DMARC, SPF en DKIM: zo beveiligt u het e-maildomein van uw KMO tegen spoofing

E-mailauthenticatie met SPF, DKIM en DMARC zorgt ervoor dat criminelen niet langer e-mails kunnen versturen die zogenaamd van uw bedrijfsdomein komen. SPF en DKIM bewijzen dat een mail echt van u komt, en DMARC bepaalt wat er gebeurt met mails die door de mand vallen. De impactvolste stap is dat laatste record op p=reject zetten, want pas dan worden vervalste mails wereldwijd geblokkeerd voordat ze de inbox van uw medewerkers of klanten bereiken.

Veel Vlaamse KMO’s hebben SPF en zelfs DMARC al staan, maar laten dat DMARC-record op de passieve stand hangen. Daardoor kijken ze wel toe, maar grijpen ze niet in. In dit artikel leest u wat de drie standaarden precies doen, welk probleem ze oplossen, en hoe u stap voor stap naar volledige bescherming gaat zonder dat legitieme facturen of offertes onbedoeld geblokkeerd raken.

Wat zijn SPF, DKIM en DMARC?

SPF, DKIM en DMARC zijn drie internetstandaarden die samen bewijzen dat een e-mail echt afkomstig is van het domein dat in de afzender staat. E-mail werd in de jaren zeventig ontworpen zonder ingebouwde controle op afzenders, waardoor het van nature eenvoudig te vervalsen is. Deze drie protocollen dichten dat gat, elk met een eigen rol.

Het makkelijkst te onthouden: SPF controleert welke servers namens u mogen verzenden, DKIM plaatst een digitale handtekening die manipulatie aantoont, en DMARC bindt het geheel samen en zegt ontvangers wat ze met een mislukte controle moeten doen.

De kracht zit in de combinatie. SPF en DKIM op zich vereisen niet dat het gecontroleerde domein overeenkomt met het adres dat uw klant in zijn mailprogramma ziet. DMARC voegt die eis toe, en dat noemen we domeinalignatie. Pas met de drie samen sluit u het domein echt af.

Welk probleem lossen ze op: spoofing, CEO-fraude en BEC

Zonder actieve e-mailauthenticatie kan een aanvaller met een eenvoudig script mails versturen die er optisch exact uitzien alsof ze van uw domein komen. Dat is de technische basis onder spoofing en Business Email Compromise (BEC), een fraudevorm die Vlaamse KMO’s recht in hun cashflow raakt.

De cijfers tonen de schaal. Volgens het Verizon 2026 Data Breach Investigations Report, gebaseerd op meer dan 22.000 bevestigde datalekken, was bij 62 procent van de datalekken een menselijke factor betrokken. Belangrijk om correct te lezen: het rapport spreekt van datalekken met een menselijke factor, niet van aanvallen die bij de mens beginnen. De mens is de laatste verdedigingslinie, niet de enige barrière. E-mailauthenticatie is precies wat die menselijke factor ontlast, omdat een vervalste mail dan de inbox niet eens bereikt.

Op nationaal niveau ontving het Belgische meldplatform Safeonweb in 2025 bijna 10 miljoen meldingen van verdachte e-mails. Het Centrum voor Cybersecurity België rapporteerde voor datzelfde jaar een verdubbeling van het aantal geregistreerde gevallen van accountcompromittering, vaak de directe opstap naar een BEC-aanval.

E-mailfraude komt bij KMO’s in drie hoofdvormen voor:

CEO-fraude, waarbij iemand zich voordoet als zaakvoerder of directielid en een financieel medewerker onder tijdsdruk een spoedbetaling laat uitvoeren. De schade per geslaagd incident loopt van enkele tienduizenden euro’s tot in de miljoenen.

Leveranciersfraude of IBAN-swap, de meest voorkomende vorm bij bedrijven met internationale leveranciers. Criminelen hacken de mailbox van een leverancier, volgen lopende bestellingen en sturen een aangepaste factuur waarop enkel het rekeningnummer is gewijzigd.

Salarisfraude, waarbij oplichters de HR-afdeling mailen namens een werknemer met het verzoek het rekeningnummer voor de loonbetaling te wijzigen, vaak gelijktijdig bij tientallen medewerkers.

Wat het extra pijnlijk maakt: zodra het geld vertrokken is, wordt het binnen 24 tot 72 uur via geldezels verspreid of omgezet in cryptovaluta. In minder dan 10 procent van de internationale BEC-gevallen lukt het om de bedragen nog te bevriezen. Voorkomen is hier letterlijk goedkoper dan genezen. We gaan hier in een apart artikel dieper in op de aanvalskant van BEC; dit stuk richt zich op de technische afweer op mailniveau.

SPF: wie mag verzenden namens uw domein?

SPF is een TXT-record in uw DNS waarin u vastlegt welke mailservers en IP-adressen gemachtigd zijn om e-mails te versturen namens uw domein. Wanneer een ontvangende server een mail binnenkrijgt, controleert die het SPF-record en kijkt of de verzendende server op de lijst staat.

Een SPF-record bestaat uit een paar vaste bouwstenen. Het begint met v=spf1. Met include: verwijst u naar externe diensten die ook voor u verzenden, zoals include:spf.protection.outlook.com voor Microsoft 365. Met ip4: of ip6: voegt u de adressen van eigen servers toe. En aan het einde staat de afdwingingsregel: -all voor een harde afwijzing, ~all voor een zachte markering, of ?all voor neutraal.

Het advies van Microsoft en van beveiligingsexperts is om naar -all over te schakelen zodra de configuratie volledig is, op voorwaarde dat DKIM en DMARC eveneens actief zijn. Eén belangrijke valkuil: er mag per domein exact één SPF-record bestaan. Publiceert u er per ongeluk twee, dan faalt SPF voor al uw mail.

DKIM: de cryptografische handtekening

DKIM voegt een digitale handtekening toe aan elke verzonden e-mail. De verzendende server ondertekent de mail met een privésleutel, en de bijbehorende openbare sleutel staat gepubliceerd in uw DNS onder een zogenaamde selector, bijvoorbeeld selector1._domainkey.bedrijf.be.

De ontvangende server haalt die openbare sleutel op, controleert de handtekening, en weet daarmee twee dingen zeker: de mail komt echt van uw domein, en de inhoud is onderweg niet gewijzigd of gemanipuleerd. Waar SPF enkel naar de verzendende server kijkt, beschermt DKIM dus ook de integriteit van het bericht zelf.

Voor de sterkte van de versleuteling geldt een sleutellengte van 2048 bits als aanbeveling. Kortere sleutels zijn kwetsbaarder, en Gmail vereist minimaal 1024 bits. DKIM heeft nog een tweede voordeel dat vaak over het hoofd wordt gezien: omdat de handtekening in de mail zelf zit, blijft die intact wanneer een bericht wordt doorgestuurd. Daardoor overleeft een doorgestuurde mail de authenticatiecontrole, terwijl SPF in dat scenario zou falen.

DMARC: de controlekamer die handhaaft

DMARC is de standaard die de resultaten van SPF en DKIM samenbrengt, controleert op uitlijning, en ontvangers vertelt wat ze moeten doen met mails die zakken voor de test. Het is het enige protocol van de drie dat daadwerkelijk een actie afdwingt.

DMARC introduceert twee kernbegrippen. Het eerste is alignatie: het domein in het zichtbare afzenderadres moet overeenkomen met het domein dat SPF heeft gevalideerd en/of dat de DKIM-handtekening heeft geplaatst. Het tweede is het beleid, dat u instelt met de parameter p=. Dat beleid bepaalt alles.

Hier zit het probleem dat we in de praktijk het vaakst zien. Volgens het PowerDMARC Belgium Report 2025, een analyse van 729 Belgische domeinen in negen sectoren, heeft 79,1 procent van de Belgische domeinen een DMARC-record. Maar slechts 24,7 procent dwingt daadwerkelijk een actief p=reject-beleid af. Met andere woorden: ruim driekwart van de organisaties mét een DMARC-record blijft volledig kwetsbaar voor spoofing.

Een DMARC-record op p=none is als een beveiligingscamera zonder slot op de deur. U ziet wel wie er aanbelt, maar niemand wordt tegengehouden. Pas bij quarantine of reject gaat de deur effectief op slot.

In zes stappen van none naar reject

De uitrol verloopt gefaseerd om te voorkomen dat legitieme zakelijke mail onbedoeld geblokkeerd raakt. Een te snelle sprong naar reject kan offertes of facturen tegenhouden, dus de volgorde is geen detail maar de kern van de aanpak. Reken op minimaal enkele weken, vaak twee tot drie maanden voor een omgeving met meerdere verzendende systemen.

1. Inventariseer al uw verzendbronnen. Breng in kaart welke systemen namens uw domein mailen: niet alleen Microsoft 365 of Google Workspace, maar ook nieuwsbrieftools zoals Mailchimp, uw CRM, facturatiesoftware en helpdesktools. Vergeten bronnen zijn de hoofdoorzaak van latere problemen.
2. Configureer SPF en DKIM per bron. Maak één overkoepelend SPF-record voor uw hoofddomein en voeg de include:-verwijzingen van uw externe diensten toe. Genereer voor elke maildienst een DKIM-sleutel van bij voorkeur 2048 bits, publiceer de DNS-records, en zorg dat elke dienst ondertekent met uw eigen domein.
3. Publiceer een DMARC-record op p=none. Plaats onder de hostnaam _dmarc.bedrijf.be een record zoals v=DMARC1; p=none; rua=mailto:dmarc-rapporten@bedrijf.be;. Richt daarvoor een gedeeld postvak in, anders raakt de inbox van uw IT-beheerder overspoeld met dagelijkse XML-rapporten.
4. Analyseer de rapporten gedurende twee tot vier weken. Laat het record minstens twee tot vier weken op none staan en lees de inkomende rapporten met een analysetool zoals dmarcian of MxToolbox. Zo ziet u welke IP-adressen namens u verzenden en spoort u vergeten of foutief geconfigureerde systemen op.
5. Schaal geleidelijk op naar quarantine. Zodra meer dan 95 procent van uw legitieme mail correct authenticeert, verhoogt u naar p=quarantine. Gebruik de pct=-tag om het risico te spreiden, bijvoorbeeld pct=25 om eerst een kwart van de verdachte mail te filteren, en verhoog wekelijks.
6. Zet om naar p=reject. Wanneer de configuratie stabiel is op pct=100 en er geen legitieme mail meer sneuvelt, zet u het beleid op v=DMARC1; p=reject; rua=mailto:dmarc-rapporten@bedrijf.be;. Vanaf dat moment blokkeren ontvangende servers wereldwijd elke spoofingpoging aan de poort.

De 2026-context: bulkverzender-eisen en aanvullende standaarden

E-mailauthenticatie is in 2026 geen vrijblijvende optimalisatie meer, maar een dwingende marktregel. Verstuurt uw KMO nieuwsbrieven of grote hoeveelheden transactionele mail, dan eisen Google, Yahoo en Microsoft expliciet correcte authenticatie, anders belandt uw mail in de spam of wordt ze geweigerd.

Sinds februari 2024 hanteren Google en Yahoo strikte regels voor verzenders van meer dan 5.000 mails per dag. Microsoft formaliseerde dezelfde eisen vanaf mei 2025, met volledige weigering van niet-conforme mail vanaf november 2025. Concreet betekent dit: SPF en DKIM verplicht ingesteld en uitgelijnd, minstens een geldig DMARC-record op p=none, een one-click-uitschrijflink in promotionele mail, en een door gebruikers gerapporteerde spamratio onder 0,3 procent.

Het verschil in afleverbaarheid is groot. Conforme verzenders halen volgens analyses van PowerDMARC gemiddeld 89 procent inboxplaatsing, terwijl niet-conforme verzenders een aanzienlijk deel van hun mail rechtstreeks in de spam of geweigerd zien.

Naast de basis zijn er aanvullende standaarden die de bescherming completeren. MTA-STS verplicht dat inkomende mail uitsluitend via een versleutelde verbinding wordt afgeleverd, wat afluisteren onderweg voorkomt. In België is de adoptie hiervan met 2,1 procent nog nagenoeg afwezig, dus dit is een onderscheidende stap. BIMI toont uw geregistreerde bedrijfslogo naast legitieme mail in de inbox, maar vereist wel dat uw domein al op quarantine of reject draait. En in mei 2026 publiceerde de IETF de vernieuwde DMARCbis-specificatie als officiële RFC’s, wat de standaard verder verankert.

Veelgemaakte fouten bij e-mailauthenticatie

Bij de implementatie en het beheer van e-mailbeveiliging duiken telkens dezelfde fouten op. Ze hebben gemeen dat ze vaak onzichtbaar zijn: uw mail lijkt te werken, maar de bescherming faalt stilletjes.

De bekendste is het overschrijden van de SPF 10-lookup-limiet. De specificatie staat maximaal tien DNS-zoekopdrachten toe bij het evalueren van een SPF-record, en elke include: telt mee. Voegt u te veel externe diensten toe, dan kantelt SPF geruisloos in een foutmelding en faalt de authenticatie voor al uw mail. De oplossing is ongebruikte diensten saneren of SPF-flattening toepassen.

Een tweede klassieker is de allowlist-reflex. Wanneer een legitieme maar slecht geconfigureerde mail in de spam belandt, voegen beheerders het adres vaak handmatig toe aan een witte lijst. Dat omzeilt al uw opgebouwde beveiliging en creëert een gat. De juiste oplossing is de SPF- of DKIM-configuratie van die bron technisch herstellen.

Verder zien we geregeld dat subdomeinen en geparkeerde domeinen vergeten worden. Aanvallers zoeken actief naar onbeveiligde subdomeinen zoals marketing.bedrijf.be. Staat uw hoofddomein op p=reject, dan nemen subdomeinen dat beleid automatisch over, tenzij u expliciet iets anders instelt. Geef ook elk ongebruikt of slapend domein een defensieve configuratie met v=spf1 -all en p=reject, zodat niemand er misbruik van kan maken.

Tot slot blijft de grootste fout het project als afgerond beschouwen zodra p=none gepubliceerd is. Zoals de Belgische cijfers tonen, is dat precies waar driekwart van de organisaties blijft hangen. Monitoring is een tussenstap, geen eindbestemming.

Waar e-mailauthenticatie past in uw bredere beveiliging

SPF, DKIM en DMARC vormen een minimale basishygiëne, maar ze zijn geen alleenstaand project. Ze horen thuis in een doordachte aanpak waarin u eerst weet waar u staat. In onze ervaring komt e-mailauthenticatie het best in beeld tijdens een infrastructuuraudit, omdat u dan meteen ziet welke verzendbronnen actief zijn, welke subdomeinen vergeten zijn, en hoe het domein zich verhoudt tot de rest van uw beveiliging.

Voor middelgrote Vlaamse bedrijven die onder NIS2 vallen, is dit bovendien meer dan goede praktijk. Artikel 21 van de Belgische NIS2-wet verplicht passende technische maatregelen, en het onbeveiligd laten van het eigen e-maildomein wordt bij een CCB-audit aangemerkt als nalatigheid waarvoor bestuurders persoonlijk aansprakelijk zijn. Een degelijke DMARC-uitrol is dus zowel een beveiligings- als een compliancekwestie.

De goede kant van het verhaal: de uitvoering hoeft niet duur te zijn. Voor de begeleiding door een externe expert kunt u in Vlaanderen terecht bij de KMO-portefeuille, waarmee kleine ondernemingen 45 procent en middelgrote ondernemingen 35 procent subsidie krijgen op advies, tot 7.500 euro per jaar. Voor een breder traject met audit, awareness en implementatiebegeleiding biedt het VLAIO Cybersecurity Verbetertraject tot 50 procent steun. Zo wordt het sluiten van uw e-maildomein een betaalbare en aantoonbare stap.

Veelgestelde vragen over DMARC, SPF en DKIM

Wat gebeurt er met een mail die de controle niet doorstaat bij p=reject?

De ontvangende server weigert de mail meteen tijdens de SMTP-transactie en stuurt een permanente foutcode terug (een SMTP 550 DMARC-fout). De mail wordt niet afgeleverd, ook niet in de spammap. Hij wordt simpelweg vernietigd door de gateway van de ontvanger.

Breken automatische doorstuurregels mijn e-mailauthenticatie?

Forwarding verbreekt SPF, omdat de doorsturende server een ander IP-adres gebruikt dan in uw SPF-record staat. DMARC vangt dit echter op: een mail slaagt zodra ofwel SPF ofwel DKIM klopt en uitlijnt. Omdat de DKIM-handtekening bij doorsturen intact blijft, passeert de mail de controle alsnog probleemloos.

Moet mijn KMO betalen voor een DMARC-monitoringdienst?

Niet noodzakelijk. Voor een KMO met een overzichtelijke IT-omgeving volstaan gratis tools, open-source parsers zoals parsedmarc, of de gratis instapversies van commerciële platformen. Een betaalde dienst wordt pas nuttig bij complexe omgevingen met meerdere domeinen en grote mailvolumes.

Waarom faalt DMARC voor mails via Mailchimp of HubSpot, terwijl SPF en DKIM groen zijn?

Veel externe maildiensten ondertekenen standaard met hun eigen domein in plaats van het uwe. De DKIM-handtekening is dan technisch geldig, maar lijnt niet uit met uw zichtbare afzenderadres, waardoor DMARC alsnog faalt. De oplossing is binnen de instellingen van die dienst een eigen DKIM-sleutel genereren en die via uw eigen DNS publiceren.

Waarom mag er maar één SPF-record per domein bestaan?

De specificatie staat exact één SPF-record per domein toe. Publiceert u er per ongeluk twee, bijvoorbeeld één voor Microsoft 365 en één voor een nieuwsbrieftool, dan geeft de ontvangende server een permanente fout en faalt SPF voor al uw mail. Meerdere bronnen moet u altijd samenvoegen in één record.

Beschermt e-mailauthenticatie ook tegen inkomende spam?

Nee. SPF, DKIM en DMARC op uw eigen domein bepalen enkel hoe de buitenwereld omgaat met mail die zogenaamd van u komt. Het zijn uitgaande beschermingen. Tegen inkomende spam en phishing helpt het inkomende spamfilter van uw eigen mailgateway, zoals Microsoft Defender of de beveiliging van Google Workspace.

Hoelang duurt een volledige uitrol naar p=reject?

Reken op minimaal enkele weken, en in de praktijk twee tot drie maanden voor een omgeving met meerdere verzendende systemen. De monitoringfase op p=none neemt twee tot vier weken in beslag, gevolgd door een geleidelijke opschaling via quarantine met de pct=-tag. Haasten verhoogt het risico dat legitieme mail sneuvelt.

Conclusie

SPF, DKIM en DMARC samen vormen het slot op de voordeur van uw e-maildomein. SPF en DKIM bewijzen dat een mail echt van u komt, DMARC handhaaft de regel. De Belgische cijfers maken pijnlijk duidelijk waar het misloopt: de meeste bedrijven hebben de records wel staan, maar laten ze op de passieve stand hangen en blijven zo kwetsbaar voor spoofing en CEO-fraude.

De weg vooruit is gestructureerd en risicovrij: inventariseer uw verzendbronnen, zet SPF en DKIM correct op, en schaal stap voor stap op van monitoring naar volledige handhaving op p=reject. Twijfelt u waar u vandaag staat, of wilt u de uitrol laten begeleiden als onderdeel van een bredere audit? Een eerste gesprek brengt in een uur klaarheid over de prioriteiten voor uw situatie.