorde is belangrijk. Zoek eerst uit wie er allemaal namens jou mailt, zorg dan dat elk van die diensten slaagt voor SPF of DKIM, en publiceer pas daarna DMARC.

1. 1

   Zet elke dienst op een rij die namens jouw domein mailt

   Je mailprovider, de nieuwsbrieftool, het facturatie- of boekhoudpakket, de webshop, het contactformulier van je website, het CRM, de telefooncentrale die voicemail doormailt. Vraag het je collega's: de vergeten diensten zijn precies de diensten die straks misgaan.

2. 2

   Schrijf één SPF-record

   Voeg de include van elke dienst samen in één TXT-record op je domein. Diensten die met hun eigen envelopdomein versturen, zoals veel nieuwsbrieftools, hebben DKIM nodig in plaats van een include. Tel de lookups en blijf onder de tien.

3. 3

   Zet DKIM aan bij elke dienst

   In Microsoft 365 of Google Workspace, en in elke tool die "domeinauthenticatie" aanbiedt. Elke dienst geeft je records om te publiceren: voeg ze toe, wacht tot ze zichtbaar zijn en zet dan het ondertekenen aan.

4. 4

   Publiceer DMARC met p=none

   Voeg het TXT-record op _dmarc toe, met een rua-adres dat je echt leest. Aan de aflevering verandert nog niets; de eerste rapporten komen meestal binnen een of twee dagen.

5. 5

   Test en lees de rapporten

   Controleer je domein op internet.nl en stuur een testbericht naar een Gmail-adres. Lees daarna een paar weken de rapporten voordat je het beleid aanscherpt.

Een beleid van p=none beschermt niemand: het rapporteert alleen. De bescherming begint bij quarantine en is compleet bij reject, als ontvangers mail weigeren die zich voordoet als mail van jou. Je komt daar door de rapporten te lezen tot elke legitieme afzender slaagt.

Zoek in de rapporten naar drie soorten regels. Eigen diensten die falen: los die op voordat je verdergaat. Onbekende servers die falen: dat is spoofing, en die houdt je beleid straks tegen. Mailinglijsten en doorgestuurde mail die falen: normaal, want doorsturen breekt SPF, terwijl DKIM het meestal overleeft als het bericht niet wordt aangepast.

Oudere handleidingen raden aan om in stapjes te gaan met pct=, dat het beleid op een percentage van de mail die niet slaagt toepast. De oorspronkelijke DMARC-standaard (RFC 7489) stond dat toe, en Microsoft beschrijft nog stappen van pct=10 tot pct=100. De nieuwe DMARC-standaard, RFC 9989 van mei 2026, heeft pct geschrapt en een eenvoudigere testvlag toegevoegd, t=y. Ontvangers hebben tijd nodig om bij te benen, dus voor een mkb-bedrijf is de simpele route het veiligst: none, dan quarantine, dan reject, elk zo lang als de rapporten nodig hebben.

Test van buitenaf, zoals een ontvangende server je ziet.

• internet.nl (opent in een nieuw tabblad): vul je domein in bij de e-mailtest. Die controleert DMARC, DKIM en SPF en vindt quarantine of reject (DMARC) en ~all of -all (SPF) streng genoeg.
• De headers van een bericht: stuur een mail naar een Gmail-adres, open hem en kies Origineel weergeven. Gmail toont SPF, DKIM en DMARC met PASS of FAIL. Zoek in andere mailprogramma's naar de regel Authentication-Results: je wilt spf=pass, dkim=pass en dmarc=pass zien, met jouw domein achter header.d en header.from.
• De DMARC-rapporten: na een dag of twee ontvangt je rua-mailbox gezipte XML-bestanden van Google, Microsoft en anderen. Elke regel is een verzendende server met het aantal berichten en de uitkomst.

De fouten die het vaakst voorkomen:

• Meer dan tien lookups. Elke dienst brengt een include mee, en sommige includes verbergen er nog drie of vier. SPF geeft dan een permerror voor al je mail. Schrap diensten die je niet meer gebruikt, of zet een nieuwsbrieftool op een subdomein met een eigen record.
• Twee SPF-records. Een nieuwe tool zegt "voeg dit SPF-record toe" en iemand zet het naast het oude. Voeg ze samen tot één.
• Een vergeten nieuwsbrief- of facturatietool. Die mailde jarenlang prima en belandt in de spam in de week dat je naar quarantine gaat. Daar zijn de weken op p=none voor.
• DKIM gepubliceerd maar nooit aangezet. De records staan in de DNS, maar niemand heeft het ondertekenen gestart in Microsoft 365 of Google Workspace. Dan leunt DMARC alleen op SPF en faalt het zodra een bericht wordt doorgestuurd.
• Een rua-adres op een ander domein. Gaan de rapporten naar een mailbox op een ander domein, dan moet dat domein een toestemmingsrecord publiceren (example.com._report._dmarc.anderdomein.nl), anders sturen ontvangers niets. Rapportagediensten regelen dat voor je; bij een eigen tweede domein doe je het zelf.

Laat je het liever door iemand controleren? Een securityscan van Beveilig, vanaf €495, controleert je website, domein en e-mail op bekende zwakke plekken en eindigt in een rapport in gewone taal. SPF, DKIM en DMARC instellen hoort bij ons hardeningwerk, en doorlopende controles, vanaf €75 per maand, signaleren nieuwe zwakke plekken vroeg. Of stel ons eerst een vraag over je domein.