SPF, DKIM en DMARC uitgelegd: zo voorkom je dat iemand mailt uit jouw naam
5 min lezen · Bijgewerkt op 19 oktober 2026
Zonder de juiste DNS-records kan iedereen een mail sturen die van jouw domein lijkt te komen. Oplichters gebruiken dat voor nepfacturen en phishing uit jouw naam. Vier records voorkomen dat.
Wat doen ze?
- SPF: een lijst van de diensten die namens je domein mogen mailen, bijvoorbeeld Microsoft 365 en je nieuwsbriefdienst.
- DKIM: een digitale handtekening op elke uitgaande mail, zodat de ontvanger ziet dat de mail echt van jou komt en onderweg niet is veranderd.
- DMARC: jouw instructie aan ontvangers wat ze moeten doen met mail die niet door SPF of DKIM komt (niets, in quarantaine of weigeren), plus rapporten over wie er namens je mailt.
- MTA-STS en TLS-RPT: zorgen dat mail naar jou altijd versleuteld wordt afgeleverd, en dat je bericht krijgt als dat misgaat.
In deze volgorde
- Maak een lijst van alle diensten die namens je domein mailen: je mailbox, de boekhouding, de nieuwsbrief, de website.
- Zet één SPF-record met al die diensten, afgesloten met -all of tijdelijk ~all.
- Zet DKIM aan bij elke dienst die mailt. Bij Microsoft 365 doe je dat in de Defender-portal.
- Zet DMARC eerst op p=none met een rapportadres, en kijk een paar weken mee wie er namens je mailt.
- Klopt alles, ga dan naar p=quarantine en daarna naar p=reject.
- Optioneel: MTA-STS en TLS-RPT voor versleutelde aflevering.
Controleren
Met de gratis security-check op deze site zie je in een paar seconden of SPF, DKIM, DMARC en MTA-STS goed staan, samen met DNSSEC en de beveiliging van je website.
Veelgemaakte fouten
- Twee SPF-records: dan werkt SPF helemaal niet. Voeg ze samen.
- Te lang op p=none blijven staan: je krijgt rapporten, maar valse mail komt nog steeds aan.
- Een nieuwe dienst die mailt (een webshop, een enquêtetool) vergeten in SPF en DKIM, waardoor die mail na p=reject niet meer aankomt.