MTA-STS

In 2025 stuurde SIDN voor 3.724 .nl-domeinnamen waarschuwingen uit wegens vermoeden van phishing of malware, met een gemiddelde afhandelingstijd van 21 uur.^[6] Een aanvaller kan in die 21 uur al honderden berichten hebben verstuurd. Preventie werkt goedkoper dan reactie. Bekijk ook hoe spookfacturen via domeinnamen in de praktijk worden ingezet om je bewuster te worden van het concrete risico.

Transportbeveiliging: DANE en MTA-STS

SPF, DKIM en DMARC authenticeren de afzender. DANE en MTA-STS beveiligen de verbinding: ze dwingen af dat e-mail altijd via TLS-versleuteling wordt verstuurd, zodat het bericht onderweg niet afgeluisterd of aangepast kan worden. Ze zijn dus een aanvulling op, geen vervanging van, de drie authenticatielagen.

Meer over hoe IP-blacklisting werkt en hoe het herstelproces verloopt lees je in ons artikel over e-mailreputatie.

Technische minimumeisen: alles of niets

Een eigen mailserver in 2026 is niet klaar met een standaardinstallatie. De verplichte elementen zijn SPF (onder de 10-lookup limiet), DKIM 2048-bit (met jaarlijkse sleutelrotatie), DMARC (einddoel p=reject), MTA-STS, TLS, DNSSEC en een correct PTR-record. Ontbreekt een van deze elementen, dan wacht een permanente 550-fout bij Gmail of Microsoft. Dat is geen waarschuwing, maar een harde weigering voordat de mail de inbox bereikt.^[3]

Tel daar de beheerslast bij op: 2 tot 5 uur per maand voor updates, monitoring, loganalyse en incidentrespons. Dit is structureel werk, geen eenmalige installatie.

Samenvatting: Email authenticatie in het kort

Email authenticatie via DNS voorkomt spoofing en verbetert deliverability. SPF records specificeren welke servers namens je domein mogen mailen. DKIM records voegen een digitale handtekening toe. DMARC records combineren SPF en DKIM met beleid voor gefaalde authenticatie. BIMI toont je logo in de inbox. Voor extra beveiliging zijn er MTA-STS (TLS afdwingen) en DANE (certificaatvalidatie via DNSSEC).

Controleer direct je email DNS records:

• SPF Checker — Valideer je SPF record