Mail-beveiliging: SPF, DKIM en DMARC
Kort antwoord
SPF, DKIM en DMARC zijn drie DNS-records die samen bepalen wie er mail mag versturen die lijkt te komen van jouw domein, en wat een ontvangende mailserver moet doen met mail die dat niet doet. Ontbreken ze, dan kan een crimineel moeiteloos een mail versturen die eruitziet als 'factuur@jouwbedrijf.nl' — ook al heeft hij nooit toegang tot jouw systemen gehad. Check het met de tool hieronder; het kost een paar seconden.
Voor een klant of leverancier is een mail van 'jouwbedrijf.nl' vertrouwd — en dat vertrouwen is precies wat een crimineel wil lenen. Zonder de juiste records op je maildomein kan iemand van buitenaf een mail versturen die in de inbox van je klant verschijnt als afkomstig van jou, compleet met je logo en huisstijl als die in de mail wordt nagemaakt. Dat heet spoofing, en het raakt niet alleen de ontvanger — het raakt jouw naam.
SPF (Sender Policy Framework) is een lijst in je DNS van welke mailservers namens jouw domein mogen versturen. Staat een server er niet op, dan mag de ontvangende mailserver de mail als verdacht behandelen.
DKIM (DomainKeys Identified Mail) zet een digitale handtekening onder uitgaande mail, zodat de ontvanger kan controleren of de inhoud onderweg niet is aangepast en daadwerkelijk van jouw server komt.
DMARC (Domain-based Message Authentication, Reporting and Conformance) vertelt de ontvangende mailserver wat die moet doen als een mail niet door de SPF- of DKIM-check komt — negeren, naar spam verplaatsen, of weigeren — en stuurt jou rapporten over wie er mail namens jouw domein verstuurt.
Samen maken ze het voor een crimineel aanzienlijk moeilijker om geloofwaardige phishingmail te versturen die eruitziet als die van jouw bedrijf, en voor mailproviders makkelijker om jouw eigen mail wél betrouwbaar te laten aankomen in plaats van in de spamfolder.
Een beveiligd maildomein helpt niet tegen elke variant: bij CEO-fraude en nagemaakte stemmen gebruikt de aanvaller vaak een bijna-gelijk domein of telefoon/video in plaats van jouw echte domein te spoofen. Zie /oplichting/ceo-fraude-deepfake/ voor die aanpak, en zorg voor een tweede-goedkeuring-procedure bij elke ongewone overboeking.
Bronnen
Bijgewerkt 7 november 2026.
Veelgestelde vragen
We versturen zelf nooit mail vanaf ons domein voor marketing, alleen met Gmail/Outlook. Is dit dan nog relevant?
Juist dan: als niemand verwacht dat jouw domein mail verstuurt via andere diensten, kun je DMARC strenger instellen, en wordt het voor een crimineel nog lastiger om mail namens jou te versturen.
Kan dit ook gewoon fout staan zonder dat we het merken?
Ja — dit zijn DNS-instellingen, niet iets dat in je mailprogramma zichtbaar is. De meeste bedrijven die het niet goed hebben staan, weten dat simpelweg niet. De checktool hierboven laat het direct zien.
We hebben hier geen tijd of kennis voor. Wat nu?
Dit is DNS-werk bij je domeinregistrar of hoster — in een paar records goed te zetten als je weet waar je moet kijken. Wil je dat iemand het voor je regelt, dan doet domeinopmaat.nl dat.
Is dit hetzelfde als een virusscanner op de mailserver?
Nee. SPF/DKIM/DMARC gaan over wie er namens jouw domein mag versturen en hoe ontvangers dat controleren — niet over het scannen van bijlagen of inhoud. Beide zijn nuttig, maar lossen een ander probleem op.