SPF, DKIM en DMARC: uw e-mail stap voor stap authenticeren

Bijgewerkt op 23 september 2026

Zonder deze drie DNS-records zien berichten van uw domein er verdacht uit voor Gmail, Outlook of Yahoo, en kan iedereen zich voor u uitgeven. Zo stelt u ze in zonder iets stuk te maken.

Waarvoor de drie mechanismen dienen

Mechanisme	Wat het bewijst	Waar het staat
SPF	De verzendende server mag namens dit domein versturen	TXT-record op de basis van het domein
DKIM	Het bericht is niet gewijzigd en komt echt van het domein dat het ondertekende	TXT-record `selector._domainkey.domein`
DMARC	Wat de ontvanger moet doen als SPF en DKIM falen, en waar rapporten heen gaan	TXT-record `_dmarc.domein`

Sinds 2024 eisen Gmail en Yahoo SPF, DKIM en DMARC van bulkverzenders, en ze passen ze steeds strenger toe op iedereen. Een domein zonder authenticatie ziet zijn bezorgbaarheid dalen.

Stap 1: SPF

Het SPF-record somt de toegestane servers op. Voorbeeld voor een domein dat verstuurt via een e-mailaanbieder en een nieuwsbrieftool:

v=spf1 include:_spf.aanbieder.nl include:verzend.nieuwsbrief.nl ~all

Regels om na te leven:

één SPF-record per domein: twee v=spf1-records maken SPF ongeldig. Voeg de include-regels samen.
hoogstens tien DNS-opvragingen: elke include, a of mx telt. Daarboven faalt SPF.
**eindig eerst met ~all** (zachte fout) en later met -all, zodra u zeker weet dat alle verzenders erin staan.
een domein dat nooit e-mail verstuurt, kan v=spf1 -all publiceren: niemand kan het dan vervalsen.

Stap 2: DKIM

DKIM ondertekent elk bericht met een privésleutel; de publieke sleutel staat in de DNS. Uw verzenddienst maakt het sleutelpaar aan: die geeft u de naam van het record (bijvoorbeeld s1._domainkey.voorbeeld.nl) en de waarde, of een CNAME om aan te maken.

zet DKIM aan voor elke dienst die namens u verstuurt: mailbox, nieuwsbrief, facturatie, webshop;
kies bij voorkeur sleutels van 2048 bits;
staat het record online, zet dan het ondertekenen aan in het dashboard van de dienst, stuur uzelf een bericht en controleer de header DKIM-Signature en het resultaat dkim=pass.

Stap 3: DMARC in drie fasen

DMARC koppelt SPF en DKIM aan het domein in het veld „Van”. Begin in observatiemodus:

v=DMARC1; p=none; rua=mailto:dmarc@voorbeeld.nl

**p=none** gedurende twee tot vier weken: er wordt niets geblokkeerd, maar u ontvangt rapporten met alle servers die namens u versturen. Vaak ontdekt u zo een vergeten dienst.
**p=quarantine**: berichten die falen, gaan naar de spam. U kunt geleidelijk opschalen met pct=25, dan 50, dan 100.
**p=reject**: vervalste berichten worden geweigerd. Dat is de volledige bescherming.

De rapporten zijn moeilijk leesbare XML-bestanden: een DMARC-analysetool, voor kleine volumes vaak gratis, vat ze samen in een tabel.

Uw instellingen controleren

Vraag met onze DNS-opzoektool de TXT-records op van het domein, van _dmarc.domein en van selector._domainkey.domein. Stuur daarna een bericht naar een Gmail- of Outlook-inbox en bekijk het origineel: de regel Authentication-Results moet spf=pass, dkim=pass en dmarc=pass tonen.

De meest gemaakte fouten

Twee SPF-records na het toevoegen van een nieuwe dienst.
Meer dan tien DNS-opvragingen in SPF door include-regels op te stapelen.
DKIM aan voor de mailbox, maar vergeten voor de nieuwsbrieftool.
Meteen naar p=reject zonder observatieperiode: legitieme berichten worden geblokkeerd.
Een DMARC-record op het domein zelf in plaats van op _dmarc.domein.

Open de NetCheck-tools

Veelgestelde vragen

Is SPF genoeg zonder DKIM?

Nee. SPF breekt bij automatisch doorsturen, omdat de doorsturende server niet op uw lijst staat. DKIM overleeft het doorsturen. DMARC heeft maar één van beide nodig in lijn met uw domein, maar met beide is de authenticatie betrouwbaar.

Hoe lang duurt het voordat wijzigingen werken?

Zo lang als de TTL van de records nodig heeft om te verlopen, meestal enkele minuten tot een uur. DMARC-rapporten komen doorgaans één keer per dag.

Heb ik DMARC nodig als mijn domein geen e-mail verstuurt?

Ja: publiceer v=spf1 -all en v=DMARC1; p=reject. Oplichters zoeken juist onbeschermde domeinen om daaruit phishing te versturen.