Onderzoek: driekwart van de .nl-maildomeinen houdt vervalste e-mail niet tegen

Iedereen kan een e-mail versturen die van jouw domein lijkt te komen. Of de ontvanger die mail tegenhoudt, hangt af van wat jij in je DNS hebt ingesteld. Wij wilden weten hoe Nederland ervoor staat. Daarom hebben we in november 2026 de e-mailbeveiliging van 1,58 miljoen .nl-domeinen gemeten.

De belangrijkste uitkomst: van de domeinen die e-mail ontvangen, houdt driekwart vervalste mail niet tegen. De meeste hebben wel iets ingesteld, maar niet genoeg.

De belangrijkste cijfers

Over 1.290.458 .nl-domeinen die e-mail ontvangen:

• 85,3% heeft een SPF-record. Maar een derde (33,1%) zegt daarin duidelijk dat andere servers niet mogen mailen (-all).
• 65,6% heeft een DMARC-record. Maar bij 39,3% staat dat op p=none: alleen meekijken, niets tegenhouden.
• Slechts 25,4% heeft DMARC zo ingesteld dat vervalste mail in de spam belandt of wordt geweigerd. Op p=reject staat 14,3%.
• 29,2% heeft DMARC op p=none zonder rapportage. Dat record doet dan in de praktijk niets.
• Bij minstens 25,6% vonden we een DKIM-sleutel. Het echte aandeel ligt hoger (zie de verantwoording).
• 57,5% is ondertekend met DNSSEC. 33,8% heeft DANE op de mailserver. MTA-STS gebruikt 0,3%.

En van de 292.612 domeinen die geen e-mail ontvangen, heeft 57,5% helemaal niets ingesteld: geen SPF en geen DMARC. Juist die domeinen zijn makkelijk te misbruiken.

Wat hebben we gemeten?

Kort de scope. De volledige verantwoording staat onderaan.

Er zijn ongeveer 6,1 miljoen .nl-domeinen. We hebben er dus ongeveer een derde gemeten. Omdat ze uit Common Crawl komen, zijn het vooral domeinen met een actieve website. Geparkeerde domeinen en domeinen die alleen voor mail worden gebruikt, zitten er minder in. Zie de cijfers daarom als een grote steekproef van actief gebruikte .nl-domeinen, niet als een telling van alle .nl-domeinen.

De protocollen in het kort

SPF, DKIM en DMARC beschermen tegen vervalste afzenders. DNSSEC, DANE en MTA-STS beschermen de mail onderweg. BIMI is een extra dat alleen werkt als de rest op orde is.

SPF: bijna overal, maar vaak te soepel

85,3% van de domeinen met e-mail heeft een SPF-record. Dat is hoog. Maar het einde van het record maakt veel uit:

~all is niet fout, zeker niet als DMARC goed staat. Dan beslist DMARC. Maar zonder streng DMARC-beleid zegt ~all tegen de ontvanger: twijfel, maar lever toch af.

7.033 domeinen (0,5%) hebben twee of meer SPF-records. Dan is SPF ongeldig en telt het voor geen enkele ontvanger mee. En bij 676 domeinen staat +all: daarmee geeft het domein letterlijk iedereen toestemming om namens hem te mailen.

DMARC: twee derde heeft het, een kwart gebruikt het

DMARC is het protocol dat echt bepaalt of vervalste mail wordt tegengehouden. Het controleert of SPF of DKIM klopt voor het adres dat de ontvanger ziet. Klopt dat niet, dan bepaalt het beleid (p=) wat er gebeurt.

Tel je quarantine en reject op, en laat je de domeinen weg die het beleid maar op een deel van de mail toepassen (pct lager dan 100), dan houdt 25,4% vervalste mail tegen. 74,6% doet dat dus niet.

p=none is bedoeld als eerste stap: je ontvangt rapporten, ziet wie er namens je mailt, en gaat daarna naar quarantine en reject. Hoe je dat doet, lees je in Van none naar reject. Maar van de domeinen met p=none vraagt driekwart (74,3%) helemaal geen rapporten op. Er wordt dus niets tegengehouden en ook niets geleerd. Dat geldt voor 29,2% van alle domeinen met e-mail.

Een paar andere dingen die we zagen:

• 6.063 domeinen hebben meer dan één DMARC-record. Dan is DMARC ongeldig.
• Bijna 2.000 domeinen hebben een DMARC-record met een beleid dat niet bestaat. Tikfouten zoals “quarantaine” en “refect”, maar ook voorbeeldteksten die letterlijk zijn overgenomen, zoals <reject | quarantine | none>. En in een paar records staat een DKIM-sleutel in plaats van een DMARC-beleid.
• 8.488 domeinen staan op p=reject, maar zetten subdomeinen op sp=none. Dan is factuur.jouwdomein.nl nog steeds vrij te misbruiken.

DKIM: minstens een kwart

Bij 25,6% van de domeinen met e-mail vonden we een DKIM-sleutel. Dat is een ondergrens. Een DKIM-sleutel staat onder een zelfgekozen naam, de selector, en die kun je alleen raden. We hebben tien veelgebruikte geprobeerd, zoals selector1 en selector2 van Microsoft 365, google en default. Domeinen met een andere selector missen we.

Bij Microsoft 365 is het gat goed te zien: daar vonden we bij 50,0% van de domeinen een sleutel. Microsoft gebruikt altijd dezelfde twee selectors, maar DKIM moet je voor je eigen domein wel zelf aanzetten.

De basis volledig op orde: één op de vijf

Hoeveel domeinen hebben de basis helemaal op orde? Dat hangt af van hoe streng je meet:

Het middelste getal is laag omdat we DKIM alleen kunnen raden. Het echte aandeel ligt tussen 8,0% en 20,6%.

Versleuteling onderweg: Nederland doet het goed met DANE

DANE en MTA-STS zorgen dat mail versleuteld bij de juiste server aankomt, en dat een aanvaller de versleuteling niet kan uitschakelen. Hier scoort Nederland opvallend goed:

• 57,5% van de domeinen met e-mail is ondertekend met DNSSEC.
• 33,8% heeft DANE (een TLSA-record) op de mailserver.
• 0,3% heeft MTA-STS, en 0,4% ontvangt TLS-rapporten (TLS-RPT).

Het hoge DANE-percentage komt vooral van Nederlandse hostingpartijen. DANE hangt af van de mailserver, en dus van je mailprovider, niet van je eigen domein. Wie mail bij een hoster met DANE heeft, krijgt het er gratis bij.

Bij Microsoft 365 is het andersom. Daar heeft maar 2,6% DANE. Sinds 2024 kan het wel, maar je moet het zelf aanzetten. Hoe dat werkt, lees je in ons stappenplan voor Microsoft 365. Bij Google Workspace vonden we maar 11 domeinen met DANE.

BIMI: nauwelijks

0,2% van de domeinen met e-mail heeft een BIMI-record (2.008 domeinen). Bij 267 daarvan staat DMARC niet op quarantine of reject. Dan toont geen enkele mailbox het logo, want BIMI werkt alleen met een streng DMARC-beleid.

Domeinen die niet mailen

292.612 domeinen in onze meting ontvangen geen e-mail. Dat maakt ze niet veilig. Een domein zonder mail is juist aantrekkelijk voor criminelen: niemand merkt het als het wordt misbruikt.

Voor een domein dat niet mailt, is het advies eenvoudig: v=spf1 -all en een DMARC-record met p=reject. Dan weet elke ontvanger dat mail van dat domein altijd nep is. Slechts één op de zeven heeft dat.

Het verschil zit in de mailprovider

Het grootste verschil zit niet tussen organisaties, maar tussen mailproviders. Veel hostingpartijen zetten records standaard voor hun klanten neer. Wat die standaard is, zie je terug in de cijfers.

We hebben de provider bepaald aan de hand van de mailserver in het MX-record. Gebruikt een domein een spamfilter, dan zien we het spamfilter en niet de achterliggende mailbox. 41,6% van de domeinen hebben we niet aan een bekende provider kunnen koppelen. Die staan hieronder niet in de tabel.

“Aandeel domeinen” is het deel van alle 1.290.458 domeinen met e-mail. De andere kolommen zijn percentages binnen die provider. “DMARC houdt mail tegen” betekent p=quarantine of p=reject voor alle mail.

Wat opvalt:

• Mijndomein, ZXCS en TransIP: bijna iedereen heeft DMARC, maar vrijwel allemaal op p=none. Het record staat er, de bescherming niet.
• Strato: 93,9% houdt vervalste mail tegen, de hoogste score in de meting. Tegelijk vonden we bij maar 12,2% van de Strato-domeinen een SPF-record. Een domein dat wel mailt maar geen SPF of DKIM heeft, laat met p=reject ook zijn eigen mail weigeren. Of het hier vooral om domeinen gaat die niet mailen, kunnen we vanuit DNS niet zien.
• JouwWeb en one.com: DNSSEC en DANE bijna overal, DMARC bijna nergens.
• Microsoft 365 en Google Workspace: hier staat het meeste in handen van de organisatie zelf. Dat zie je terug: veel p=none, en DANE vrijwel alleen bij wie het zelf heeft aangezet.

Per provider geven we geen DKIM-cijfers. Hostingpartijen gebruiken vaak hun eigen selectors, die wij niet hebben geprobeerd. Een laag DKIM-percentage bij een provider zegt dan meer over onze meting dan over de provider.

Wat betekent dit voor jouw organisatie?

De meeste Nederlandse domeinen hebben de eerste stap gezet. SPF staat er bijna altijd, DMARC bij twee derde. Maar een record dat niets tegenhoudt, beschermt niet tegen phishing uit jouw naam, en ook niet tegen factuurfraude.

Vertrouw er ook niet op dat je hoster het voor je regelt. Zoals de tabel laat zien, zet de ene hoster DMARC op reject en de andere op none, en bij Microsoft 365 en Google moet je het helemaal zelf doen.

Wat je kunt doen:

1. Controleer je domein. De gratis domeincheck laat zien hoe SPF, DKIM, DMARC en BIMI bij jou staan.
2. Zet SPF en DKIM goed. Eén SPF-record, niet meer dan tien DNS-lookups, en elke dienst die namens je mailt ondertekent met DKIM. Zie onze uitleg over SPF en DKIM.
3. Zet DMARC-rapportage aan. Zonder rapporten weet je niet wie er namens je mailt, en kun je niet veilig naar reject. Wat de instellingen betekenen, lees je op onze pagina over DMARC.
4. Ga van none naar reject. Stap voor stap, zoals in ons stappenplan.
5. Vergeet je andere domeinen niet. Zet op elk domein dat niet mailt v=spf1 -all en DMARC op p=reject. De records staan in de meest gemaakte fouten in SPF, DKIM en DMARC.
6. Gebruik je Microsoft 365? Zet DKIM en Inbound DANE aan. Dat is gratis. Zo doe je dat, inclusief MTA-STS en TLS-RPT. En loop meteen vijf andere Exchange Online-instellingen na.

Komt je eigen mail slecht aan? Dan helpt Waarom jouw e-mails de inbox niet halen, met de opname van onze workshop.

Wil je hulp, of wil je dat we met je meekijken? Neem contact op.

Lees verder per doelgroep

• Ondernemer? Kan iemand mailen uit jouw naam? Wat ons onderzoek betekent voor ondernemers: zonder cijfers, met de vijf vragen die je je IT-partner stelt.
• Bestuurder, CISO of IT-manager? Vijf lessen uit 1,3 miljoen maildomeinen: over domeinportfolio’s, leveranciers, de keten en de cijfers die je zou moeten zien.
• IT-beheerder of MSP? De meest gemaakte fouten in SPF, DKIM en DMARC, in cijfers: wat we het vaakst tegenkwamen, en hoe je het oplost.

Zo hebben we gemeten

Welke domeinen

We hebben de lijst met domeinen gehaald uit de webgraph van Common Crawl van augustus, september en oktober 2026 (cc-main-2026-aug-sep-oct). Daarin staan de domeinen die Common Crawl in die periode heeft bezocht, en de domeinen waar vanaf die pagina’s naar wordt gelinkt. We hebben alle .nl-domeinen op het tweede niveau overgenomen, zoals voorbeeld.nl. Dat leverde 1.880.849 unieke domeinen op.

Common Crawl verzamelt websites. Domeinen zonder website, geparkeerde domeinen en domeinen die alleen voor e-mail worden gebruikt, zitten er minder in. Volgens SIDN waren er medio 2026 ongeveer 6,1 miljoen .nl-domeinen. We hebben dus ongeveer 31% van alle .nl-domeinen gemeten, en dat deel is niet willekeurig gekozen.

We wilden ook domeinen uit Certificate Transparency-logs toevoegen. Dat bleek met openbare bronnen niet haalbaar binnen dit onderzoek.

Hoe we hebben gemeten

Per domein hebben we op 12 en 13 november 2026 openbare DNS-gegevens opgevraagd via een eigen resolver (Unbound). We hebben geen verbinding gemaakt met mailservers, geen mail verstuurd en geen websites bezocht.

Van de domeinen zonder geldig antwoord hebben we er 7.479 een tweede keer geprobeerd. Daarvan gaf 16% alsnog een antwoord; die tellen wel mee. De rest bleef mislukken, meestal door een kapotte DNS-configuratie. Daarom hebben we de overige domeinen niet opnieuw geprobeerd. Domeinen zonder geldig antwoord tellen niet mee in de percentages.

Wat we per protocol hebben gecontroleerd

Definities

• Domeinen met e-mail: domeinen met minstens één MX-record dat naar een mailserver wijst.
• DMARC houdt mail tegen: precies één geldig DMARC-record met p=quarantine of p=reject, en geen pct lager dan 100.
• Mailprovider: bepaald aan de hand van de domeinnaam van de mailservers in het MX-record. Gebruikt een domein een spamfilter, dan tellen we het spamfilter.

Kanttekeningen

• DNS laat zien wat er is ingesteld, niet of het klopt met hoe een organisatie echt mailt. Een domein met p=reject kan door een fout zijn eigen mail laten weigeren. Dat zie je alleen in DMARC-rapporten.
• Records kunnen sinds onze meting zijn veranderd.
• We publiceren alleen totalen. We noemen geen individuele domeinen.

Wil je weten hoe jouw domein ervoor staat? Doe de domeincheck.