Is mijn e-maildomein beveiligd?

Bijgewerkt op 29 oktober 2026

Zonder SPF, DKIM en DMARC kan iedereen e-mails versturen die van uw domein lijken te komen. Vul een domein of adres in: de tool leest de openbare configuratie en vertelt u precies wat u moet aanpassen.

Wat de tool controleert

Als er een e-mail binnenkomt, raadpleegt de mailserver van de ontvanger de DNS van het domein van de afzender om te zien of die echt is. De tool leest precies dezelfde openbare records:

Record	Waar het staat	De functie
MX	`voorbeeld.nl`	Geeft de servers aan die de mail van het domein ontvangen
SPF	TXT van `voorbeeld.nl`	Somt de servers op die namens het domein mogen versturen
DKIM	TXT van `selector._domainkey.voorbeeld.nl`	Publiceert de sleutel die de handtekening van berichten controleert
DMARC	TXT van `_dmarc.voorbeeld.nl`	Bepaalt wat er gebeurt met een bericht dat niet slaagt, en waar de rapporten heen gaan
MTA-STS	TXT van `_mta-sts.voorbeeld.nl`	Dwingt versleuteling af van ontvangen berichten (optioneel)
BIMI	TXT van `default._bimi.voorbeeld.nl`	Toont het merklogo in sommige mailprogramma's (optioneel)

Zo leest u het resultaat

De score op 100 vat de beveiliging samen. SPF en vooral DMARC wegen het zwaarst, omdat die vervalsing tegenhouden. MTA-STS en BIMI zijn bonussen. DKIM telt alleen mee als er een sleutel wordt gevonden of als u een selector invult.

SPF met „-all” of „~all”: correct. „-all” vraagt om niet-vermelde servers te weigeren, „~all” om ze als verdacht te markeren. Met actieve DMARC beschermen beide goed.
SPF met „?all”, „+all” of zonder slotregel: de SPF bestaat, maar beschermt niet. „+all” is zelfs gevaarlijk, omdat het iedereen toestaat.
Meerdere SPF-records: een veelgemaakte fout na het toevoegen van een nieuwe dienst. Ze moeten worden samengevoegd tot één record.
DMARC „p=none”: observatiemodus. U ontvangt rapporten, maar vervalste e-mails komen erdoor. Het is een tussenstap, geen eindpunt.
DMARC „quarantine” of „reject”: vervalsingen gaan naar de spam of worden geweigerd. Dat is het doel.
Rapporten „rua”: zonder rapporten weet u niet wie er namens uw domein verstuurt.

Waarom DKIM een selector nodig heeft

Elke provider publiceert zijn DKIM-sleutel onder een zelfgekozen naam, de selector: google bij Google Workspace, selector1 en selector2 bij Microsoft 365, andere namen elders. Via de DNS kunt u die namen niet opvragen. De tool probeert de gangbaarste; vindt hij niets, dan bewijst dat niet dat DKIM ontbreekt.

Om uw selector te vinden, opent u een e-mail die vanaf uw domein is verstuurd, toont u de headers en zoekt u de regel DKIM-Signature: de waarde na s= is de selector, die na d= het ondertekenende domein. De headeranalyse van Boxo helpt u ze te lezen.

Waarom dit belangrijk is

Het e-mailprotocol laat toe om elk willekeurig adres in het veld „Van” te zetten. Zonder authenticatie kan een oplichter valse facturen of nepberichten over wachtwoorden versturen die van uw bedrijf lijken te komen. Uw klanten worden het slachtoffer, en uw reputatie ook.

Bezorging is de andere kant. Sinds 2024 eisen Gmail en Yahoo dat bulkverzenders hun berichten authenticeren met SPF, DKIM en DMARC. Zelfs bij een klein domein zorgt een ontbrekende of kapotte SPF er vaak voor dat legitieme berichten in de spam belanden.

Wat te doen, in deze volgorde

Zet alles op een rij wat e-mail verstuurt voor uw domein: mailserver, website, nieuwsbrieftool, factuursoftware, CRM.
Publiceer één SPF die ze allemaal toestaat, eindigend op ~all. De records die de tool voorstelt zijn een startpunt om aan te passen.
Schakel DKIM in bij elk van die diensten: zij geven u het record dat u moet toevoegen.
**Publiceer DMARC met p=none** en een rua-adres, en lees een paar weken lang de rapporten.
**Ga over op p=quarantine en daarna p=reject** zodra al uw legitieme verzendingen slagen.

Een domein dat nooit e-mail verstuurt, zoals een naam die alleen is vastgelegd om een merk te beschermen, moet ook worden vergrendeld: v=spf1 -all en v=DMARC1; p=reject;. Anders blijft het een ideaal doelwit voor vervalsing, juist omdat niemand het in de gaten houdt.

DNS-wijzigingen zijn na enkele minuten tot enkele uren zichtbaar. Start de analyse daarna opnieuw om het te controleren.

Wegwerpadres aanmaken

Veelgestelde vragen

Verstuurt de tool een e-mail of neemt hij contact op met de server van het domein?

Nee. Hij leest alleen openbare DNS-records, dezelfde die elke mailserver raadpleegt bij het ontvangen van een e-mail. Er wordt geen bericht verstuurd.

Moet ik in de SPF „-all” of „~all” kiezen?

Beide zijn prima zodra DMARC actief is. „~all” is toleranter tijdens het instellen, als u een verzenddienst bent vergeten. Zodra al uw afzenders erin staan, is „-all” strenger.

Waarom vindt de tool mijn DKIM-sleutel niet?

Die staat onder een selector die uw provider kiest en die de DNS niet kan opsommen. Vul hem in het daarvoor bedoelde veld in: hij staat na „s=” in de header DKIM-Signature van een e-mail die vanaf uw domein is verstuurd.

Kan DMARC op „reject” mijn eigen e-mails blokkeren?

Ja, als een van uw verzenddiensten niet via SPF is toegestaan of niet met DKIM is ondertekend. Daarom begint u met „p=none” en leest u de rapporten voordat u het beleid aanscherpt.