DMARC, DKIM en SPF instellen: bescherm je bedrijfsdomein tegen misbruik
4 augustus 2026
Richt SPF, DKIM en DMARC gecontroleerd in, ontdek vergeten afzenders en voorkom dat legitieme bedrijfsmail uitvalt.
Criminelen hoeven je mailbox niet te hacken om uit naam van je bedrijf te mailen. Zonder goede domeinbeveiliging kunnen zij proberen berichten te versturen met een afzender als facturen@jouwbedrijf.nl. Voor een ontvanger lijkt zo'n bericht op het eerste gezicht echt. Dat vergroot de kans op factuurfraude, phishing en reputatieschade.
SPF, DKIM en DMARC helpen ontvangende mailservers om te beoordelen of een bericht werkelijk namens jouw domein mag worden verstuurd. De technieken vullen elkaar aan. SPF beschrijft toegestane verzendroutes, DKIM voorziet berichten van een controleerbare digitale handtekening en DMARC verbindt die controles aan het domein dat de ontvanger daadwerkelijk ziet. DMARC bepaalt bovendien wat er met een verdacht bericht moet gebeuren en levert rapportages.
De grootste fout is om meteen een streng DMARC-beleid te publiceren zonder te weten welke systemen namens je bedrijf mailen. Microsoft 365 is vaak maar één afzender. Denk ook aan een CRM, salarispakket, nieuwsbriefdienst, websiteformulier, boekhoudpakket, servicedesk, scanner en leveranciersportaal. Deze gids helpt je daarom niet alleen records te begrijpen, maar vooral een veilige uitrol te organiseren.
Wat SPF, DKIM en DMARC ieder bewijzen
SPF staat voor Sender Policy Framework. In een DNS-record publiceer je welke servers of diensten e-mail namens het domein mogen verzenden. De ontvangende server vergelijkt de verzendende infrastructuur met dat record. SPF beoordeelt de technische envelop-afzender; dat is niet altijd hetzelfde domein als het zichtbare Van-adres.
DKIM staat voor DomainKeys Identified Mail. De verzendende dienst ondertekent delen van een bericht met een privésleutel. De ontvanger haalt de bijbehorende publieke sleutel op via DNS en controleert of de handtekening klopt. Zo ontstaat bewijs dat een bevoegde dienst het bericht heeft ondertekend en dat relevante inhoud onderweg niet ongemerkt is gewijzigd.
DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. DMARC controleert of een geslaagde SPF- of DKIM-controle aansluit bij het zichtbare afzenderdomein. Dit heet alignment. Het gepubliceerde beleid vertelt ontvangers vervolgens of zij berichten die niet voldoen normaal mogen behandelen, in quarantaine moeten plaatsen of moeten afwijzen.
Wat je hier moet zien: SPF en DKIM leveren technisch bewijs; DMARC beoordeelt of dat bewijs bij het zichtbare afzenderdomein past en koppelt er beleid en rapportage aan.
Een bericht hoeft voor DMARC niet zowel SPF als DKIM te halen. Eén correct uitgelijnde controle kan voldoende zijn. In de praktijk is het verstandig beide technieken goed in te richten. Doorsturen kan SPF bijvoorbeeld breken, terwijl een geldige, uitgelijnde DKIM-handtekening het bericht dan nog kan laten slagen.
Maak eerst een register van alle e-mailstromen
Begin met inventariseren, niet met DNS wijzigen. Maak één register met ieder systeem dat mail gebruikt. Leg per stroom minimaal vast:
| Onderdeel | Voorbeelden | Wat je controleert |
|---|---|---|
| Persoonlijke mail | Exchange Online, andere mailprovider | domein, connectoren, DKIM-status |
| Bedrijfsapplicaties | CRM, ERP, HR, facturatie | verzenddomein, authenticatie, leverancier |
| Marketing | nieuwsbrief, campagneplatform | eigen subdomein, SPF/DKIM-instructies |
| Website | formulieren, webshop, meldingen | afzender, retouradres, maildienst |
| Apparaten | printer, scanner, alarmsysteem | SMTP-route, eigenaar, modern alternatief |
| Leveranciers | boekhouder, brancheportaal, servicedesk | toestemming, contract, beëindigingsproces |
Gebruik niet alleen interviews. Controleer ook berichttracering, bestaande DNS-records, facturen van cloudleveranciers en configuraties van applicaties. Vraag afdelingen welke systemen automatisch offertes, loonstroken, meldingen of afspraakbevestigingen sturen. Een vergeten stroom wordt vaak pas zichtbaar wanneer streng beleid de mail blokkeert.
Geef elke stroom een eigenaar. “Marketingtool” is geen eigenaar; een naam of functie met beslisbevoegdheid wel. Leg ook vast hoe de stroom wordt getest, wanneer zij voor het laatst is gebruikt en hoe je haar uitschakelt. Verwijder oude leveranciers uit SPF en DKIM wanneer zij aantoonbaar niet meer mogen verzenden.
Richt SPF beheerst in
Een domein hoort één SPF-record te hebben. Meerdere losse SPF-records kunnen een permanente fout veroorzaken. Voeg toegestane diensten daarom samen in één geldige policy en houd rekening met de DNS-opzoeklimiet van SPF. Een lange keten van include-verwijzingen kan onverwacht te veel opzoekingen veroorzaken.
Voor Microsoft 365 geeft de beheeromgeving de juiste domeininstellingen en verificatiestatus. Neem records nooit blind over uit een oud project of een willekeurige blog: je volledige mailarchitectuur bepaalt wat nodig is. Voeg alleen een leverancier toe wanneer duidelijk is welk domein of welke infrastructuur zij gebruikt en wie die toestemming beheert.
Gebruik -all pas wanneer de inventarisatie klopt. Dit duidt aan dat niet-genoemde verzenders niet bevoegd zijn. De uiteindelijke DMARC-behandeling hangt nog steeds af van alignment en het DMARC-beleid, maar een nauwkeurig SPF-record is een belangrijke basis.
Activeer DKIM per legitieme verzenddienst
DKIM wordt meestal per maildienst ingericht. De leverancier maakt een selector en sleutel aan; jij publiceert de gevraagde DNS-records. Daarna moet DKIM in de dienst zelf worden geactiveerd. Alleen een DNS-record plaatsen zonder de verzenddienst te laten ondertekenen is niet genoeg.
Controleer na activering een echt ontvangen testbericht en bekijk de authenticatieresultaten in de headers. Let op het ondertekenende d=-domein. Voor DMARC moet dat domein voldoende aansluiten bij het zichtbare Van-domein. Een leverancier kan technisch een geldige DKIM-handtekening plaatsen die toch niet bij jouw afzenderdomein hoort.
Bescherm de privésleutel bij de verzenddienst en plan sleutelrotatie volgens diens ondersteunde proces. Gebruik moderne sleutellengtes wanneer de leverancier die ondersteunt. Documenteer selectors, eigenaarschap en rotatiedatum zodat een oud record niet onbeheerd blijft staan.
Start DMARC met rapportage, niet met blokkeren
Een DMARC-record staat onder _dmarc.jouwdomein.nl. Begin doorgaans met een monitorbeleid (p=none) en een adres voor geaggregeerde rapportages. Deze rapporten laten per verzendende bron zien hoeveel berichten SPF en DKIM halen en of alignment klopt. Ze bevatten samengevatte technische informatie, maar moeten nog steeds zorgvuldig en liefst via een geschikte analysetool worden verwerkt.
Publiceer geen rapportageadres zonder beheerproces. Wijs iemand aan die afwijkingen onderzoekt en laat meldingen niet maandenlang ongelezen binnenkomen. Controleer in de monitorperiode onder meer:
- bekende Microsoft 365- en leveranciersstromen;
- onbekende verzendende IP-adressen;
- bronnen die SPF halen maar niet uitgelijnd zijn;
- bronnen die wel DKIM gebruiken maar met het verkeerde domein ondertekenen;
- pieken, nieuwe landen of plotselinge volumes;
- foutieve subdomeinen en vergeten testomgevingen.
Los legitieme fouten op bij de bron. Voeg niet automatisch ieder zichtbaar IP-adres aan SPF toe. Een gedeeld cloud-IP kan door veel klanten worden gebruikt en is vaak niet de juiste autorisatie-eenheid. Volg de officiële domeininstructies van de dienst en verifieer eigenaarschap.
Verscherp in aantoonbare stappen
Na een representatieve monitorperiode kun je naar p=quarantine gaan. Begin eventueel met een beperkt percentage via de DMARC-percentage-instelling, volg rapportages en servicedeskmeldingen en vergroot gecontroleerd. Quarantaine betekent dat ontvangers verdachte mail bijvoorbeeld in spam plaatsen; de precieze behandeling blijft aan de ontvangende partij.
Ga pas naar p=reject wanneer alle bedrijfskritische stromen zijn getest, onverwachte bronnen zijn afgehandeld en er een terugvalbesluit klaarligt. Afwijzen biedt de sterkste instructie tegen directe domeinspoofing, maar maakt slechte inventarisatie direct zichtbaar als bedrijfsuitval.
Wat je hier moet zien: Een volwassen DMARC-uitrol verscherpt beleid pas nadat rapportages en praktijktests bewijzen dat legitieme afzenders correct authenticeren.
Maak per fase vooraf acceptatiecriteria. Bijvoorbeeld: alle kritieke stromen hebben een eigenaar en testbewijs, onbekende volumes zijn verklaard en er zijn gedurende een afgesproken periode geen nieuwe legitieme fouten gevonden. Bewaar de rapportages en besluiten als beheerbewijs.
Vergeet subdomeinen en lookalike-domeinen niet
DMARC beschermt het domein waarop je beleid publiceert en kan beleid voor subdomeinen bevatten. Controleer daarom of applicaties mail sturen vanaf bijvoorbeeld nieuws.jouwdomein.nl of facturen.jouwdomein.nl. Een apart subdomein voor een externe maildienst kan risico's en beheergrenzen duidelijker maken, mits SPF, DKIM en DMARC daar ook bewust zijn ingericht.
Domeinauthenticatie voorkomt niet iedere vorm van phishing. Een aanvaller kan een sterk lijkend domein registreren met een typefout of een andere extensie. Combineer DMARC daarom met gebruikersbewustzijn, merk- en domeinmonitoring, MFA en veilig betaalproces. Lees ook hoe je MFA voor je organisatie instelt en hoe je Exchange Online-spam en quarantaine beheert.
Controleer zonder op succesicoontjes te vertrouwen
Een groen vinkje in een leveranciersportaal is nuttig, maar geen eindbewijs. Voer echte tests uit vanaf iedere belangrijke mailstroom naar meerdere externe ontvangers. Controleer de ontvangen headers, message trace en DMARC-rapportages. Test ook antwoorden, doorsturen, gedeelde postvakken en applicatieberichten.
Maak monitoring blijvend. Een nieuwe marketingtool of facturatieleverancier verandert de verzendarchitectuur. Neem daarom een mailbeveiligingscheck op in inkoop en wijzigingsbeheer. Geen leverancier mag “even” namens het hoofddomein verzenden zonder eigenaar, DNS-review, DKIM-configuratie, test en beëindigingsafspraak.
Wil je weten welke domeinen, afzenders en beveiligingsinstellingen nu risico geven? Vraag een gratis IT-scan aan en laat de mail- en Microsoft 365-basis gericht controleren.
Veelgestelde vragen
Zorgt DMARC ervoor dat al onze mail in de inbox komt?
Nee. DMARC helpt ontvangers de identiteit van je domein te beoordelen. Aflevering hangt ook af van reputatie, inhoud, volume, klachten, blokkadelijsten en het beleid van de ontvanger. Correcte authenticatie is een noodzakelijke basis, geen garantie op inboxplaatsing.
Kunnen we meteen p=reject instellen?
Technisch kan dat, maar operationeel is het riskant wanneer niet alle afzenders bekend en getest zijn. Start met inventarisatie en rapportage, herstel legitieme stromen en verscherp daarna gecontroleerd.
Is SPF alleen voldoende?
Nee. SPF alleen sluit niet altijd aan bij het zichtbare Van-domein en kan bij doorsturen breken. DKIM en DMARC voegen integriteitscontrole, alignment, beleid en rapportage toe.
Mogen we meerdere SPF-records publiceren?
Nee, publiceer één samenhangend SPF-record per domein. Meerdere records kunnen een permanente SPF-fout geven. Laat complexe records controleren op syntaxis, opzoeklimiet en ongebruikte leveranciers.
Moeten alle leveranciers in ons SPF-record?
Niet automatisch. Sommige diensten authenticeren primair via DKIM of gebruiken een apart retourdomein. Volg de officiële instructies, controleer DMARC-alignment en voeg alleen noodzakelijke, beheerde autorisaties toe.
Hoe lang moeten we monitoren voordat we handhaven?
Er is geen universeel aantal dagen. Kies een periode die normale én minder frequente bedrijfsstromen omvat, zoals maandfacturatie of salarisverwerking. Handhaaf pas wanneer de afgesproken acceptatiecriteria aantoonbaar zijn gehaald.
Gebruikte bronnen
De technische werking is op 4 augustus 2026 gecontroleerd tegen algemene standaarden en Microsoft-documentatie: