Email authenticatie checklist 2026: SPF, DKIM, DMARC & BIMI

Waarom is email authenticatie belangrijk?

Zonder email authenticatie kan iedereen e-mails versturen die lijken te komen van jouw domein. Dit leidt tot drie problemen:

1. Deliverability-problemen — Je legitieme e-mails belanden in de spamfolder omdat mailservers je domein niet kunnen vertrouwen
2. Reputatieschade — Criminelen versturen phishing-mails namens jouw domein, wat je merkimago beschadigt
3. Wettelijke risico's — De NCSC-richtlijn adviseert Nederlandse organisaties om email authenticatie te implementeren

Google en Yahoo requirements 2024

Sinds 1 februari 2024 gelden strengere eisen voor bulk verzenders (meer dan 5.000 e-mails per dag):

Ook als je geen bulk verzender bent, verbetert volledige authenticatie je deliverability. Begrijp je nog niet precies hoe DNS werkt? Lees dan eerst die basis.

Stap 1: SPF record instellen

Wat SPF doet

SPF controleert de "envelope sender" (Return-Path) van een e-mail. De ontvangende mailserver vergelijkt het IP-adres van de verzendende server met de toegestane servers in jouw SPF record. Bij een match passeert de e-mail de SPF-check.

SPF record maken

Voorbeeld SPF record

v=spf1 include:_spf.google.com include:_spf.keurigonline.nl ~all

Dit record staat Google Workspace en KeurigOnline toe om namens je domein te mailen. De ~all betekent "softfail" — niet-gematchte mail wordt gemarkeerd maar niet geweigerd.

SPF verificatie

Controleer je SPF record met het dig commando:

dig TXT jouwdomein.nl +short | grep spf

Of gebruik MXToolbox SuperTool voor een visuele check.

Stap 2: DKIM instellen

Wat DKIM doet

DKIM voegt een digitale handtekening toe aan je e-mails. Dit bewijst twee dingen:

• Authenticiteit — De e-mail komt daadwerkelijk van het genoemde domein
• Integriteit — De inhoud is niet gewijzigd tijdens transport

DKIM instellen

Voorbeeld DKIM record

google._domainkey.jouwdomein.nl IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

De selector (hier: "google") identificeert welke sleutel wordt gebruikt. Je kunt meerdere selectors hebben voor verschillende diensten.

DKIM bij populaire providers

DKIM verificatie

Test je DKIM configuratie door een e-mail te sturen naar mail-tester.com of bekijk de e-mailheaders voor dkim=pass.

Stap 3: DMARC instellen

Wat DMARC doet

DMARC verbindt SPF en DKIM aan het domein dat de gebruiker ziet (de "From" header). Daarnaast bepaalt DMARC:

• Beleid — Wat moet er gebeuren met e-mails die falen? (none/quarantine/reject)
• Alignment — Moeten SPF/DKIM domeinen exact matchen of is een subdomeinKeurigOnline zegtSubdomeinEen subdomein is een extra voorvoegsel voor je domeinnaam, zoals blog.voorbeeld.nl of shop.voorbeeld.nl. voldoende?
• Rapportage — Ontvang dagelijkse XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-rapporten over alle e-mails namens jouw domein

DMARC instellen

Voorbeeld DMARC record

v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwdomein.nl; ruf=mailto:dmarc-forensic@jouwdomein.nl; pct=100; adkim=r; aspf=r

Dit record:

• p=quarantine — Plaats falende mail in spam
• rua= — Ontvang dagelijkse aggregate rapporten
• ruf= — Ontvang forensic rapporten bij failures
• pct=100 — Pas beleid toe op 100% van de mail
• adkim=r / aspf=r — Relaxed alignment (subdomeinen toegestaan)

DMARC beleidsniveaus

Stap 4: BIMI instellen (optioneel)

BIMI requirements

BIMI vereist:

• DMARC met p=quarantine of p=reject — Je moet streng DMARC beleid hebben
• SVG logo in Tiny PS formaat — Specifiek formaat voor email clients
• VMC certificaatKeurigOnline zegtVMC certificaatEen VMC (Verified Mark Certificate) bewijst eigenaarschap van een handelsmerk en is vereist voor BIMI in Gmail. (optioneel voor Gmail) — Verified Mark Certificate voor het blauwe vinkje

BIMI instellen

Voorbeeld BIMI record

default._bimi.jouwdomein.nl IN TXT "v=BIMI1; l=https://jouwdomein.nl/bimi-logo.svg; a=;"

De a= parameter is voor het VMC certificaat. Zonder VMC laat je dit leeg.

VMC certificaat (voor Gmail verified checkmark)

Gmail toont alleen je logo met blauw vinkje als je een Verified Mark Certificate hebt. Dit certificaat kost €1.000-1.500 per jaar en is verkrijgbaar bij:

• DigiCert VMC
• Entrust VMC

Voor kleine bedrijven is dit vaak niet nodig — Yahoo en Apple Mail tonen je logo ook zonder VMC.

Alles testen: de complete verificatie

Na het instellen van alle records moet je verifiëren dat alles correct werkt. Gebruik deze tools:

Snelle check (5 minuten)

Zie onze complete vergelijking van DNS test tools en email deliverability testers voor meer opties.

Test via e-mailheaders

Stuur een test-email naar jezelf en bekijk de headers. Zoek naar:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@jouwdomein.nl header.s=google;
       spf=pass (google.com: domain of noreply@jouwdomein.nl) smtp.mailfrom=noreply@jouwdomein.nl;
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=jouwdomein.nl

Je wilt pass zien voor alle drie: dkim=pass, spf=pass, dmarc=pass.

SPF record voorbeelden

Hier zijn kant-en-klare SPF records voor veelvoorkomende configuraties:

KeurigOnline hosting + Google Workspace

v=spf1 include:_spf.keurigonline.nl include:_spf.google.com ~all

Dit record autoriseert zowel KeurigOnline's mailservers als Google Workspace om e-mail te versturen namens je domein.

KeurigOnline hosting + Microsoft 365

v=spf1 include:_spf.keurigonline.nl include:spf.protection.outlook.com ~all

Webhosting + nieuwsbrief tool + eigen IP

v=spf1 include:_spf.keurigonline.nl include:servers.mcsv.net ip4:123.45.67.89 ~all

Vervang 123.45.67.89 door het IP-adres van je eigen mailserver indien van toepassing.

Meer informatie over geavanceerde DNS configuratie en TTLKeurigOnline zegtTTLTTL bepaalt hoe lang DNS-informatie of cache-data geldig blijft voordat deze ververst wordt.-instellingen.

Troubleshooting: veelvoorkomende problemen

Email belandt nog steeds in spam

Als je email nog steeds in de spamfolder belandt ondanks correcte authenticatie, ligt het probleem vaak bij je domeinreputatie of content:

• Check domain reputation — Gebruik Google Postmaster Tools voor inzicht in hoe Gmail je domein beoordeelt
• Check IP reputation — Gebruik MXToolbox Blacklist Check om te zien of je IP op blacklists staat
• Analyseer content — Mail-Tester scoort ook je content op spam-indicatoren
• Controleer engagement — Lage open rates en hoge bounce rates schaden je reputatie
• Warm-up nieuwe domeinen — Nieuwe domeinen moeten geleidelijk volume opbouwen

SPF permerror: te veel DNS lookups

Een van de meest voorkomende SPF-problemen is het overschrijden van de 10 DNS lookup limiet. Dit veroorzaakt een "permerror" waardoor je SPF volledig faalt.

Zo tel je je huidige lookups:

1. Ga naar DMARCIAN SPF Surveyor
2. Voer je domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. in
3. Bekijk de "lookup tree" — elke vertakking telt als lookup

Oplossingen voor te veel lookups:

• SPF flatteningKeurigOnline zegtSPF flatteningSPF flattening vervangt include-statements door directe IP-adressen om onder de 10 DNS lookup limiet te blijven. — Vervang include: statements door directe IP-ranges. Let op: dit vereist regelmatig onderhoud als IP's wijzigen.
• Verwijder oude includes — Diensten die je niet meer gebruikt (oude CRM, vorige nieuwsbrief-tool)
• Consolideer verzending — Verstuur alle mail via één dienst in plaats van meerdere

DMARC alignment failures

Er zijn twee alignment modes:

• Strict (adkim=s / aspf=s) — Domeinen moeten exact matchen. mail.jouwdomein.nl ≠ jouwdomein.nl
• Relaxed (adkim=r / aspf=r) — Organizational domain moet matchen. mail.jouwdomein.nl = jouwdomein.nl

De meeste organisaties gebruiken relaxed mode omdat dit flexibeler is met subdomeinen en externe diensten.

DKIM signature invalid of missing

DKIM failures komen vaak voor door:

• Verkeerde selector — De selector in je email matcht niet met je DNS record
• Ontbrekend DNS record — Het DKIM TXT-recordKeurigOnline zegtTXT-recordEen TXT-record bevat tekstinformatie in DNS, vaak gebruikt voor domeinverificatie en e-mailbeveiliging. is niet toegevoegd of nog niet gepropageerd
• Content wijzigingen — Mailing lists of forwarding services wijzigen de mail, waardoor de handtekening breekt
• Key rotation — De sleutel is geroteerd maar het oude DNS record staat er nog

Controleer je DKIM setup met: dig TXT selector._domainkey.jouwdomein.nl +short

Mailing lists en forwarding breken DKIM (ARC)

Een veelvoorkomend probleem: je DKIM is correct geconfigureerd, maar e-mails via mailing lists of forwarding services falen toch. Dit komt doordat deze diensten de e-mail wijzigen (bijvoorbeeld een footer toevoegen), waardoor de DKIM-handtekening ongeldig wordt.

Hoe ARC werkt:

1. De originele e-mail passeert SPF, DKIM en DMARC bij de eerste hop
2. Een mailing list wijzigt de e-mail (footer, subject prefix)
3. De mailing list voegt ARC-headers toe die de originele authenticatiestatus vastleggen
4. De ontvangende mailserver ziet dat DKIM faalt, maar vertrouwt de ARC-chain van de bekende mailing list

Wat kun je doen?

• Voor ontvangers: Gmail, Microsoft 365 en Yahoo ondersteunen ARC automatisch — geen actie nodig
• Voor mailing list beheerders: Configureer ARC-signing in je mailing list software (Mailman 3+, Sympa)
• Voor verzenders: Overweeg p=quarantine in plaats van p=reject als veel ontvangers mailing lists gebruiken

DNS propagatie duurt lang

Na het toevoegen van DNS records kunnen deze niet direct actief zijn. Dit komt door DNS caching:

• TTL (Time To Live) — Oude records blijven gecached tot de TTL verloopt
• Recursive resolvers — ISPKeurigOnline zegtISPEen ISP (Internet Service Provider) is de aanbieder van jouw internetverbinding.'s en providers cachen DNS queries

Tips voor snellere propagatie:

• Verlaag je TTL naar 300 seconden voordat je wijzigingen doorvoert
• Gebruik DNS Checker om propagatie wereldwijd te monitoren
• Flush je lokale DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. cacheKeurigOnline zegtCacheEen cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. met ipconfig /flushdns (Windows) of sudo dscacheutil -flushcache (macOS)

Te veel DNS lookups (SPF permerror)

Als je SPF faalt met "permerror" heb je waarschijnlijk meer dan 10 DNS lookups. Oplossingen:

• SPF flattening — Vervang includes door directe IP-ranges
• Verwijder ongebruikte includes — Oude diensten die je niet meer gebruikt
• Gebruik SPF macro's — Geavanceerde techniek voor complexe setups

Zie onze gids voor DNS problemen oplossen voor meer troubleshooting tips.

Third-party diensten correct configureren

Veel email authenticatie problemen ontstaan door third-party diensten die namens je domein mailen. Zorg dat je voor elke dienst de juiste configuratie doorvoert:

Raadpleeg altijd de officiële documentatie van de dienst voor de meest actuele configuratie.

Veelgestelde vragen

Conclusie: je complete email authenticatie stack

Met deze checklist heb je alle stappen doorlopen voor volledige email authenticatie:

1. SPF — Bepaalt welke servers mogen mailen (genereer je record)
2. DKIM — Ondertekent je berichten cryptografisch (genereer je sleutel)
3. DMARC — Stelt beleid in en levert rapporten (analyseer je rapporten)
4. BIMI — Toont je logo in de inbox (genereer je record)

Test je complete setup met onze email deliverability testers en gebruik DNS test tools om je records te verifiëren.

Volgende stappen:

• Stel DMARC in met p=none en monitor 2-4 weken
• Analyseer de rapporten op ongeautoriseerde verzenders
• Verscherp naar p=quarantine en uiteindelijk p=reject
• Overweeg BIMI voor betere merkherkenning

Bronnen en referenties

Dit artikel is gebaseerd op officiële specificaties en gezaghebbende bronnen:

1. IETF (2014) — RFC 7208: Sender Policy Framework (SPF): De officiële SPF specificatie
2. IETF (2011) — RFC 6376: DomainKeys Identified Mail (DKIM): De officiële DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. specificatie
3. IETF (2015) — RFC 7489: DMARC: De officiële DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. specificatie
4. Google (2024) — Gmail sender guidelines: Officiële Google vereisten voor verzenders
5. Yahoo (2024) — Yahoo sender best practices: Officiële Yahoo richtlijnen
6. NCSC (2023) — Bescherm domeinnamen tegen phishing: Nederlandse overheidsrichtlijn
7. SIDNKeurigOnline zegtSIDNSIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996. (2024) — Checklist e-mailstandaarden: Nederlandse .nl registry checklist
8. BIMI Group (2024) — BIMI Implementation Guide: Officiële BIMI documentatie
9. IETF (2019) — RFC 8617: Authenticated Received Chain (ARC): De officiële ARC specificatie voor mailing list forwarding

Let op: Email authenticatieKeurigOnline zegtEmail authenticatieEmail authenticatie is een verzameling DNS-protocollen (SPF, DKIM, DMARC) die bewijzen dat een email daadwerkelijk van het geclaimde domein komt. standaarden en provider requirements kunnen wijzigen. Controleer altijd de officiële documentatie van je e-mailprovider voor de meest actuele informatie. Links gecontroleerd op december 2025.