SMTP

De hoge Nederlandse acceptance rate van 99,3% is geen toeval. Nederlandse e-mailaanbieders en hostingpartijen ondersteunen standaard de drie kernprotocollen voor authenticatie, waardoor e-mails de inbox bereiken in plaats van te worden geblokkeerd. Maar die technische basis is inmiddels geen best practice meer. Het is een harde vereiste die de grootste e-mailproviders ter wereld actief afdwingen, met directe rejecties als gevolg.

Chronologie van de authenticatie-deadlines

In 2024 stelden Google en Yahoo als eersten verplichte eisen voor bulk-verzenders: SPF, DKIM en DMARC zijn verplicht, het spampercentage moet onder de 0,3% blijven en ontvangers moeten zich met één klik kunnen afmelden.^[2] In mei 2025 volgde Microsoft voor Outlook.com, Hotmail en Live met dezelfde eisen. E-mails die niet voldoen aan SPF, DKIM en DMARC krijgen een harde SMTP-fout 550 5.7.515 en worden direct geweigerd.^[8] Gmail schaalt enforcement verder op vanaf november 2025 met zowel tijdelijke als permanente rejecties voor niet-conforme afzenders. Apple iCloud weigert bulkmail bij ontbrekende authenticatie, vereist dat afmeldingen binnen 48 uur worden verwerkt en dat inactieve adressen periodiek worden verwijderd.^[9]

Let op: Microsoft weigert e-mail bij ontbrekende authenticatie

• Geen of onjuist SPF-record: directe SMTP-fout 550 5.7.515, e-mail afgewezen.

Een klant belt: hij heeft zojuist een factuur betaald aan "jou", maar jij hebt die nooit verstuurd. De afzender stond letterlijk als jou@jouwnaam.nl in zijn inbox. Geen gehackte inbox, geen gestolen wachtwoord, geen verdacht e-mailadres. Gewoon jouw domeinnaam, misbruikt door iemand anders.

Dit is e-mailspoofing, en het is mogelijk omdat het e-mailprotocol SMTP bij zijn ontwerp in de jaren tachtig geen afzenderverificatie kende. Zonder de juiste DNS-records kan iedereen ter wereld een e-mail sturen alsof hij van jouw domein afkomt. Hoe DNS-records werken en welke rol ze spelen voor jouw domein is een goede startplek voor wie de basis nog wil begrijpen. In dit artikel leggen we je uit welke concrete maatregelen je treft om je domein te beschermen: van SPF en DKIM tot DMARC, DANE, BIMI en defensieve domeinregistratie.

Hoe criminelen jouw domeinnaam misbruiken zonder jouw wachtwoord

Het SMTP-protocol, de basis van alle e-mail, werd in 1982 ontworpen. Afzenderverificatie zat er niet in. Dat betekent concreet: elk systeem dat e-mail kan versturen, kan als afzender iedere domeinnaam invullen die het wil. Jouw mailserver controleert dat niet, en die van de ontvanger ook niet, tenzij jij de juiste beveiligingsrecords hebt ingesteld.

• Februari 2024: Google en Yahoo stelden SPF en DKIM verplicht voor bulkafzenders (meer dan 5.000 berichten per dag). Kleinere afzenders moesten minimaal SPF of DKIM implementeren.^[2]
• November 2025: Gmail schakelde over van spamfolder naar permanente SMTP-weigering. Mail van niet-conforme servers krijgt foutcode 550 5.7.26 en wordt nooit afgeleverd.^[3]
• Mei 2025: Microsoft volgde voor Outlook.com, Hotmail en Live.com. Bulkafzenders zonder SPF, DKIM en DMARC ontvangen foutcode 550 5.7.515.^[4]