Email DNS Records: SPF, DKIM, DMARC en BIMI uitgelegd

Hoe werkt email authenticatie?

Wanneer je een email verstuurt, doorloopt deze meerdere authenticatiecontroles voordat de ontvanger hem ziet:

1. MX lookup — Bepaalt welke server de email moet ontvangen
2. SPF check — Controleert of de verzendende server gemachtigd is
3. DKIM verificatie — Valideert de digitale handtekening
4. DMARC evaluatie — Past het beleid toe op basis van SPF en DKIM resultaten
5. BIMI lookup — Haalt optioneel het merklogo op

De authenticatiepiramide

Email authenticatie werkt in lagen. Elke laag bouwt voort op de vorige:

Laten we elke laag in detail bekijken.

Google en Yahoo bulk sender requirements

Sinds februari 2024 gelden strengere eisen voor bulk verzenders (meer dan 5.000 e-mails per dag naar Gmail of Yahoo). Deze eisen zijn nu standaard:

Ook als je geen bulk verzender bent, verbetert volledige authenticatie je deliverability aanzienlijk. Zie de officiële Gmail sender guidelines en Yahoo sender best practices voor de complete eisen.

MX records: email routering

MX records bepalen welke mailservers email voor je domein ontvangen. We hebben deze uitgebreid behandeld in ons artikel over DNS record types.

Voorbeeld MX records:

voorbeeld.nl.    3600    IN    MX    10 mail.voorbeeld.nl.
voorbeeld.nl.    3600    IN    MX    20 backup.voorbeeld.nl.

De prioriteit (10, 20) bepaalt de volgorde. Lagere waarde = hogere prioriteit.

MX records voor populaire diensten

SPF records: wie mag namens jou mailen?

SPF is de eerste verdedigingslinie tegen email spoofingKeurigOnline zegtEmail spoofingEmail spoofing is het vervalsen van de afzender van een email om te doen alsof deze van een ander domein komt.. Het specificeert welke mailservers gemachtigd zijn om email te versturen namens jouw domein.

SPF record syntax

Basis SPF record:

v=spf1 ip4:185.199.108.0/24 include:_spf.google.com ~all

De onderdelen uitgelegd:

• v=spf1 — Versie indicator (verplicht)
• ip4: — Specifiek IPv4KeurigOnline zegtIPv4IPv4 is het 32-bit adresseringssysteem dat het grootste deel van het internet nog steeds aandrijft.-adres of range toestaan
• ip6: — Specifiek IPv6KeurigOnline zegtIPv6IPv6 is de nieuwste versie van het internetprotocol dat IPv4 opvolgt met een enorme adresruimte van 128-bit.-adres toestaan
• include: — SPF record van ander domein includen
• a — IP-adres(sen) van het A record toestaan
• mx — IP-adres(sen) van de MX servers toestaan

SPF qualifiers

Het laatste deel van een SPF record bepaalt wat er moet gebeuren met niet-gematchte bronnen:

SPF voor populaire diensten

Google Workspace:

v=spf1 include:_spf.google.com ~all

Microsoft 365:

v=spf1 include:spf.protection.outlook.com ~all

Combinatie (meerdere diensten):

v=spf1 include:_spf.google.com include:sendgrid.net include:mailchimp.com ~all

SPF record instellen

1. Inventariseer alle diensten die namens je domein mailen
2. Verzamel de SPF includes van elke dienst
3. Maak een TXT record aan op @ (root domein)
4. Begin met ~all en test grondig
5. Schakel over naar -all zodra alles werkt

DKIM records: digitale handtekening voor email

DKIM voegt een cryptografische handtekening toe aan elke uitgaande email. Ontvangende servers kunnen deze handtekening verifiëren om te bewijzen dat de email niet is aangepast onderweg.

Hoe werkt DKIM?

1. Je mailserver ondertekent uitgaande mail met een private key
2. De handtekening wordt toegevoegd aan de email header
3. De public key wordt gepubliceerd als DNS record
4. Ontvangende servers verifiëren de handtekening met de public key

DKIM record structuur

DKIM records worden opgeslagen als TXT record met een specifieke naam:

selector._domainkey.voorbeeld.nl.    3600    IN    TXT    "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3..."

De onderdelen:

• selector — Unieke naam gekozen door de maildienst (bijv. google, s1)
• _domainkey — Vaste subdomain indicator
• v=DKIM1 — DKIM versie
• k=rsa — Algoritme (meestal RSA)
• p= — De public key (base64 encoded)

DKIM voor populaire diensten

Google Workspace:

google._domainkey.voorbeeld.nl    TXT    "v=DKIM1; k=rsa; p=MIIBIjANBgkqhki..."

Microsoft 365:

selector1._domainkey.voorbeeld.nl    CNAME    selector1-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com

selector2._domainkey.voorbeeld.nl    CNAME    selector2-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com

Mailchimp:

k1._domainkey.voorbeeld.nl    CNAME    dkim.mcsv.net

Meerdere DKIM records

Je kunt meerdere DKIM records hebben voor verschillende diensten. Elke dienst gebruikt zijn eigen selector:

• google._domainkey — Google Workspace
• selector1._domainkey — Microsoft 365
• k1._domainkey — Mailchimp
• sendgrid._domainkey — SendGrid

DMARC records: beleid en rapportage

DMARC combineert SPF en DKIM en voegt er beleid aan toe. Het vertelt ontvangende servers wat ze moeten doen als authenticatie faalt én stuurt je rapportages over mislukte authenticaties.

DMARC alignment

DMARC vereist niet alleen dat SPF of DKIM slaagt, maar ook dat het aligned is. Dit betekent dat het domein in de "From" header overeenkomt met het domein dat door SPF of DKIM is geauthenticeerd.

DMARC record structuur

Voorbeeld DMARC record:

_dmarc.voorbeeld.nl.    3600    IN    TXT    "v=DMARC1; p=reject; rua=mailto:dmarc@voorbeeld.nl; ruf=mailto:forensics@voorbeeld.nl; pct=100"

De onderdelen:

• v=DMARC1 — DMARC versie (verplicht)
• p= — Beleid voor gefaalde authenticatie (verplicht)
• rua= — Email adres voor aggregate rapporten
• ruf= — Email adres voor forensic rapporten
• pct= — Percentage van emails waarop beleid wordt toegepast
• sp= — Beleid voor subdomeinen

DMARC beleid opties

Geleidelijke DMARC implementatie

DMARC rapporten lezen

DMARC stuurt dagelijks aggregate rapporten in XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-formaat. Handmatig lezen is lastig. Gebruik een DMARC analyzer:

• Dmarcian — Gratis tier beschikbaar
• Valimail — Enterprise oplossing
• Postmark DMARC — Gratis weekly digest

BIMI records: je logo in de inbox

BIMI is de nieuwste toevoeging aan email authenticatieKeurigOnline zegtEmail authenticatieEmail authenticatie is een verzameling DNS-protocollen (SPF, DKIM, DMARC) die bewijzen dat een email daadwerkelijk van het geclaimde domein komt.. Het toont je merklogo naast geauthenticeerde emails in de inbox van de ontvanger.

BIMI vereisten

BIMI werkt alleen als aan alle voorwaarden is voldaan:

• DMARC met p=quarantine of p=reject
• Logo in SVG Tiny PS formaat
• VMC (Verified Mark Certificate) — Vereist door Gmail
• Geregistreerd handelsmerk — Voor VMC

BIMI record structuur

Voorbeeld BIMI recordKeurigOnline zegtBIMI recordBIMI (Brand Indicators for Message Identification) toont je merklogo naast geauthenticeerde emails in de inbox.:

default._bimi.voorbeeld.nl.    3600    IN    TXT    "v=BIMI1; l=https://voorbeeld.nl/logo.svg; a=https://voorbeeld.nl/vmc.pem"

De onderdelen:

• v=BIMI1 — BIMI versie
• l= — URL naar je logo (SVG Tiny PS formaat)
• a= — URL naar je VMC certificaatKeurigOnline zegtVMC certificaatEen VMC (Verified Mark Certificate) bewijst eigenaarschap van een handelsmerk en is vereist voor BIMI in Gmail. (optioneel maar aanbevolen)

SVG Tiny PS specificaties

BIMI accepteert niet zomaar elke SVG. Je logo moet voldoen aan:

• Formaat: SVG Tiny Portable/Secure (SVG Tiny 1.2)
• Vierkant: 1:1 aspect ratio
• Geen scripts, animaties of links
• Maximaal 32KB

Gebruik de BIMI Generator om je logo te converteren.

VMC (Verified Mark Certificate)

Gmail vereist een VMC om BIMI logos te tonen. Een VMC bewijst dat je rechtmatig eigenaar bent van het handelsmerk.

VMC providers:

• DigiCert
• Entrust

Kosten: €1.000-1.500 per jaar. Geschikt voor grotere organisaties met een geregistreerd handelsmerk.

BIMI ondersteuning

MTA-STS: TLS versleuteling afdwingen

MTA-STS dwingt versleutelde verbindingen af voor email transport. Het voorkomt dat aanvallers email onderscheppen door TLS te downgraden.

Waarom MTA-STS?

SMTP gebruikt standaard STARTTLS voor optionele versleuteling. Maar dit is kwetsbaar:

• Een aanvaller kan het STARTTLS commando strippen
• De verbinding valt dan terug naar onversleuteld
• Email kan worden afgeluisterd of aangepast

MTA-STS lost dit op door te eisen dat verzendende servers:

• Altijd TLS gebruiken (geen fallback naar plaintext)
• Certificaten valideren tegen het beleid
• Verbindingen weigeren als TLSKeurigOnline zegtTLSTLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. niet mogelijk is

MTA-STS instellen

MTA-STS vereist twee componenten:

1. DNS record

_mta-sts.voorbeeld.nl.    3600    IN    TXT    "v=STSv1; id=20241209120000"

De id is een unieke identifier die je wijzigt bij elke beleidsupdate.

2. Policy file (HTTPS)

Plaats een tekstbestand op:

https://mta-stsKeurigOnline zegtMTA-STSMTA-STS dwingt TLS-versleuteling af voor email transport en voorkomt downgrade-aanvallen op SMTP-verbindingen..voorbeeld.nl/.well-known/mta-sts.txt

version: STSv1
mode: enforce
mx: mail.voorbeeld.nl
mx: backup.voorbeeld.nl
max_age: 604800

De onderdelen:

• mode: testing — Alleen rapporteren, niet afdwingen
• mode: enforce — TLS afdwingen
• mx: — Lijst van geldige MX hostnames
• max_age: — CacheKeurigOnline zegtCacheEen cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. tijd in seconden (604800 = 1 week)

TLS-RPT: rapportage

Voeg een TLS-RPTKeurigOnline zegtTLS-RPTTLS-RPT is een DNS record voor het ontvangen van rapporten over TLS-fouten bij email transport. record toe om rapporten te ontvangen over TLS-fouten:

_smtp._tls.voorbeeld.nl.    3600    IN    TXT    "v=TLSRPTv1; rua=mailto:tls-reports@voorbeeld.nl"

DANE: geavanceerde certificaatvalidatie

DANE is een alternatief voor MTA-STS dat certificaatvalidatie via DNSSEC regelt. Het is veiliger maar complexer om in te stellen.

DANE vs MTA-STS

TLSA record structuur

DANE gebruikt TLSA records om certificaatinformatie te publiceren:

_25._tcp.mail.voorbeeld.nl.    3600    IN    TLSA    3 1 1 abc123def456...

De vier velden:

• Certificate Usage (3) — Hoe het certificaat moet worden gevalideerd
• Selector (1) — Welk deel van het certificaat (0=full, 1=public key)
• Matching Type (1) — Hash algoritme (1=SHA-256, 2=SHA-512)
• Hash — De certificaat fingerprint

Wanneer DANE gebruiken?

DANE is vooral geschikt voor:

• Organisaties die al DNSSEC gebruiken (bijv. overheidsinstellingen)
• Hoge-beveiligingsomgevingen
• Wanneer onafhankelijkheid van CA's gewenst is

Let op: SIDN ondersteunt DNSSECKeurigOnline zegtDNSSECDNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. voor alle .nl domeinen. Activeer eerst DNSSEC voordat je DANE implementeert.

Email problemen oplossen

Problemen met email deliverabilityKeurigOnline zegtEmail deliverabilityEmail deliverability is de mate waarin je emails succesvol in de inbox terechtkomen in plaats van spam.? Hier is een systematische aanpak voor debugging.

Veelvoorkomende problemen

Testing tools

Email headers analyseren

Open de volledige headers van een ontvangen email en zoek naar:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@voorbeeld.nl header.s=google;
       spf=pass (google.com: domain of info@voorbeeld.nl) smtp.mailfrom=info@voorbeeld.nl;
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=voorbeeld.nl

Check of alle drie (SPF, DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan., DMARC) op pass staan.

Geavanceerde troubleshooting

DMARC alignment failures

SPF en DKIM passen, maar DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. faalt? Dit is een alignment probleem. DMARC vereist dat het domein in SPF of DKIM overeenkomt met het "From" domein dat de gebruiker ziet.

Er zijn twee alignment modes:

• Strict (adkim=s / aspf=s) — Domeinen moeten exact matchen. mail.jouwdomein.nl ≠ jouwdomein.nl
• Relaxed (adkim=r / aspf=r) — Organizational domain moet matchen. mail.jouwdomein.nl = jouwdomein.nl

De meeste organisaties gebruiken relaxed mode omdat dit flexibeler is met subdomeinen en externe diensten.

Mailing lists en forwarding breken DKIM (ARC)

Een veelvoorkomend probleem: je DKIM is correct geconfigureerd, maar e-mails via mailing lists of forwarding services falen toch. Dit komt doordat deze diensten de e-mail wijzigen (bijvoorbeeld een footer toevoegen), waardoor de DKIM-handtekening ongeldig wordt.

Hoe ARC werkt:

1. De originele e-mail passeert SPF, DKIM en DMARC bij de eerste hop
2. Een mailing list wijzigt de e-mail (footer, subject prefix)
3. De mailing list voegt ARC-headers toe die de originele authenticatiestatus vastleggen
4. De ontvangende mailserver ziet dat DKIM faalt, maar vertrouwt de ARC-chain van de bekende mailing list

Wat kun je doen?

• Voor ontvangers: Gmail, Microsoft 365 en Yahoo ondersteunen ARC automatisch — geen actie nodig
• Voor mailing list beheerders: Configureer ARC-signing in je mailing list software (Mailman 3+, Sympa)
• Voor verzenders: Overweeg p=quarantine in plaats van p=reject als veel ontvangers mailing lists gebruiken

Third-party diensten correct configureren

Veel email authenticatie problemen ontstaan door third-party diensten die namens je domein mailen. Zorg dat je voor elke dienst de juiste SPF include en DKIM records toevoegt:

Raadpleeg altijd de officiële documentatie van de dienst voor de meest actuele configuratie. Gebruik onze SPF generator vergelijking om je record samen te stellen zonder de 10 lookup limiet te overschrijden.

Domein- en IP-reputatie checken

Als je email nog steeds in de spamfolder belandt ondanks correcte authenticatie, ligt het probleem vaak bij je domein- of IP-reputatie:

• Check domain reputation — Gebruik Google Postmaster Tools voor inzicht in hoe Gmail je domein beoordeelt
• Check IP reputation — Gebruik MXToolbox Blacklist Check om te zien of je IP op blacklists staat
• Analyseer content — Mail-Tester scoort ook je content op spam-indicatoren
• Controleer engagement — Lage open rates en hoge bounce rates schaden je reputatie
• Warm-up nieuwe domeinen — Nieuwe domeinen moeten geleidelijk volume opbouwen

Bekijk onze email deliverability testers vergelijking voor meer diagnostiek tools.

Complete email authenticatie checklist

Gebruik deze interactieve checklist om je email DNS configuratie te controleren. Vink elk item aan dat correct is ingesteld. De score wordt automatisch berekend.

Basis routing

MX records correct ingesteld met prioriteiten

Authenticatie (SPF & DKIM)

SPF record aanwezig met ~all of -all SPF heeft maximaal 10 DNS lookups DKIM geconfigureerd voor alle maildiensten

Beleid (DMARC)

DMARC record aanwezig DMARC rapportage ingeschakeld (rua=)

Geavanceerd (optioneel)

BIMI recordKeurigOnline zegtBIMI recordBIMI (Brand Indicators for Message Identification) toont je merklogo naast geauthenticeerde emails in de inbox. met logo optioneel MTA-STS voor TLS enforcement optioneel

Testing & validatie

Alle records getest met MXToolbox

Email Authenticatie Score

0 / 9

Vink items aan om je email authenticatie score te berekenen

Reset checklist

Begin hier (hoogste prioriteit)

• Voeg SPF record toe met je mailserver IPs
• Configureer DKIM voor je primaire maildienst
• Start met p=none DMARC voor monitoring

Veelgestelde vragen over email DNS records

Samenvatting: email authenticatie stappenplan

Email authenticatie beschermt je domein tegen spoofing en verbetert deliverability. Hier is het complete stappenplan:

Implementatie volgorde

1. MX records — Controleer of deze correct zijn
2. SPF record — Specificeer toegestane verzenders
3. DKIM — Activeer voor elke maildienst
4. DMARC — Begin met p=none, gradueel verhogen
5. (Optioneel) BIMI — Voor merkherkenning in inbox
6. (Optioneel) MTA-STSKeurigOnline zegtMTA-STSMTA-STS dwingt TLS-versleuteling af voor email transport en voorkomt downgrade-aanvallen op SMTP-verbindingen. — Voor TLSKeurigOnline zegtTLSTLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. enforcement

Volgende stappen

1. Test je huidige setup met MXToolbox
2. Implementeer ontbrekende records
3. Monitor DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. rapporten
4. Versterk beleid naar p=reject

Wil je meer weten over DNS? Lees dan onze artikelen over DNS record types en hoe DNS werkt.

Bronnen en referenties

Dit artikel is gebaseerd op officiële documentatie en technische standaarden:

1. RFC 7208 — Sender Policy Framework (SPF) : Officiële SPF standaard
2. RFC 6376 — DomainKeys Identified Mail (DKIM) : DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. signing standaard
3. RFC 7489 — DMARC : Domain-based Message Authentication
4. RFC 8461 — MTA Strict Transport Security (MTA-STS)
5. RFC 6698 — DANE Protocol : DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-Based Authentication of Named Entities
6. BIMI Group — Brand Indicators for Message Identification
7. Google Workspace Admin Help — Email authentication
8. Microsoft 365 Documentation — Email authentication in EOP
9. RFC 8617 — Authenticated Received Chain (ARC) : Officiële ARC specificatie voor mailing list forwarding
10. Google (2024) — Gmail sender guidelines : Officiële vereisten voor Gmail verzenders
11. Yahoo (2024) — Yahoo sender best practices : Officiële Yahoo richtlijnen voor bulk verzenders
12. NCSC (2023) — Bescherm domeinnamen tegen phishing : Nederlandse overheidsrichtlijn

Let op: Email authenticatieKeurigOnline zegtEmail authenticatieEmail authenticatie is een verzameling DNS-protocollen (SPF, DKIM, DMARC) die bewijzen dat een email daadwerkelijk van het geclaimde domein komt. configuratie kan per provider verschillen. Raadpleeg de documentatie van je specifieke provider voor exacte instructies. Gegevens gecontroleerd op 9 december 2025.