Ontvangers kunnen controleren dat mail van jouw domein komt

Waarom het uitmaakt

Een afspraakbevestiging of antwoord dat in de spammap belandt, kan een klant laten denken dat je niet reageert. Volgens het NCSC kan mail zonder deze standaarden door de ontvangende server als spam worden aangeduid of niet aankomen. Gmail eist sinds 1 februari 2024 dat alle verzenders naar Gmail-adressen SPF of DKIM gebruiken; wie meer dan 5.000 berichten per dag naar Gmail-adressen stuurt, moet SPF, DKIM en DMARC hebben (beleid p=none mag).

Zonder deze standaarden kan iemand mail versturen die van jouw adres lijkt te komen, bijvoorbeeld een valse factuur aan je klanten. Het NCSC geeft organisaties buiten de overheid het dringende advies SPF, DKIM en DMARC in te stellen.

Zo is het goed geregeld

• Je domein heeft precies één SPF-record (een TXT-record dat begint met v=spf1) met alle diensten die namens jou mailen, ook je boekingssysteem of nieuwsbriefdienst.
• Je uitgaande mail wordt met DKIM ondertekend; de publieke sleutel staat in DNS onder een selector, bijvoorbeeld selector._domainkey.jouwdomein.nl.
• Je domein heeft een DMARC-record op _dmarc.jouwdomein.nl; het NCSC raadt p=reject aan als beleid.
• Domeinnamen waarvandaan je geen mail verstuurt, hebben een SPF-record met -all en een DMARC-record met p=reject.

Zo controleer je het zelf

1. Doe de e-mailtest op internet.nl met je zakelijke e-mailadres; onder 'Echtheidswaarmerken tegen phishing' zie je of SPF en DMARC goed staan en hoe streng dat beleid is, en of er aanwijzingen zijn voor DKIM. Of je mail met DKIM wordt ondertekend, toetst internet.nl niet.
2. Kijk in de DNS-instellingen bij je hoster of domeinregistrar of er een TXT-record staat dat begint met v=spf1 en een TXT-record op _dmarc.jouwdomein.nl dat begint met v=DMARC1.
3. Vraag je e-mailprovider en je boekingssysteem of zij je mail voor jouw domein met DKIM ondertekenen.

Zo los je het op

1. Vraag je e-mailprovider om de SPF- en DKIM-gegevens voor je pakket en zet ze in de DNS van je domein bij je hoster of domeinregistrar.
2. Voeg diensten die namens jou mailen toe aan hetzelfde SPF-record; een tweede SPF-record maakt SPF ongeldig.
3. Begin met een DMARC-record met p=none en een rua-adres voor rapporten. Ga stapsgewijs naar quarantine of reject als de rapporten laten zien dat je eigen mail slaagt.
4. Stuur de link naar het rapport van de e-mailtest van internet.nl naar je e-mailprovider als je er zelf niet uitkomt.

Bronnen

• E-mail beveiligingsstandaardenNationaal Cyber Security Centrum (NCSC) · gecontroleerd op 2 november 2026Zonder deze standaarden kan je domein worden gespoofd en kan je mail niet aankomen of als spam worden aangeduid; je kunt dit op afstand testen via internet.nl.
• Bescherm je domeinen tegen phishingNationaal Cyber Security Centrum (NCSC) · gecontroleerd op 2 november 2026Uitleg SPF, DKIM (selector) en DMARC; verplicht voor overheid, dringend advies voor andere organisaties; p=reject aanbevolen; bescherm ook domeinen zonder mail.
• Over de e-mailtestInternet.nl (Platform Internetstandaarden) · gecontroleerd op 2 november 2026De e-mailtest toetst onder meer DMARC, DKIM en SPF; gebruik de permalink van het rapport in contact met je e-mailprovider.
• Teksten van de subtesten van Internet.nl (Nederlandse vertaalbestand, broncode Internet.nl)Internet.nl (Platform Internetstandaarden) · gecontroleerd op 2 november 2026Namen en uitleg van de subtesten: HTTPS beschikbaar, HTTPS-doorverwijzing (eerst naar https op dezelfde domeinnaam), HSTS (minstens 1 jaar), vertrouwensketen, DKIM-sleutel niet op te vragen zonder ontvangen mail, DMARC-policy.
• Email sender guidelinesGoogle (Gmail Help) · gecontroleerd op 2 november 2026Sinds 1 februari 2024: alle verzenders naar Gmail-adressen SPF of DKIM; meer dan 5.000 berichten per dag ook DMARC (p=none mag); Google raadt alle drie aan.
• Sender Best PracticesYahoo · gecontroleerd op 2 november 2026Alle verzenders minimaal SPF of DKIM; bulkverzenders SPF, DKIM en DMARC; Yahoo raadt ieder verzendend domein een DMARC-policy aan.