SPF, DKIM en DMARC: zo regel je het en kom je in de inbox.

Joeri Ras · Oprichter van Xendy

Bijgewerkt op 20 oktober 2026 · 8 min lezen · Eerder verschenen op nextmessage.nl

In het kort

• SPF zegt welke servers namens je domein mogen mailen.
• DKIM zet een digitale handtekening op elke mail, zodat de ontvanger ziet dat er onderweg niets is veranderd.
• DMARC koppelt die twee aan het afzenderadres dat je lezer ziet. Het vertelt de ontvanger wat te doen als dat niet klopt, en stuurt jou rapporten.
• Stuur je rond de 5.000 mails per dag of meer naar Gmail of Outlook.com, dan zijn alle drie verplicht. Daaronder zijn ze nog steeds een goede manier om uit de spammap te blijven.
• Begin DMARC met p=none, lees minstens een maand de rapporten en ga dan stap voor stap naar quarantine of reject.

Benieuwd hoe jouw domein ervoor staat? Vul het hieronder in.

Waarom dit nu speelt

In februari 2024 begonnen Gmail en Yahoo met eisen voor iedereen die mailt, met extra eisen voor grote verzenders. Sinds november 2025 voert Gmail de handhaving op: mail die niet aan de eisen voldoet, krijgt tijdelijke of permanente weigeringen. Outlook.com eist sinds 5 mei 2025 SPF, DKIM en DMARC van domeinen die meer dan 5.000 mails per dag sturen. Anders gaat die mail naar Ongewenst en kan hij worden geweigerd. Apple weigert bulkmail die niet aan alle voorwaarden voldoet.

Kort gezegd: zonder deze drie records hangt je bezorging af van geluk.

Bronnen: Google en de FAQ, Yahoo, Microsoft, Apple.

SPF: wie mag er namens je domein mailen

SPF (Sender Policy Framework) is een TXT-record met de servers en diensten die mail mogen versturen voor je domein. De ontvangende server vergelijkt het IP-adres van de verzender met die lijst. Een voorbeeld voor een domein dat mailt via Microsoft 365:

jouwdomein.nl.  TXT  "v=spf1 include:spf.protection.outlook.com ~all"

Drie regels om te onthouden:

1. Eén SPF-record per domein. Twee records geven een fout, en dan faalt SPF voor al je mail. Voeg diensten samen in één record.
2. Maximaal tien DNS-lookups. Elke include, a, mx of redirect telt mee, ook de lookups binnen een include. Kom je erboven, dan faalt SPF.
3. Eindig met ~all. Google raadt ~all aan. Met -all kan een ontvanger mail al weigeren voordat DMARC heeft gekeken of DKIM wel klopt. De nieuwe DMARC-standaard waarschuwt daar ook voor.

SPF controleert niet het afzenderadres dat je lezer ziet, maar het technische retouradres (de Return-Path). Daarom is SPF alleen niet genoeg, en daarvoor is DMARC.

Waarom Xendy niet in je SPF-record hoeft. Xendy verstuurt met een eigen retouradres op het subdomein mailer.jouwdomein.nl, en dat subdomein krijgt een eigen SPF-record. Je hoofdrecord blijft dus ongemoeid en kost geen extra lookup.

DKIM: een handtekening op elke mail

DKIM (DomainKeys Identified Mail) zet een cryptografische handtekening in de header van elke mail. De bijbehorende publieke sleutel staat in je DNS, onder een selector: selector._domainkey.jouwdomein.nl. De ontvanger controleert de handtekening en ziet zo dat de mail van jouw domein komt en onderweg niet is aangepast.

• Sleutellengte. Gmail eist minimaal 1024 bits en raadt 2048 bits aan.
• Per dienst een eigen sleutel. Je mailbox, je webshop en je e-mailmarketingtool hebben elk een eigen selector. Ze zitten elkaar dus niet in de weg.
• Sleutels vervangen. De branchevereniging M3AAWG adviseert om DKIM-sleutels twee keer per jaar te vervangen. Werkt je dienst met CNAME-records, dan doet die dienst dat voor je.

In Xendy krijg je drie CNAME-records voor DKIM. Ze zien er zo uit (de codes verschillen per domein en kopieer je uit je account):

abc123._domainkey.jouwdomein.nl.  CNAME  abc123.dkim.amazonses.com.
def456._domainkey.jouwdomein.nl.  CNAME  def456.dkim.amazonses.com.
ghi789._domainkey.jouwdomein.nl.  CNAME  ghi789.dkim.amazonses.com.

DMARC: het beleid en de rapporten

DMARC (Domain-based Message Authentication, Reporting and Conformance) doet drie dingen:

1. Het controleert of SPF of DKIM slaagt voor hetzelfde domein als in het Van-adres dat je lezer ziet. Dat heet alignment.
2. Het vertelt de ontvanger wat te doen als dat niet zo is: niets (none), naar de spammap (quarantine) of weigeren (reject).
3. Het laat ontvangers rapporten naar je sturen, zodat je ziet wie er allemaal mailt namens je domein.

Een goed startrecord:

_dmarc.jouwdomein.nl.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl"

Je eigen record maak je met de generator in de domeincheck hierboven.

Een nieuwe standaard. In mei 2026 werd DMARC een officiële IETF-standaard: RFC 9989, met aparte RFC’s voor de rapporten. Voor jou verandert er weinig. pct verdwijnt ten gunste van de testmodus t, en np regelt subdomeinen die niet bestaan. Bestaande records blijven werken.

Alignment bij Xendy. De DKIM-handtekening is van je eigen domein en het retouradres staat op mailer.jouwdomein.nl. Bij de standaard ruime afstemming horen ze allebei bij jouwdomein.nl, dus DMARC slaagt op SPF én op DKIM.

Van none naar reject: zo bouw je het op

Ga niet in één keer naar reject. Grote kans dat je dan je eigen orderbevestigingen of facturen tegenhoudt, omdat een dienst die je vergeten was nog niet goed staat.

1. Week 0: publiceer p=none met een rua-adres.
2. Week 1–4: lees de rapporten. Zie je bronnen die falen, zoals je webshop, factuurprogramma of helpdesk, zet daar dan DKIM goed.
3. Na minimaal een maand: stap over op p=quarantine. Mail die faalt, gaat naar de spammap.
4. Na nog een maand zonder verrassingen: eventueel p=reject, desnoods eerst met t=y.

De nieuwe standaard beschrijft precies deze route. Hij plaatst ook een kanttekening: mailen medewerkers vanaf hetzelfde domein naar mailinglijsten, dan kan reject die berichten laten mislukken. Voor zo’n domein is quarantine een prima eindpunt.

Stappenplan: zo zet je het goed

1. Maak een lijst van alles wat namens je domein mailt. Je mailbox (Microsoft 365, Google Workspace, TransIP), je webshop, je e-mailmarketing, je factuurprogramma, je helpdesk en je CRM.
2. Controleer je SPF-record. Eén record, alle diensten die erom vragen, maximaal tien lookups, eindigend op ~all.
3. Zet DKIM aan voor elke dienst. Elke dienst geeft je zijn eigen records, meestal CNAME’s.
4. Publiceer DMARC met p=none en een rua-adres.
5. Test. Gebruik de domeincheck bovenaan dit artikel of de gratis e-mailtest van internet.nl. In Google Postmaster Tools zie je of Gmail je domein compliant vindt; dat overzicht ververst meestal binnen 24 uur.
6. Lees een maand de rapporten en los de bronnen op die falen.
7. Verscherp je beleid naar quarantine en later eventueel reject.

DNS-wijzigingen zijn meestal binnen een paar uur zichtbaar, soms pas na 48 uur.

Zo stel je het in bij Xendy

Ga in Xendy naar Instellingen › E-mailinstellingen › Domein en klik in de sectie DNS Records op Bekijken. Je ziet drie groepen:

Zet de records in het DNS-beheer van je domeinprovider en klik op Alles checken. Staat alles op Gevonden, klik dan op Opnieuw verifiëren. Heb je al een strenger DMARC-record, laat dat dan staan: Xendy telt elk geldig DMARC-record als goed. Voeg aan het record van Xendy zelf een rua-adres toe (rua=mailto:dmarc@jouwdomein.nl), anders krijg je geen rapporten. Een handleiding met links naar de bekende providers staat in de helpdesk: DNS-records instellen voor Xendy.

Daarna controleert Xendy regelmatig of je domein en je DKIM-records nog kloppen. Valt er een weg, dan zie je dat in je account, en wie met de API werkt, kan er een webhook voor instellen. Je SPF- en DMARC-record controleer je zelf, bijvoorbeeld met de check bovenaan dit artikel.

Afmelden met één klik regelt Xendy ook: elke campagnemail krijgt de headers die Gmail en Yahoo vragen, en wie op hun afmeldknop drukt, is meteen afgemeld. Werk je met Claude of ChatGPT, dan kun je via de Xendy-koppeling ook vragen of je DNS goed staat.

Veelgemaakte fouten

• Twee SPF-records, bijvoorbeeld een oude naast een nieuwe. Voeg ze samen.
• Meer dan tien lookups door includes van diensten die je niet meer gebruikt.
• Meteen reject zonder de rapporten te lezen, waarna je eigen facturen worden geweigerd.
• Een dienst vergeten, vaak de webshop die orderbevestigingen stuurt, of de helpdesk.
• Een gratis adres als afzender, zoals @gmail.com of @hotmail.com. Je mail komt dan niet van je eigen domein en faalt op DMARC.
• Een rua-adres dat niemand leest. Dan mis je precies de signalen waar DMARC voor is.

BIMI: je logo in de inbox

BIMI (Brand Indicators for Message Identification) toont je logo naast je mail in de inbox. Het is de beloning voor een streng DMARC-beleid:

• DMARC staat op quarantine of reject, voor je hele domein.
• Je logo is een SVG in het formaat SVG Tiny PS.
• Gmail toont het logo alleen met een certificaat: een VMC (vereist een geregistreerd merk) of, sinds 2024, een CMC (bij DigiCert minimaal twaalf maanden aantoonbaar gebruik van het logo). Met een VMC krijg je ook een vinkje.
• Yahoo toont logo’s zonder certificaat bij bulkmail met een goede reputatie. Apple Mail vraagt een VMC.

BIMI regel je in je eigen DNS, los van je e-mailtool. Voor de meeste webshops is het een mooie volgende stap, geen eerste.

Hoe Nederland ervoor staat

De overheid moet SPF, DKIM en DMARC gebruiken: ze staan op de lijst ‘pas toe of leg uit’ van het Forum Standaardisatie. Eind 2025 had 86% van de gemeten overheidsdomeinen een strikt DMARC-beleid. Van de .nl-domeinen met mail heeft volgens SIDN Labs zo’n 85% een DMARC-record, en ruim een derde daarvan staat op reject.

Bronnen

• Google: Email sender guidelines en FAQ; BIMI in Gmail
• Yahoo: Sender best practices en BIMI
• Microsoft: Outlook’s requirements for high-volume senders
• Apple: Postmaster information for iCloud Mail en BIMI in Apple Mail
• IETF: RFC 9989 (DMARC), RFC 7208 (SPF), RFC 8301 (DKIM-sleutels), RFC 8058 (afmelden met één klik)
• M3AAWG: DKIM Key Rotation
• BIMI Group: implementation guide
• Forum Standaardisatie: meting begin 2026; SIDN Labs: mailstatistieken