SPF, DKIM en DMARC instellen: zo komt je zakelijke e-mail niet meer in spam

Waarom je e-mail in spam belandt (en wat de grote ontvangers eisen)

E-mail is in 1982 ontworpen zonder controle op de afzender (RFC 821). Iedereen kan een mail versturen met je adres in het Van-veld, en de ontvangende server heeft van zichzelf geen enkele manier om te zien of die mail echt van jou komt. Daar maken oplichters dankbaar gebruik van: de Fraudehelpdesk registreerde in de eerste helft van 2026 ruim vijf keer zoveel phishingmeldingen als een jaar eerder, en e-mail was in 59% van de meldingen het kanaal, tegenover 30% een jaar eerder (Fraudehelpdesk, halfjaarcijfers 2026). Waarom zo'n mail extra overtuigend is als oplichters echte klantgegevens hebben, lees je bij het datalek bij Bol en de Bijenkorf.

De grote mailontvangers hebben daarom de regels aangescherpt. Wie zich er niet aan houdt, ziet zijn mail eerst in de spammap belanden en daarna geweigerd worden. Dit zijn de eisen op dit moment:

Google voert deze regels sinds februari 2024, en is in november 2025 begonnen met het daadwerkelijk weigeren van mail die er niet aan voldoet (Google, veelgestelde vragen over de richtlijnen voor afzenders). Microsoft doet hetzelfde voor Outlook.com sinds 5 mei 2025 (Microsoft, foutcode 550 5.7.515). De grens van 5.000 mails geldt per domein en per dag, en wie hem eenmaal heeft gehaald, blijft voor Google een bulkverzender.

De meeste MKB-bedrijven halen die 5.000 niet. Toch is dit ook voor jou relevant: een domein zonder DKIM en DMARC is voor spamfilters een domein waar iedereen namens kan mailen, en dat weegt mee in elke beoordeling. De drie records zijn bovendien de goedkoopste maatregel tegen CEO-fraude en valse facturen uit je naam. Voor bedrijven die onder de Cyberbeveiligingswet (NIS2) vallen, of daaraan leveren, is het een van de eerste vragen op de checklist van de klant.

SPF, DKIM en DMARC in gewoon Nederlands

De drie records staan alle drie in de DNS van je domein, het adresboek van internet dat je beheert bij de partij waar je domeinnaam is geregistreerd. Ze doen elk iets anders, en ze werken pas echt als ze alle drie staan.

Eén begrip komt straks terug: alignment. DMARC kijkt niet alleen of SPF of DKIM slaagt, maar ook of het domein dat slaagde hetzelfde is als het domein in het Van-adres dat de ontvanger ziet. Een nieuwsbriefdienst die met zijn eigen servers en zijn eigen handtekening mailt, slaagt technisch wel, maar niet op je domein. Daarom moet je bij elke dienst die namens jou mailt DKIM voor je eigen domein inschakelen.

Hoe staat Nederland ervoor?

Beter dan een paar jaar geleden, maar de laatste stap ontbreekt bijna overal. Het CBS meet jaarlijks via internet.nl hoe bedrijven met twee of meer werkzame personen ervoor staan. In 2026 hadden negen op de tien bedrijfsdomeinen een SPF-record en ruim acht op de tien DKIM. DMARC staat op twee derde van de domeinen, maar bij twee op de drie daarvan in de vrijblijvende monitorstand.

Slechts 22,3% van de bedrijven slaagt voor de complete authenticatiecategorie van de test (een ander cijfer dan de 22,8% met strikt DMARC hierboven), tegen 17,4% in 2025 en 8,0% in 2023 (CBS, 2026). Ter vergelijking: bij de overheid, waar de drie standaarden onder ‘pas toe of leg uit’ vallen, had begin 2026 al 86% van de domeinen een strikt DMARC-beleid (Forum Standaardisatie, Meting Informatieveiligheidstandaarden begin 2026). Wereldwijd is het beeld nog schever: van 73 miljoen onderzochte domeinen had eind 2025 83,9% helemaal geen DMARC-record en stond 2,5% op reject (Red Sift, december 2025).

De boodschap: SPF en DKIM plaatsen is inmiddels normaal. Wie ook DMARC op reject zet, hoort in Nederland bij het best beveiligde kwart van de bedrijven, en dat merken je klanten aan een postvak zonder valse facturen uit je naam.

Voordat je begint: drie dingen op een rij

• Toegang tot de DNS van je domein. Meestal is dat het beheerpaneel van de partij waar je de domeinnaam hebt geregistreerd (TransIP, STRATO, Hostnet, Mijndomein, Vimexx, KPN) of Cloudflare als je dat ervoor hebt gezet. Weet je het niet? Je websitebouwer weet het meestal wel.
• Een lijst van alles wat namens je domein mailt. Niet alleen Outlook of Gmail, maar ook het boekhoudpakket dat facturen verstuurt, de nieuwsbrieftool, het CRM, de webshop, het contactformulier op de website, de scanner op kantoor. Elke vergeten verzender komt straks in spam terecht.
• Een nulmeting. Vul je domein in op internet.nl/test-mail, de gratis test van de Nederlandse overheid en de internetsector. Bewaar de uitslag, dan zie je straks het verschil. Voor je website hebben wij een vergelijkbare gratis website check.

Doe de stappen in deze volgorde. Google adviseert om 48 uur te wachten tussen het plaatsen van SPF en DKIM en het plaatsen van DMARC, zodat de wijzigingen overal zijn doorgevoerd.

Stap 1: zet een SPF-record op je domein

Na deze stap staat in je DNS één TXT-record dat alle servers noemt die namens je domein mogen mailen. Een SPF-record is één regel tekst: het begint altijd met v=spf1, noemt dan de toegestane verzenders (meestal via include:) en eindigt met wat er met de rest moet gebeuren.

Dit is het record voor een bedrijf dat uitsluitend via Microsoft 365 mailt. De waarde voor je situatie hangt af van je mailplatform:

Mail je via meerdere diensten, zet dan alle includes in hetzelfde record. Een bedrijf met Microsoft 365 en een nieuwsbriefdienst krijgt bijvoorbeeld v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all. De include van de nieuwsbriefdienst vind je in de handleiding van die dienst.

Drie regels waar het meestal misgaat

• Eén SPF-record per domein. Twee records betekent dat ontvangers ze allebei ongeldig verklaren (RFC 7208). Staat er al een record? Voeg je include daaraan toe.
• Maximaal tien DNS-opzoekingen. Elke include, a, mx en redirect telt mee, ook de includes die binnen een include zitten. Boven de tien is het hele record ongeldig. Microsoft 365 gebruikt er zelf bijvoorbeeld al een paar.
• Nooit +all. Dat betekent letterlijk dat iedereen namens jou mag mailen. Kies ~all (softfail) of -all (hardfail). Het NCSC geeft de voorkeur aan ~all, omdat een hardfail legitieme mail kan blokkeren nog voordat DKIM en DMARC zijn bekeken (NCSC). Met DMARC erbij maakt het verschil in de praktijk weinig uit.

Stap 2: schakel DKIM in bij je mailplatform

Na deze stap ondertekent je mailplatform elke uitgaande mail met een sleutel die bij je eigen domein hoort. DKIM zet je niet zelf in elkaar: het platform maakt de sleutel, je plaatst een verwijzing in je DNS en zet daarna de ondertekening aan. Dit is de stap die het vaakst wordt overgeslagen, en juist de stap waar DMARC straks op leunt.

Microsoft 365

1. Ga naar het Microsoft Defender-portaal, kies E-mail en samenwerking → Beleid en regels → Bedreigingsbeleid → Instellingen voor e-mailverificatie, tabblad DKIM.
2. Klik op je domein en op Maken van DKIM-sleutels. Microsoft toont twee CNAME-records: selector1._domainkey en selector2._domainkey. Een selector is niets meer dan de naam waaronder een sleutel in je DNS staat.
3. Plaats beide als CNAME in je DNS, met exact de waarde uit het portaal. Let op: voor domeinen die sinds mei 2025 aan Microsoft 365 zijn toegevoegd eindigt die waarde op dkim.mail.microsoft, voor oudere domeinen op onmicrosoft.com. Oude handleidingen op internet laten alleen het oude formaat zien; kopieer dus altijd uit het portaal.
4. Wacht tot de records zichtbaar zijn en zet de schakelaar Berichten voor dit domein ondertekenen met DKIM-handtekeningen aan.

De standaardsleutel is 1024 bits; via PowerShell (Rotate-DkimSigningConfig -Identity uwbedrijf.nl -KeySize 2048) maak je er 2048 bits van, de lengte die het NCSC adviseert. Volledige uitleg staat bij Microsoft Learn.

Google Workspace

1. Open de Google Beheerdersconsole en ga naar Apps → Google Workspace → Gmail → E-mail verifiëren.
2. Kies je domein, klik op Nieuw record genereren en kies een sleutel van 2048 bits als je DNS-beheerder dat ondersteunt (bijna alle Nederlandse partijen doen dat).
3. Plaats het getoonde TXT-record op host google._domainkey in je DNS.
4. Klik na maximaal 48 uur op Verificatie starten. De status verandert in ‘E-mail wordt geverifieerd met DKIM’ (Google Workspace-beheerhulp).

Nederlandse hostingpartijen

• STRATO ondertekent alle mail via smtp.strato.com al met DKIM; de twee CNAME-records (strato-dkim-0002._domainkey en strato-dkim-0003._domainkey) staan standaard in het DNS-beheer (STRATO FAQ).
• Hostnet schakelt DKIM automatisch in als je nameservers (de servers die je DNS uitleveren) bij Hostnet staan. Staan ze elders, kopieer dan de records uit Mijn Hostnet onder Diensten → je domein → E-mail → DKIM beheren (Hostnet helpdesk).
• Vimexx toont het DKIM-record (x._domainkey) in DirectAdmin onder DNS Management; kopieer het naar je DNS als die elders staat.
• TransIP en Mijndomein beschrijven DKIM in hun eigen kennisbank; zoek daar op ‘DKIM’ voor het record van je pakket.
• KPN ondertekent mail van een eigen domein met het domein kpnmail.nl, zo bevestigt een KPN-medewerker in de KPN Community. Technisch is dat DKIM, maar het is niet je domein, dus DMARC ziet het als niet uitgelijnd. Wil je naar reject, dan is een overstap naar Microsoft 365 of Google Workspace de praktische route.

Vergeet de andere verzenders op je lijst niet. Bijna elke nieuwsbriefdienst, boekhoudpakket en CRM heeft een pagina ‘eigen domein verifiëren’ of ‘DKIM instellen’ waar je een of twee CNAME-records krijgt. Doe dat voor elke dienst, anders slagen hun mails straks niet op DMARC.

Stap 3: plaats een DMARC-record in monitorstand (p=none)

Na deze stap sturen Google, Microsoft en andere ontvangers je dagelijks een rapport, zonder dat er nog iets met je mail gebeurt. Het record is een TXT-record op de host _dmarc. Maak eerst een mailbox of alias aan waar de rapporten naartoe kunnen, bijvoorbeeld dmarc@uwbedrijf.nl, en plaats dan dit record:

Meer heb je niet nodig om te beginnen. Dit zijn de onderdelen van het record:

DMARC is sinds juni 2026 een officiële internetstandaard, vastgelegd in RFC 9989, die de oude RFC 7489 vervangt (SIDN). Voor jou verandert er weinig: het record hierboven werkt onder beide versies. Alleen het onderdeel pct=, dat oude handleidingen nog gebruiken om het beleid gedeeltelijk toe te passen, is uit de standaard verdwenen.

Wil je dat de rapporten naar een ander domein gaan dan het domein waar het record op staat, bijvoorbeeld naar een rapportagedienst? Dan verwacht de ontvanger op dat andere domein een klein toestemmingsrecord: een TXT-record met de naam uwbedrijf.nl._report._dmarc en de waarde v=DMARC1;. De diensten uit stap 4 tonen het exacte record voor hun domein.

Stap 4: lees de rapporten en spoor vergeten verzenders op

Na deze stap weet je precies welke servers namens je domein mailen en welke daarvan SPF en DKIM doorstaan. De rapporten komen als XML-bijlagen binnen, en die zijn met het blote oog niet te lezen. Laat een gratis dienst ze voor je vertalen naar een overzicht per verzender:

Een veelgenoemde dienst die je vanuit Nederland niet kunt gebruiken: de website van dmarcian toont Nederlandse bezoekers sinds februari 2024 alleen een melding dat de dienst hier op grond van een rechterlijke uitspraak niet beschikbaar is. Kies een van de drie hierboven.

Lees de rapporten minimaal vier weken. In die periode komen ook de maandelijkse verzenders voorbij: de factuurrun, de nieuwsbrief, het jaarlijkse herinneringsmailtje van de scanner. Voor elke bron die je herkent maar die faalt, ga je terug naar stap 1 (include toevoegen) of stap 2 (DKIM inschakelen). Voor bronnen die je niet herkent hoef je niets te doen: dat zijn de vervalsingen die je straks met reject buiten de deur houdt.

Stap 5: zet het beleid stap voor stap op quarantine en reject

Na deze stap verdwijnen vervalsingen uit je naam in de spammap van de ontvanger of worden ze helemaal geweigerd. Doe dat in twee stappen, want een te vroege reject blokkeert je eigen mail net zo hard als die van oplichters.

1. Alle bekende verzenders slagen in de rapporten? Zet p=none om in p=quarantine. Vervalsingen belanden nu in de spammap. Blijf de rapporten lezen.
2. Twee tot vier weken later nog steeds schoon? Zet p=reject. Dit is het eindpunt dat het NCSC adviseert en dat Microsoft en Google als doel beschrijven.

Heb je subdomeinen die mailen, zoals nieuws.uwbedrijf.nl? Die erven het beleid van het hoofddomein, tenzij je met sp= iets anders opgeeft. Heb je domeinnamen die helemaal niet mailen, bijvoorbeeld de .com-variant van je naam of een oud merk? Beveilig die ook, want oplichters kiezen juist die domeinen. Twee records volstaan: een SPF-record v=spf1 -all en een DMARC-record v=DMARC1; p=reject;. Zowel het NCSC als het Forum Standaardisatie adviseert dit uitdrukkelijk voor domeinen waarvan niet wordt gemaild.

Controleren of alles klopt

Als alles goed staat, zie je drie dingen. Op internet.nl kleurt het onderdeel ‘DMARC, DKIM en SPF’ groen. In de DMARC-rapporten slaagt vrijwel 100% van de mail van je eigen bronnen. En een testmail naar een Gmail-adres toont bij Origineel weergeven drie keer PASS: voor SPF, DKIM en DMARC.

• internet.nl/test-mail: de complete Nederlandse test, inclusief DNSSEC en STARTTLS. Vergelijk met je nulmeting.
• MXToolbox: toont je SPF-record inclusief het aantal DNS-opzoekingen, en valideert de DMARC-syntax.
• Google Check MX: controleert MX en SPF en, als je de selector invult, je DKIM-sleutel.

Veelgemaakte fouten

• Twee SPF-records

  De websitebouwer zette er een neer voor het contactformulier, jij zette er een neer voor Microsoft 365. Ontvangers verklaren nu allebei de records ongeldig. Voeg alle includes samen in één record.

• Meteen naar p=reject

  Zonder monitorfase weet je niet welke diensten namens jou mailen. De eerste die het merkt is je boekhouder, wiens facturen niet meer aankomen. Begin altijd op p=none.

• DKIM-record als TXT in plaats van CNAME

  Microsoft 365 en STRATO werken met CNAME-records; Google Workspace en Vimexx met TXT. Neem het type over uit de handleiding van het platform, niet uit een voorbeeld van een ander platform.

• Domeinnaam dubbel in de hostnaam

  Veel DNS-panelen plakken je domein automatisch achter de host. Vul dan alleen selector1._domainkey in, niet selector1._domainkey.uwbedrijf.nl. Controleer na het opslaan wat er daadwerkelijk staat.

• Vergeten verzenders

  Het contactformulier op de website, de netwerkscanner, het kassasysteem en het ticketsysteem mailen allemaal namens jou. Elke bron die niet in SPF of DKIM staat, komt met p=reject niet meer aan. De rapporten uit stap 4 zijn je vangnet.

• Ongebruikte domeinen vergeten

  Je .com, je oude handelsnaam en het domein van die ene campagne: zonder SPF en DMARC zijn ze een gratis afzender voor oplichters. Zet er v=spf1 -all en p=reject op.

Veelgestelde vragen

Bronnen

Alle eisen en cijfers in dit artikel komen uit de officiële documentatie van de mailontvangers, de standaarden zelf en Nederlandse overheidsmetingen, geraadpleegd op 28 september 2026.

• Google: richtlijnen voor e-mailafzenders
• Microsoft: Outlook.com Postmaster, beleid voor verzenders
• Yahoo: Sender Hub, best practices
• CBS: Toepassing van internetstandaarden voor websites van bedrijven, 2026
• Forum Standaardisatie: Meting Informatieveiligheidstandaarden begin 2026
• NCSC: Bescherm je domeinen tegen phishing
• Fraudehelpdesk: halfjaarcijfers 2026
• Red Sift: Guide to global DMARC adoption (december 2025)
• RFC 7208 (SPF), RFC 6376 (DKIM) en RFC 9989 (DMARC)
• Microsoft Learn: SPF, DKIM en DMARC instellen voor Microsoft 365
• Google Workspace: DMARC instellen