Email DNS Records: SPF, DKIM, DMARC en BIMI uitgelegd

Hoe werkt email authenticatie?

Wanneer je een email verstuurt, doorloopt deze meerdere authenticatiecontroles voordat de ontvanger hem ziet:

1. MX lookup — Bepaalt welke server de email moet ontvangen
2. SPF check — Controleert of de verzendende server gemachtigd is
3. DKIM verificatie — Valideert de digitale handtekening
4. DMARC evaluatie — Past het beleid toe op basis van SPF en DKIM resultaten
5. BIMI lookup — Haalt optioneel het merklogo op

De authenticatiepiramide

Email authenticatie werkt in lagen. Elke laag bouwt voort op de vorige:

Laten we elke laag in detail bekijken.

MX records: email routering

MX records bepalen welke mailservers email voor je domein ontvangen. We hebben deze uitgebreid behandeld in ons artikel over DNS record types.

Voorbeeld MX records:

voorbeeld.nl.    3600    IN    MX    10 mail.voorbeeld.nl.
voorbeeld.nl.    3600    IN    MX    20 backup.voorbeeld.nl.

De prioriteit (10, 20) bepaalt de volgorde. Lagere waarde = hogere prioriteit.

MX records voor populaire diensten

SPF records: wie mag namens jou mailen?

SPF is de eerste verdedigingslinie tegen email spoofingKeurigOnline zegtEmail spoofingEmail spoofing is het vervalsen van de afzender van een email om te doen alsof deze van een ander domein komt.. Het specificeert welke mailservers gemachtigd zijn om email te versturen namens jouw domein.

SPF record syntax

Basis SPF recordKeurigOnline zegtSPF recordSPF (Sender Policy Framework) is een TXT record dat aangeeft welke servers email mogen versturen namens een domein.:

v=spf1 ip4:185.199.108.0/24 include:_spf.google.com ~all

De onderdelen uitgelegd:

• v=spf1 — Versie indicator (verplicht)
• ip4: — Specifiek IPv4KeurigOnline zegtIPv4IPv4 is het 32-bit adresseringssysteem dat het grootste deel van het internet nog steeds aandrijft.-adres of range toestaan
• ip6: — Specifiek IPv6KeurigOnline zegtIPv6IPv6 is een nieuwer internetprotocol met enorm veel IP-adressen.-adres toestaan
• include: — SPF record van ander domein includen
• a — IP-adres(sen) van het A record toestaan
• mx — IP-adres(sen) van de MX servers toestaan

SPF qualifiers

Het laatste deel van een SPF record bepaalt wat er moet gebeuren met niet-gematchte bronnen:

SPF voor populaire diensten

Google Workspace:

v=spf1 include:_spf.google.com ~all

Microsoft 365:

v=spf1 include:spf.protection.outlook.com ~all

Combinatie (meerdere diensten):

v=spf1 include:_spf.google.com include:sendgrid.net include:mailchimp.com ~all

SPF record instellen

1. Inventariseer alle diensten die namens je domein mailen
2. Verzamel de SPF includes van elke dienst
3. Maak een TXT record aan op @ (root domein)
4. Begin met ~all en test grondig
5. Schakel over naar -all zodra alles werkt

DKIM records: digitale handtekening voor email

DKIM voegt een cryptografische handtekening toe aan elke uitgaande email. Ontvangende servers kunnen deze handtekening verifiëren om te bewijzen dat de email niet is aangepast onderweg.

Hoe werkt DKIM?

1. Je mailserver ondertekent uitgaande mail met een private key
2. De handtekening wordt toegevoegd aan de email header
3. De public key wordt gepubliceerd als DNS record
4. Ontvangende servers verifiëren de handtekening met de public key

DKIM record structuur

DKIM records worden opgeslagen als TXT record met een specifieke naam:

selector._domainkey.voorbeeld.nl.    3600    IN    TXT    "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3..."

De onderdelen:

• selector — Unieke naam gekozen door de maildienst (bijv. google, s1)
• _domainkey — Vaste subdomain indicator
• v=DKIM1 — DKIM versie
• k=rsa — Algoritme (meestal RSA)
• p= — De public key (base64 encoded)

DKIM voor populaire diensten

Google Workspace:

google._domainkey.voorbeeld.nl    TXT    "v=DKIM1; k=rsa; p=MIIBIjANBgkqhki..."

Microsoft 365:

selector1._domainkey.voorbeeld.nl    CNAME    selector1-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com

selector2._domainkey.voorbeeld.nl    CNAME    selector2-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com

Mailchimp:

k1._domainkey.voorbeeld.nl    CNAME    dkim.mcsv.net

Meerdere DKIM records

Je kunt meerdere DKIM records hebben voor verschillende diensten. Elke dienst gebruikt zijn eigen selector:

• google._domainkey — Google Workspace
• selector1._domainkey — Microsoft 365
• k1._domainkey — Mailchimp
• sendgrid._domainkey — SendGrid

DMARC records: beleid en rapportage

DMARC combineert SPF en DKIM en voegt er beleid aan toe. Het vertelt ontvangende servers wat ze moeten doen als authenticatie faalt én stuurt je rapportages over mislukte authenticaties.

DMARC alignment

DMARC vereist niet alleen dat SPF of DKIM slaagt, maar ook dat het aligned is. Dit betekent dat het domein in de "From" header overeenkomt met het domein dat door SPF of DKIM is geauthenticeerd.

DMARC record structuur

Voorbeeld DMARC recordKeurigOnline zegtDMARC recordDMARC combineert SPF en DKIM en specificeert wat er moet gebeuren als email authenticatie faalt, plus rapportage.:

_dmarc.voorbeeld.nl.    3600    IN    TXT    "v=DMARC1; p=reject; rua=mailto:dmarc@voorbeeld.nl; ruf=mailto:forensics@voorbeeld.nl; pct=100"

De onderdelen:

• v=DMARC1 — DMARC versie (verplicht)
• p= — Beleid voor gefaalde authenticatie (verplicht)
• rua= — Email adres voor aggregate rapporten
• ruf= — Email adres voor forensic rapporten
• pct= — Percentage van emails waarop beleid wordt toegepast
• sp= — Beleid voor subdomeinen

DMARC beleid opties

Geleidelijke DMARC implementatie

DMARC rapporten lezen

DMARC stuurt dagelijks aggregate rapporten in XMLKeurigOnline zegtXMLXML is een opmaaktaal die gebruikt wordt om gestructureerde data uit te wisselen tussen systemen.-formaat. Handmatig lezen is lastig. Gebruik een DMARC analyzer:

• Dmarcian — Gratis tier beschikbaar
• Valimail — Enterprise oplossing
• Postmark DMARC — Gratis weekly digest

BIMI records: je logo in de inbox

BIMI is de nieuwste toevoeging aan email authenticatieKeurigOnline zegtEmail authenticatieEmail authenticatie is een verzameling DNS-protocollen (SPF, DKIM, DMARC) die bewijzen dat een email daadwerkelijk van het geclaimde domein komt.. Het toont je merklogo naast geauthenticeerde emails in de inbox van de ontvanger.

BIMI vereisten

BIMI werkt alleen als aan alle voorwaarden is voldaan:

• DMARC met p=quarantine of p=reject
• Logo in SVG Tiny PS formaat
• VMC (Verified Mark Certificate) — Vereist door Gmail
• Geregistreerd handelsmerk — Voor VMC

BIMI record structuur

Voorbeeld BIMI recordKeurigOnline zegtBIMI recordBIMI (Brand Indicators for Message Identification) toont je merklogo naast geauthenticeerde emails in de inbox.:

default._bimi.voorbeeld.nl.    3600    IN    TXT    "v=BIMI1; l=https://voorbeeld.nl/logo.svg; a=https://voorbeeld.nl/vmc.pem"

De onderdelen:

• v=BIMI1 — BIMI versie
• l= — URL naar je logo (SVG Tiny PS formaat)
• a= — URL naar je VMC certificaatKeurigOnline zegtVMC certificaatEen VMC (Verified Mark Certificate) bewijst eigenaarschap van een handelsmerk en is vereist voor BIMI in Gmail. (optioneel maar aanbevolen)

SVG Tiny PS specificaties

BIMI accepteert niet zomaar elke SVG. Je logo moet voldoen aan:

• Formaat: SVG Tiny Portable/Secure (SVG Tiny 1.2)
• Vierkant: 1:1 aspect ratio
• Geen scripts, animaties of links
• Maximaal 32KB

Gebruik de BIMI Generator om je logo te converteren.

VMC (Verified Mark Certificate)

Gmail vereist een VMC om BIMI logos te tonen. Een VMC bewijst dat je rechtmatig eigenaar bent van het handelsmerk.

VMC providers:

• DigiCert
• Entrust

Kosten: €1.000-1.500 per jaar. Geschikt voor grotere organisaties met een geregistreerd handelsmerk.

BIMI ondersteuning

MTA-STS: TLS versleuteling afdwingen

MTA-STS dwingt versleutelde verbindingen af voor email transport. Het voorkomt dat aanvallers email onderscheppen door TLS te downgraden.

Waarom MTA-STS?

SMTP gebruikt standaard STARTTLS voor optionele versleuteling. Maar dit is kwetsbaar:

• Een aanvaller kan het STARTTLS commando strippen
• De verbinding valt dan terug naar onversleuteld
• Email kan worden afgeluisterd of aangepast

MTA-STS lost dit op door te eisen dat verzendende servers:

• Altijd TLS gebruiken (geen fallback naar plaintext)
• Certificaten valideren tegen het beleid
• Verbindingen weigeren als TLSKeurigOnline zegtTLSTLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. niet mogelijk is

MTA-STS instellen

MTA-STS vereist twee componenten:

1. DNS record

_mta-sts.voorbeeld.nl.    3600    IN    TXT    "v=STSv1; id=20241209120000"

De id is een unieke identifier die je wijzigt bij elke beleidsupdate.

2. Policy file (HTTPS)

Plaats een tekstbestand op:

https://mta-stsKeurigOnline zegtMTA-STSMTA-STS dwingt TLS-versleuteling af voor email transport en voorkomt downgrade-aanvallen op SMTP-verbindingen..voorbeeld.nl/.well-known/mta-sts.txt

version: STSv1
mode: enforce
mx: mail.voorbeeld.nl
mx: backup.voorbeeld.nl
max_age: 604800

De onderdelen:

• mode: testing — Alleen rapporteren, niet afdwingen
• mode: enforce — TLS afdwingen
• mx: — Lijst van geldige MX hostnames
• max_age: — CacheKeurigOnline zegtCacheCache slaat tijdelijk gegevens op, waardoor je website sneller laadt. tijd in seconden (604800 = 1 week)

TLS-RPT: rapportage

Voeg een TLS-RPTKeurigOnline zegtTLS-RPTTLS-RPT is een DNS record voor het ontvangen van rapporten over TLS-fouten bij email transport. record toe om rapporten te ontvangen over TLS-fouten:

_smtp._tls.voorbeeld.nl.    3600    IN    TXT    "v=TLSRPTv1; rua=mailto:tls-reports@voorbeeld.nl"

DANE: geavanceerde certificaatvalidatie

DANE is een alternatief voor MTA-STS dat certificaatvalidatie via DNSSEC regelt. Het is veiliger maar complexer om in te stellen.

DANE vs MTA-STS

TLSA record structuur

DANE gebruikt TLSA records om certificaatinformatie te publiceren:

_25._tcp.mail.voorbeeld.nl.    3600    IN    TLSA    3 1 1 abc123def456...

De vier velden:

• Certificate Usage (3) — Hoe het certificaat moet worden gevalideerd
• Selector (1) — Welk deel van het certificaat (0=full, 1=public key)
• Matching Type (1) — Hash algoritme (1=SHA-256, 2=SHA-512)
• Hash — De certificaat fingerprint

Wanneer DANE gebruiken?

DANE is vooral geschikt voor:

• Organisaties die al DNSSEC gebruiken (bijv. overheidsinstellingen)
• Hoge-beveiligingsomgevingen
• Wanneer onafhankelijkheid van CA's gewenst is

Let op: SIDN ondersteunt DNSSECKeurigOnline zegtDNSSECDNSSEC beveiligt DNS-informatie tegen fraude. voor alle .nl domeinen. Activeer eerst DNSSEC voordat je DANE implementeert.

Email problemen oplossen

Problemen met email deliverabilityKeurigOnline zegtEmail deliverabilityEmail deliverability is de mate waarin je emails succesvol in de inbox terechtkomen in plaats van spam.? Hier is een systematische aanpak voor debugging.

Veelvoorkomende problemen

Probleem	Mogelijke oorzaak	Oplossing
Email in spam	SPF/DKIM/DMARCKeurigOnline zegtDMARCDMARC beschermt je domein tegen e-mailmisbruik en phishing. faalt	Controleer DNS records
Email bounced	MX record ontbreekt	Voeg MX records toe
SPF permerror	Te veel DNS lookups	Flatten SPF record
DKIM fail	Verkeerde selector	Check selector naam
DMARC fail	Alignment probleem	Check From header domain

Testing tools

Email headers analyseren

Open de volledige headers van een ontvangen email en zoek naar:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@voorbeeld.nl header.s=google;
       spf=pass (google.com: domain of info@voorbeeld.nl) smtp.mailfrom=info@voorbeeld.nl;
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=voorbeeld.nl

Check of alle drie (SPF, DKIM, DMARC) op pass staan.

Complete email authenticatie checklist

Gebruik deze interactieve checklist om je email DNS configuratie te controleren. Vink elk item aan dat correct is ingesteld. De score wordt automatisch berekend.

Basis routing

MX records correct ingesteld met prioriteiten

Authenticatie (SPF & DKIM)

SPF record aanwezig met ~all of -all SPF heeft maximaal 10 DNS lookups DKIM geconfigureerd voor alle maildiensten

Beleid (DMARC)

DMARC record aanwezig DMARC rapportage ingeschakeld (rua=)

Geavanceerd (optioneel)

BIMI recordKeurigOnline zegtBIMI recordBIMI (Brand Indicators for Message Identification) toont je merklogo naast geauthenticeerde emails in de inbox. met logo optioneel MTA-STS voor TLS enforcement optioneel

Testing & validatie

Alle records getest met MXToolbox

Email Authenticatie Score

0 / 9

Vink items aan om je email authenticatie score te berekenen

Reset checklist

Begin hier (hoogste prioriteit)

• Voeg SPF record toe met je mailserver IPs
• Configureer DKIM voor je primaire maildienst
• Start met p=none DMARC voor monitoring

Veelgestelde vragen over email DNS records

Samenvatting: email authenticatie stappenplan

Email authenticatie beschermt je domein tegen spoofing en verbetert deliverability. Hier is het complete stappenplan:

Implementatie volgorde

1. MX records — Controleer of deze correct zijn
2. SPF recordKeurigOnline zegtSPF recordSPF (Sender Policy Framework) is een TXT record dat aangeeft welke servers email mogen versturen namens een domein. — Specificeer toegestane verzenders
3. DKIM — Activeer voor elke maildienst
4. DMARC — Begin met p=none, gradueel verhogen
5. (Optioneel) BIMI — Voor merkherkenning in inbox
6. (Optioneel) MTA-STSKeurigOnline zegtMTA-STSMTA-STS dwingt TLS-versleuteling af voor email transport en voorkomt downgrade-aanvallen op SMTP-verbindingen. — Voor TLSKeurigOnline zegtTLSTLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. enforcement

Volgende stappen

1. Test je huidige setup met MXToolbox
2. Implementeer ontbrekende records
3. Monitor DMARCKeurigOnline zegtDMARCDMARC beschermt je domein tegen e-mailmisbruik en phishing. rapporten
4. Versterk beleid naar p=reject

Wil je meer weten over DNS? Lees dan onze artikelen over DNS record types en hoe DNS werkt.

Bronnen en referenties

Dit artikel is gebaseerd op officiële documentatie en technische standaarden:

1. RFC 7208 — Sender Policy Framework (SPF) : Officiële SPF standaard
2. RFC 6376 — DomainKeys Identified Mail (DKIM) : DKIM signing standaard
3. RFC 7489 — DMARC : Domain-based Message Authentication
4. RFC 8461 — MTA Strict Transport Security (MTA-STS)
5. RFC 6698 — DANE Protocol : DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn.-Based Authentication of Named Entities
6. BIMI Group — Brand Indicators for Message Identification
7. Google Workspace Admin Help — Email authentication
8. Microsoft 365 Documentation — Email authentication in EOP

Let op: Email authenticatieKeurigOnline zegtEmail authenticatieEmail authenticatie is een verzameling DNS-protocollen (SPF, DKIM, DMARC) die bewijzen dat een email daadwerkelijk van het geclaimde domein komt. configuratie kan per provider verschillen. Raadpleeg de documentatie van je specifieke provider voor exacte instructies. Gegevens gecontroleerd op 9 december 2025.