Wat zijn SPF, DKIM en DMARC? E-mailbeveiliging simpel uitgelegd
SPF, DKIM en DMARC zijn drie DNS-instellingen die samen bewijzen dat e-mail van jouw domein echt van jou komt. SPF somt op welke servers namens je domein mogen mailen, DKIM zet een digitale handtekening onder elk bericht, en DMARC vertelt ontvangers wat ze moeten doen met mail die die checks niet doorstaat. Zonder deze drie belandt je mail sneller in spam én kan iedereen zich per mail als jouw bedrijf voordoen.
Waarom dit je aangaat (ook zonder technische interesse)
- Bezorging: Google en Microsoft eisen deze instellingen in de praktijk; zonder correcte SPF/DKIM/DMARC wordt zakelijke mail steeds vaker geweigerd of als spam gemarkeerd.
- Bescherming tegen spoofing: criminelen sturen facturen ‘namens’ jouw domein naar je klanten. Met DMARC op streng beleid wordt zulke nepmail bij de ontvanger geweigerd.
- Vertrouwen: een domein zonder DMARC is voor fraudeurs laaghangend fruit — en dat is zichtbaar te controleren.
De drie in gewone taal
- SPF — de gastenlijst: ‘alleen déze servers mogen mail sturen namens mijnbedrijf.nl’. Vergeet je je nieuwsbriefdienst of boekhoudpakket op de lijst te zetten, dan belandt juist die mail in spam.
- DKIM — het waszegel: een cryptografische handtekening per mail. Klopt het zegel niet, dan is er onderweg mee geknoeid of komt de mail ergens anders vandaan.
- DMARC — het beleid: wat moet een ontvanger doen bij een mail die SPF en DKIM niet doorstaat? Niets (none), in spam (quarantine) of weigeren (reject). Plus rapportages, zodat je ziet wie er namens jouw domein probeert te mailen.
Hoe weet je of het goed staat?
Check je domein met een gratis tool als internet.nl — die toont direct of SPF, DKIM en DMARC aanwezig en correct zijn. Veelvoorkomende gebreken: DMARC op ‘none’ (meet wel, beschermt niet), een SPF-record dat diensten mist, of DKIM dat nooit is aangezet. Het instellen gebeurt in de DNS van je domein en luistert nauw — één typfout en legitieme mail komt niet meer aan. Voor onze hosting- en e-mailklanten zetten we dit standaard correct en streng in.
Veelgestelde vragen
Mijn mail belandt in spam — ligt dat aan SPF of DKIM?
Vaak wel, zeker als het structureel bij Gmail- of Outlook-ontvangers gebeurt. Controleer je domein op internet.nl; ontbrekende of foute records zijn de meest voorkomende oorzaak bij zakelijke afzenders.
Wat merken mijn klanten van DMARC?
Niets — behalve dat nepmail uit jouw naam ze niet meer bereikt. DMARC werkt volledig achter de schermen tussen mailservers.
Ik gebruik Microsoft 365 — is dit dan al geregeld?
Deels. Microsoft levert de techniek, maar de DNS-records voor jouw domein moeten zelf (goed) ingesteld worden, en DMARC staat nooit automatisch op streng. Een check duurt twee minuten en loont vrijwel altijd.