SPF, DKIM en DMARC instellen: zo komt uw zakelijke e-mail niet meer in spam

Waarom uw e-mail in spam belandt (en wat de grote ontvangers eisen)

E-mail is in 1982 ontworpen zonder controle op de afzender (RFC 821). Iedereen kan een mail versturen met uw adres in het Van-veld, en de ontvangende server heeft van zichzelf geen enkele manier om te zien of die mail echt van u komt. Daar maken oplichters dankbaar gebruik van: de Fraudehelpdesk registreerde in de eerste helft van 2026 ruim vijf keer zoveel phishingmeldingen als een jaar eerder, en e-mail was in 59% van de meldingen het kanaal, tegenover 30% een jaar eerder (Fraudehelpdesk, halfjaarcijfers 2026).

De grote mailontvangers hebben daarom de regels aangescherpt. Wie zich er niet aan houdt, ziet zijn mail eerst in de spammap belanden en daarna geweigerd worden. Dit zijn de eisen op dit moment:

Google voert deze regels sinds februari 2024, en is in november 2025 begonnen met het daadwerkelijk weigeren van mail die er niet aan voldoet (Google, veelgestelde vragen over de richtlijnen voor afzenders). Microsoft doet hetzelfde voor Outlook.com sinds 5 mei 2025 (Microsoft, foutcode 550 5.7.515). De grens van 5.000 mails geldt per domein en per dag, en wie hem eenmaal heeft gehaald, blijft voor Google een bulkverzender.

De meeste MKB-bedrijven halen die 5.000 niet. Toch is dit ook voor u relevant: een domein zonder DKIM en DMARC is voor spamfilters een domein waar iedereen namens kan mailen, en dat weegt mee in elke beoordeling. De drie records zijn bovendien de goedkoopste maatregel tegen CEO-fraude en valse facturen uit uw naam. Voor bedrijven die onder de Cyberbeveiligingswet (NIS2) vallen, of daaraan leveren, is het een van de eerste vragen op de checklist van de klant.

SPF, DKIM en DMARC in gewoon Nederlands

De drie records staan alle drie in de DNS van uw domein, het adresboek van internet dat u beheert bij de partij waar uw domeinnaam is geregistreerd. Ze doen elk iets anders, en ze werken pas echt als ze alle drie staan.

Eén begrip komt straks terug: alignment. DMARC kijkt niet alleen of SPF of DKIM slaagt, maar ook of het domein dat slaagde hetzelfde is als het domein in het Van-adres dat de ontvanger ziet. Een nieuwsbriefdienst die met zijn eigen servers en zijn eigen handtekening mailt, slaagt technisch wel, maar niet op uw domein. Daarom moet u bij elke dienst die namens u mailt DKIM voor uw eigen domein inschakelen.

Hoe staat Nederland ervoor?

Beter dan een paar jaar geleden, maar de laatste stap ontbreekt bijna overal. Het CBS meet jaarlijks via internet.nl hoe bedrijven met twee of meer werkzame personen ervoor staan. In 2026 hadden negen op de tien bedrijfsdomeinen een SPF-record en ruim acht op de tien DKIM. DMARC staat op twee derde van de domeinen, maar bij twee op de drie daarvan in de vrijblijvende monitorstand.

Slechts 22,3% van de bedrijven slaagt voor de complete authenticatiecategorie van de test (een ander cijfer dan de 22,8% met strikt DMARC hierboven), tegen 17,4% in 2025 en 8,0% in 2023 (CBS, 2026). Ter vergelijking: bij de overheid, waar de drie standaarden onder ‘pas toe of leg uit’ vallen, had begin 2026 al 86% van de domeinen een strikt DMARC-beleid (Forum Standaardisatie, Meting Informatieveiligheidstandaarden begin 2026). Wereldwijd is het beeld nog schever: van 73 miljoen onderzochte domeinen had eind 2025 83,9% helemaal geen DMARC-record en stond 2,5% op reject (Red Sift, december 2025).

De boodschap: SPF en DKIM plaatsen is inmiddels normaal. Wie ook DMARC op reject zet, hoort in Nederland bij het best beveiligde kwart van de bedrijven, en dat merken uw klanten aan een postvak zonder valse facturen uit uw naam.

Voordat u begint: drie dingen op een rij

• Toegang tot de DNS van uw domein. Meestal is dat het beheerpaneel van de partij waar u de domeinnaam heeft geregistreerd (TransIP, STRATO, Hostnet, Mijndomein, Vimexx, KPN) of Cloudflare als u dat ervoor heeft gezet. Weet u het niet? Uw websitebouwer weet het meestal wel.
• Een lijst van alles wat namens uw domein mailt. Niet alleen Outlook of Gmail, maar ook het boekhoudpakket dat facturen verstuurt, de nieuwsbrieftool, het CRM, de webshop, het contactformulier op de website, de scanner op kantoor. Elke vergeten verzender komt straks in spam terecht.
• Een nulmeting. Vul uw domein in op internet.nl/test-mail, de gratis test van de Nederlandse overheid en de internetsector. Bewaar de uitslag, dan ziet u straks het verschil. Voor uw website hebben wij een vergelijkbare gratis website check.

Doe de stappen in deze volgorde. Google adviseert om 48 uur te wachten tussen het plaatsen van SPF en DKIM en het plaatsen van DMARC, zodat de wijzigingen overal zijn doorgevoerd.

Stap 1: zet een SPF-record op uw domein

Na deze stap staat in uw DNS één TXT-record dat alle servers noemt die namens uw domein mogen mailen. Een SPF-record is één regel tekst: het begint altijd met v=spf1, noemt dan de toegestane verzenders (meestal via include:) en eindigt met wat er met de rest moet gebeuren.

Dit is het record voor een bedrijf dat uitsluitend via Microsoft 365 mailt. De waarde voor uw situatie hangt af van uw mailplatform:

Mailt u via meerdere diensten, zet dan alle includes in hetzelfde record. Een bedrijf met Microsoft 365 en een nieuwsbriefdienst krijgt bijvoorbeeld v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all. De include van de nieuwsbriefdienst vindt u in de handleiding van die dienst.

Drie regels waar het meestal misgaat

• Eén SPF-record per domein. Twee records betekent dat ontvangers ze allebei ongeldig verklaren (RFC 7208). Staat er al een record? Voeg uw include daaraan toe.
• Maximaal tien DNS-opzoekingen. Elke include, a, mx en redirect telt mee, ook de includes die binnen een include zitten. Boven de tien is het hele record ongeldig. Microsoft 365 gebruikt er zelf bijvoorbeeld al een paar.
• Nooit +all. Dat betekent letterlijk dat iedereen namens u mag mailen. Kies ~all (softfail) of -all (hardfail). Het NCSC geeft de voorkeur aan ~all, omdat een hardfail legitieme mail kan blokkeren nog voordat DKIM en DMARC zijn bekeken (NCSC). Met DMARC erbij maakt het verschil in de praktijk weinig uit.

Stap 2: schakel DKIM in bij uw mailplatform

Na deze stap ondertekent uw mailplatform elke uitgaande mail met een sleutel die bij uw eigen domein hoort. DKIM zet u niet zelf in elkaar: het platform maakt de sleutel, u plaatst een verwijzing in uw DNS en zet daarna de ondertekening aan. Dit is de stap die het vaakst wordt overgeslagen, en juist de stap waar DMARC straks op leunt.

Microsoft 365

1. Ga naar het Microsoft Defender-portaal, kies E-mail en samenwerking → Beleid en regels → Bedreigingsbeleid → Instellingen voor e-mailverificatie, tabblad DKIM.
2. Klik op uw domein en op Maken van DKIM-sleutels. Microsoft toont twee CNAME-records: selector1._domainkey en selector2._domainkey. Een selector is niets meer dan de naam waaronder een sleutel in uw DNS staat.
3. Plaats beide als CNAME in uw DNS, met exact de waarde uit het portaal. Let op: voor domeinen die sinds mei 2025 aan Microsoft 365 zijn toegevoegd eindigt die waarde op dkim.mail.microsoft, voor oudere domeinen op onmicrosoft.com. Oude handleidingen op internet laten alleen het oude formaat zien; kopieer dus altijd uit het portaal.
4. Wacht tot de records zichtbaar zijn en zet de schakelaar Berichten voor dit domein ondertekenen met DKIM-handtekeningen aan.

De standaardsleutel is 1024 bits; via PowerShell (Rotate-DkimSigningConfig -Identity uwbedrijf.nl -KeySize 2048) maakt u er 2048 bits van, de lengte die het NCSC adviseert. Volledige uitleg staat bij Microsoft Learn.

Google Workspace

1. Open de Google Beheerdersconsole en ga naar Apps → Google Workspace → Gmail → E-mail verifiëren.
2. Kies uw domein, klik op Nieuw record genereren en kies een sleutel van 2048 bits als uw DNS-beheerder dat ondersteunt (bijna alle Nederlandse partijen doen dat).
3. Plaats het getoonde TXT-record op host google._domainkey in uw DNS.
4. Klik na maximaal 48 uur op Verificatie starten. De status verandert in ‘E-mail wordt geverifieerd met DKIM’ (Google Workspace-beheerhulp).

Nederlandse hostingpartijen

• STRATO ondertekent alle mail via smtp.strato.com al met DKIM; de twee CNAME-records (strato-dkim-0002._domainkey en strato-dkim-0003._domainkey) staan standaard in het DNS-beheer (STRATO FAQ).
• Hostnet schakelt DKIM automatisch in als uw nameservers (de servers die uw DNS uitleveren) bij Hostnet staan. Staan ze elders, kopieer dan de records uit Mijn Hostnet onder Diensten → uw domein → E-mail → DKIM beheren (Hostnet helpdesk).
• Vimexx toont het DKIM-record (x._domainkey) in DirectAdmin onder DNS Management; kopieer het naar uw DNS als die elders staat.
• TransIP en Mijndomein beschrijven DKIM in hun eigen kennisbank; zoek daar op ‘DKIM’ voor het record van uw pakket.
• KPN ondertekent mail van een eigen domein met het domein kpnmail.nl, zo bevestigt een KPN-medewerker in de KPN Community. Technisch is dat DKIM, maar het is niet uw domein, dus DMARC ziet het als niet uitgelijnd. Wilt u naar reject, dan is een overstap naar Microsoft 365 of Google Workspace de praktische route. Wij helpen daar regelmatig bij.

Vergeet de andere verzenders op uw lijst niet. Bijna elke nieuwsbriefdienst, boekhoudpakket en CRM heeft een pagina ‘eigen domein verifiëren’ of ‘DKIM instellen’ waar u een of twee CNAME-records krijgt. Doe dat voor elke dienst, anders slagen hun mails straks niet op DMARC.

Stap 3: plaats een DMARC-record in monitorstand (p=none)

Na deze stap sturen Google, Microsoft en andere ontvangers u dagelijks een rapport, zonder dat er nog iets met uw mail gebeurt. Het record is een TXT-record op de host _dmarc. Maak eerst een mailbox of alias aan waar de rapporten naartoe kunnen, bijvoorbeeld dmarc@uwbedrijf.nl, en plaats dan dit record:

Meer heeft u niet nodig om te beginnen. Dit zijn de onderdelen van het record:

DMARC is sinds juni 2026 een officiële internetstandaard, vastgelegd in RFC 9989, die de oude RFC 7489 vervangt (SIDN). Voor u verandert er weinig: het record hierboven werkt onder beide versies. Alleen het onderdeel pct=, dat oude handleidingen nog gebruiken om het beleid gedeeltelijk toe te passen, is uit de standaard verdwenen.

Wilt u dat de rapporten naar een ander domein gaan dan het domein waar het record op staat, bijvoorbeeld naar een rapportagedienst? Dan verwacht de ontvanger op dat andere domein een klein toestemmingsrecord: een TXT-record met de naam uwbedrijf.nl._report._dmarc en de waarde v=DMARC1;. De diensten uit stap 4 tonen het exacte record voor hun domein.

Stap 4: lees de rapporten en spoor vergeten verzenders op

Na deze stap weet u precies welke servers namens uw domein mailen en welke daarvan SPF en DKIM doorstaan. De rapporten komen als XML-bijlagen binnen, en die zijn met het blote oog niet te lezen. Laat een gratis dienst ze voor u vertalen naar een overzicht per verzender:

Een veelgenoemde dienst die u vanuit Nederland niet kunt gebruiken: de website van dmarcian toont Nederlandse bezoekers sinds februari 2024 alleen een melding dat de dienst hier op grond van een rechterlijke uitspraak niet beschikbaar is. Kies een van de drie hierboven.

Lees de rapporten minimaal vier weken. In die periode komen ook de maandelijkse verzenders voorbij: de factuurrun, de nieuwsbrief, het jaarlijkse herinneringsmailtje van de scanner. Voor elke bron die u herkent maar die faalt, gaat u terug naar stap 1 (include toevoegen) of stap 2 (DKIM inschakelen). Voor bronnen die u niet herkent hoeft u niets te doen: dat zijn de vervalsingen die u straks met reject buiten de deur houdt.

Stap 5: zet het beleid stap voor stap op quarantine en reject

Na deze stap verdwijnen vervalsingen uit uw naam in de spammap van de ontvanger of worden ze helemaal geweigerd. Doe dat in twee stappen, want een te vroege reject blokkeert uw eigen mail net zo hard als die van oplichters.

1. Alle bekende verzenders slagen in de rapporten? Zet p=none om in p=quarantine. Vervalsingen belanden nu in de spammap. Blijf de rapporten lezen.
2. Twee tot vier weken later nog steeds schoon? Zet p=reject. Dit is het eindpunt dat het NCSC adviseert en dat Microsoft en Google als doel beschrijven.

Heeft u subdomeinen die mailen, zoals nieuws.uwbedrijf.nl? Die erven het beleid van het hoofddomein, tenzij u met sp= iets anders opgeeft. Heeft u domeinnamen die helemaal niet mailen, bijvoorbeeld de .com-variant van uw naam of een oud merk? Beveilig die ook, want oplichters kiezen juist die domeinen. Twee records volstaan: een SPF-record v=spf1 -all en een DMARC-record v=DMARC1; p=reject;. Zowel het NCSC als het Forum Standaardisatie adviseert dit uitdrukkelijk voor domeinen waarvan niet wordt gemaild.

Controleren of alles klopt

Als alles goed staat, ziet u drie dingen. Op internet.nl kleurt het onderdeel ‘DMARC, DKIM en SPF’ groen. In de DMARC-rapporten slaagt vrijwel 100% van de mail van uw eigen bronnen. En een testmail naar een Gmail-adres toont bij Origineel weergeven drie keer PASS: voor SPF, DKIM en DMARC.

• internet.nl/test-mail: de complete Nederlandse test, inclusief DNSSEC en STARTTLS. Vergelijk met uw nulmeting.
• MXToolbox: toont uw SPF-record inclusief het aantal DNS-opzoekingen, en valideert de DMARC-syntax.
• Google Check MX: controleert MX en SPF en, als u de selector invult, uw DKIM-sleutel.

Veelgemaakte fouten

• Twee SPF-records

  De websitebouwer zette er een neer voor het contactformulier, u zette er een neer voor Microsoft 365. Ontvangers verklaren nu allebei de records ongeldig. Voeg alle includes samen in één record.

• Meteen naar p=reject

  Zonder monitorfase weet u niet welke diensten namens u mailen. De eerste die het merkt is uw boekhouder, wiens facturen niet meer aankomen. Begin altijd op p=none.

• DKIM-record als TXT in plaats van CNAME

  Microsoft 365 en STRATO werken met CNAME-records; Google Workspace en Vimexx met TXT. Neem het type over uit de handleiding van het platform, niet uit een voorbeeld van een ander platform.

• Domeinnaam dubbel in de hostnaam

  Veel DNS-panelen plakken uw domein automatisch achter de host. Vul dan alleen selector1._domainkey in, niet selector1._domainkey.uwbedrijf.nl. Controleer na het opslaan wat er daadwerkelijk staat.

• Vergeten verzenders

  Het contactformulier op de website, de netwerkscanner, het kassasysteem en het ticketsysteem mailen allemaal namens u. Elke bron die niet in SPF of DKIM staat, komt met p=reject niet meer aan. De rapporten uit stap 4 zijn uw vangnet.

• Ongebruikte domeinen vergeten

  Uw .com, uw oude handelsnaam en het domein van die ene campagne: zonder SPF en DMARC zijn ze een gratis afzender voor oplichters. Zet er v=spf1 -all en p=reject op.

Veelgestelde vragen

Bronnen

Alle eisen en cijfers in dit artikel komen uit de officiële documentatie van de mailontvangers, de standaarden zelf en Nederlandse overheidsmetingen, geraadpleegd op 28 september 2026.

• Google: richtlijnen voor e-mailafzenders
• Microsoft: Outlook.com Postmaster, beleid voor verzenders
• Yahoo: Sender Hub, best practices
• CBS: Toepassing van internetstandaarden voor websites van bedrijven, 2026
• Forum Standaardisatie: Meting Informatieveiligheidstandaarden begin 2026
• NCSC: Bescherm je domeinen tegen phishing
• Fraudehelpdesk: halfjaarcijfers 2026
• Red Sift: Guide to global DMARC adoption (december 2025)
• RFC 7208 (SPF), RFC 6376 (DKIM) en RFC 9989 (DMARC)
• Microsoft Learn: SPF, DKIM en DMARC instellen voor Microsoft 365
• Google Workspace: DMARC instellen