Voor ons onderzoek naar de e-mailbeveiliging van .nl-domeinen hebben we in november 2026 de DNS van 1,58 miljoen .nl-domeinen opgevraagd. Daarvan ontvangen er 1,29 miljoen e-mail. Naast de grote lijnen kwamen we veel concrete fouten tegen. Dit zijn de fouten die je als IT-beheerder of MSP het vaakst zult zien, met hoe vaak ze voorkomen en hoe je ze oplost.
De methode en de beperkingen van de meting staan in de verantwoording. Belangrijk om te weten: we hebben alleen openbare DNS-gegevens gemeten, en DKIM alleen met tien veelgebruikte selectors.
1. DMARC op p=none zonder rapportage
29,2% van de domeinen met e-mail. Van alle domeinen met p=none vraagt driekwart (74,3%) geen rapporten op. Zo’n record houdt niets tegen en levert niets op.
Zet minimaal rapportage aan, en gebruik p=none alleen als korte startfase:
_dmarc.jouwdomein.nl TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Gebruik je een DMARC-dienst op een ander domein, dan moet die dienst toestemming hebben om rapporten voor jouw domein te ontvangen. Een goede dienst regelt dat zelf.
2. Blijven hangen op p=none
39,3% van de domeinen met e-mail staat op p=none. Bij hostingpartijen die DMARC standaard neerzetten, zagen we dat het vaakst: bij sommige stond meer dan 90% van de domeinen op none. Het record is er, de bescherming niet.
Werk naar p=quarantine en p=reject zodra de rapporten laten zien dat alle echte verzenders slagen. Het stappenplan staat in Van none naar reject.
3. Subdomeinen open onder reject
8.488 domeinen staan op p=reject met sp=none. Het hoofddomein is beschermd, alle subdomeinen niet. Een aanvaller mailt dan gewoon vanaf factuur.jouwdomein.nl.
Laat sp weg (dan geldt p ook voor subdomeinen), of zet het op reject. Heeft een subdomein echt een soepeler beleid nodig, geef het dan een eigen DMARC-record.
4. Ongeldige DMARC-records
6.063 domeinen hebben meer dan één DMARC-record, en bijna 2.000 hebben een beleid dat niet bestaat. We zagen tikfouten als quarantaine en refect, letterlijk overgenomen voorbeeldteksten als <reject | quarantine | none>, en DKIM-sleutels in een DMARC-record.
Een ongeldig DMARC-record werkt als geen record. Controleer na elke wijziging met de domeincheck of een vergelijkbare tool.
5. Twee SPF-records, of +all
7.033 domeinen (0,5%) hebben twee of meer SPF-records. Dan is SPF ongeldig (permerror). Dat ontstaat vaak als een nieuwe dienst zijn eigen record laat toevoegen. Voeg de records samen tot één.
676 domeinen hebben +all. Daarmee mag letterlijk iedereen namens het domein mailen. Vervang het door -all of ~all, en neem alleen de diensten op die je echt gebruikt.
Let bij het samenvoegen op het maximum van tien DNS-lookups. Hoe je daaronder blijft, staat op onze pagina over SPF.
6. DKIM niet aan in Microsoft 365
Bij 50,0% van de Microsoft 365-domeinen vonden we een DKIM-sleutel. Microsoft gebruikt altijd de selectors selector1 en selector2, dus hier meet onze methode goed. De andere helft ondertekent waarschijnlijk alleen met het onmicrosoft.com-domein, en dat helpt DMARC niet.
Publiceer de twee CNAME-records die Microsoft voor je domein opgeeft, en schakel DKIM in. In Exchange Online PowerShell:
New-DkimSigningConfig -DomainName "jouwdomein.nl" -Enabled $true
Bestaat de configuratie al, gebruik dan Set-DkimSigningConfig -Identity "jouwdomein.nl" -Enabled $true. Het kan ook in Microsoft Defender, bij de instellingen voor e-mailauthenticatie.
7. Geen DANE of MTA-STS bij Microsoft 365 en Google
DANE: 33,8% van alle domeinen, maar 2,6% bij Microsoft 365 en 11 domeinen bij Google Workspace. Het hoge totaal komt van Nederlandse hostingpartijen die DANE standaard op hun mailservers hebben. Bij Microsoft 365 moet je Inbound DANE zelf aanzetten, en dat vraagt eerst DNSSEC en een nieuw MX-record. MTA-STS: 0,3%.
Het stappenplan voor Microsoft 365, inclusief MTA-STS en TLS-RPT, staat in ons DANE-artikel.
8. Domeinen die niet mailen, maar niet beschermd zijn
Van de 292.612 domeinen zonder MX had 57,5% geen SPF en geen DMARC. Slechts 14,2% had de aanbevolen combinatie, en 12,3% had een Null MX.
Voor elk domein dat niet mailt:
jouwdomein.nl MX 0 .
jouwdomein.nl TXT "v=spf1 -all"
_dmarc.jouwdomein.nl TXT "v=DMARC1; p=reject"
De Null MX (0 ., RFC 7505) zegt dat het domein geen mail ontvangt. De andere twee zeggen dat mail van dit domein altijd nep is.
9. BIMI zonder streng DMARC
Van de 2.008 domeinen met BIMI staat bij 267 DMARC niet op quarantine of reject. Dan toont geen enkele mailbox het logo. Zet eerst DMARC op orde. Meer op onze pagina over BIMI.
Let op bij standaardinstellingen van hosters
Veel hostingpartijen zetten DNS-records standaard neer voor hun klanten. Dat zie je terug in de cijfers: bij sommige providers heeft vrijwel elk domein hetzelfde DMARC-beleid, bij andere vrijwel geen enkel. Bij één provider stond 94% op quarantine of reject, terwijl we maar bij 12% een SPF-record vonden. Een domein dat wel mailt, maar geen SPF of DKIM heeft, laat met p=reject zijn eigen mail weigeren.
Controleer dus na een migratie of na het aanmaken van een domein wat de hoster heeft neergezet, en of dat past bij hoe de klant echt mailt. DNS laat zien wat er is ingesteld. Of het klopt, zie je pas in de DMARC-rapporten.
Voor MSP’s: je hele klantenbestand
De fouten hierboven komen zelden alleen voor. Wie voor tientallen klanten beheert, heeft er vrijwel zeker een paar van in zijn klantenbestand. Een periodieke controle van alle klantdomeinen, inclusief de domeinen die niet mailen, levert snel een lijst met concrete verbeteringen op.
Wij werken voor e-mailbeveiliging samen met DMARC Advisor. Wil je dit voor je klanten aanpakken, of wil je met ons meedenken over de aanpak? Neem contact op.
Hoe staat jouw domein ervoor?
Controleer gratis SPF, DKIM en DMARC, en zie hoe je scoort ten opzichte van 1,29 miljoen .nl-domeinen.
Doe de domeincheck