---
title: "Email DNS records uitgelegd: SPF, DKIM, DMARC en BIMI"
description: "Complete gids voor email DNS records: MX, SPF, DKIM, DMARC en BIMI instellen. Voorkom spoofing en verbeter je email deliverability voor Nederlandse domeinen."
canonical: https://www.keurigonline.nl/blog/email-dns-records
last_modified: 2025-10-27
---

Op deze pagina

## Op deze pagina

1. [Blog](https://www.keurigonline.nl/blog)
2. [E-mail](https://www.keurigonline.nl/blog/categorie/e-mail)

# Email DNS Records: SPF, DKIM, DMARC en BIMI uitgelegd

Complete gids voor email DNS records: MX, SPF, DKIM, DMARC en BIMI instellen. Voorkom spoofing en verbeter je email deliverability voor Nederlandse domeinen.

- Maarten Keizer
- 10 december 2025
- 22 min lezen

    Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://x.com/intent/post?text=Email+DNS+Records%3A+SPF%2C+DKIM%2C+DMARC+en+BIMI+uitgelegd&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](mailto:?subject=Email%20DNS%20Records%3A%20SPF%2C%20DKIM%2C%20DMARC%20en%20BIMI%20uitgelegd&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records)

    Op deze pagina

    **Samenvatting: Email authenticatie in het kort**

Email authenticatie via DNS voorkomt spoofing en verbetert deliverability. **SPF records** specificeren welke servers namens je domein mogen mailen. **DKIM records** voegen een digitale handtekening toe. **DMARC records** combineren SPF en DKIM met beleid voor gefaalde authenticatie. **BIMI** toont je logo in de inbox. Voor extra beveiliging zijn er **MTA-STS** (TLS afdwingen) en **DANE** (certificaatvalidatie via DNSSEC).

**Controleer direct je email DNS records:**

- [SPF Checker](https://www.keurigonline.nl/tools/spf-check) — Valideer je SPF record
- [DKIM Checker](https://www.keurigonline.nl/tools/dkim-check) — Controleer je DKIM handtekening
- [DMARC Checker](https://www.keurigonline.nl/tools/dmarc-check) — Analyseer je DMARC beleid

Komt je zakelijke email in de spamfolder terecht? Of ontvangen klanten phishingKeurigOnline zegt [Phishing](https://www.keurigonline.nl/begrippenlijst/phishing)Phishing is een cyberaanval waarbij criminelen zich voordoen als betrouwbare organisaties om gevoelige informatie te stelen. -mails die van jouw domein lijken te komen? Dit zijn veelvoorkomende problemen die ontstaan door ontbrekende of verkeerd geconfigureerde email DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. records.

Het [Domain Name System](https://www.keurigonline.nl/blog/hoe-dns-werkt/) slaat niet alleen IP-adressen op. Het bevat ook alle routeringsinformatie voor email én de beveiligingsrecords die authenticatie mogelijk maken.

In deze gids leer je hoe SPF, DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. , DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. , BIMI, MTA-STSKeurigOnline zegt [MTA-STS](https://www.keurigonline.nl/begrippenlijst/mta-sts)MTA-STS (MTA Strict Transport Security) is een standaard waarmee je afdwingt dat mail via een versleutelde TLS-verbinding binnenkomt. en DANE samenwerken om je email te beveiligen. We behandelen elke technologie met praktische voorbeelden voor Nederlandse domeinen.

 ---

## Hoe werkt email authenticatie?

 **Definitie:** **Email authenticatie** is een verzameling DNS-records en protocollen die bewijzen dat een email daadwerkelijk van het geclaimde domein komt. Dit beschermt tegen spoofing, phishing en spam.

Wanneer je een email verstuurt, doorloopt deze meerdere authenticatiecontroles voordat de ontvanger hem ziet:

1. **MX lookup** — Bepaalt welke server de email moet ontvangen
2. **SPF check** — Controleert of de verzendende server gemachtigd is
3. **DKIM verificatie** — Valideert de digitale handtekening
4. **DMARC evaluatie** — Past het beleid toe op basis van SPF en DKIM resultaten
5. **BIMI lookup** — Haalt optioneel het merklogo op

### De authenticatiepiramide

Email authenticatieKeurigOnline zegt [Email authenticatie](https://www.keurigonline.nl/begrippenlijst/email-authenticatie)Email authenticatie (e-mailauthenticatie) is de controle met SPF, DKIM en DMARC of een e-mail echt van het afzenderdomein komt. werkt in lagen. Elke laag bouwt voort op de vorige:

| Laag | Protocol | Functie |
|---|---|---|
| 1. Basis | `MX` | Email routering |
| 2. Authenticatie | `SPF`, `DKIM` | Afzenderverificatie |
| 3. Beleid | `DMARC` | Handhaving + rapportage |
| 4. Branding | `BIMI` | Logo in inbox |
| 5. Transport | `MTA-STS`, `DANE` | TLS afdwingen |

Laten we elke laag in detail bekijken.

 ---

## Google en Yahoo bulk sender requirements

Sinds februari 2024 gelden strengere eisen voor bulk verzenders (meer dan 5.000 e-mails per dag naar Gmail of Yahoo). Deze eisen zijn nu standaard:

| Requirement | Gmail | Yahoo |
|---|---|---|
| SPF of DKIM | ✅ Verplicht | ✅ Verplicht |
| DMARC record | ✅ Verplicht (p=none minimaal) | ✅ Verplicht |
| DKIM alignment | ✅ Verplicht | ✅ Verplicht |
| One-click unsubscribe | ✅ Verplicht | ✅ Verplicht |

Ook als je geen bulk verzender bent, verbetert volledige authenticatie je deliverability aanzienlijk. Zie de officiële [Gmail sender guidelines](https://support.google.com/a/answer/81126) en [Yahoo sender best practices](https://senders.yahooinc.com/best-practices/) voor de complete eisen.

 ---

## MX records: email routering

MX records bepalen welke mailservers email voor je domein ontvangen. We hebben deze uitgebreid behandeld in ons artikel over [DNS record types](https://www.keurigonline.nl/blog/dns-records/).

 **Definitie:** Een **MX record** (Mail Exchange) specificeert de mailserver die verantwoordelijk is voor het ontvangen van email voor een domein. Het bevat een prioriteit en een servernaam.

**Voorbeeld MX records:**

```
voorbeeld.nl. 3600 IN MX 10 mail.voorbeeld.nl.
voorbeeld.nl. 3600 IN MX 20 backup.voorbeeld.nl.
```

De prioriteit (10, 20) bepaalt de volgorde. Lagere waarde = hogere prioriteit.

### MX records voor populaire diensten

| Dienst | MX record |
|---|---|
| Google Workspace | `1 aspmx.l.google.com` |
| Microsoft 365 | `0 tenant-nl.mail.protection.outlook.com` |
| TransIP Mail | `10 mail.transip.email` |

 ---

## SPF records: wie mag namens jou mailen?

SPF is de eerste verdedigingslinie tegen email spoofingKeurigOnline zegt [Email spoofing](https://www.keurigonline.nl/begrippenlijst/email-spoofing)Email spoofing (e-mailspoofing) is het vervalsen van de afzender, zodat een e-mail van iemand anders lijkt te komen. . Het specificeert welke mailservers gemachtigd zijn om email te versturen namens jouw domein.

 **Definitie:** **SPF** (Sender Policy Framework) is een TXT record dat aangeeft welke IP-adressen en servers email mogen versturen namens een domein. Ontvangende servers controleren dit om spoofing te detecteren.

### SPF record syntax

**Basis SPF record:**

```
v=spf1 ip4:185.199.108.0/24 include:_spf.google.com ~all
```

De onderdelen uitgelegd:

- `v=spf1` — Versie indicator (verplicht)
- `ip4:` — Specifiek IPv4KeurigOnline zegt [IPv4](https://www.keurigonline.nl/begrippenlijst/ipv4)IPv4 is het 32-bit adresseringssysteem dat het grootste deel van het internet nog steeds aandrijft. -adres of range toestaan
- `ip6:` — Specifiek IPv6KeurigOnline zegt [IPv6](https://www.keurigonline.nl/begrippenlijst/ipv6)IPv6 is de nieuwste versie van het internetprotocol dat IPv4 opvolgt met een enorme adresruimte van 128-bit. -adres toestaan
- `include:` — SPF record van ander domein includen
- `a` — IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. (sen) van het A record toestaan
- `mx` — IP-adres(sen) van de MX servers toestaan

### SPF qualifiers

Het laatste deel van een SPF record bepaalt wat er moet gebeuren met niet-gematchte bronnen:

| Qualifier | Betekenis | Aanbevolen? |
|---|---|---|
| `-all` | Hard fail — weiger niet-gematchte bronnen | Ja, na testen |
| `~all` | Soft fail — markeer als verdacht | Ja, tijdens testen |
| `?all` | Neutral — geen actie | Nee |
| `+all` | Pass — alles toestaan | Nooit! |

### SPF voor populaire diensten

**Google Workspace:**

```
v=spf1 include:_spf.google.com ~all
```

**Microsoft 365:**

```
v=spf1 include:spf.protection.outlook.com ~all
```

**Combinatie (meerdere diensten):**

```
v=spf1 include:_spf.google.com include:sendgrid.net include:mailchimp.com ~all
```

**Let op:** SPF lookup limiet

SPF staat maximaal **10 DNS lookups** toe[\[1\]](https://www.rfc-editor.org/rfc/rfc7208#section-4.6.4). Elke `include:`, `a`, `mx`, `ptr` en `redirect` telt mee. Bij meer dan 10 lookups faalt de SPF check automatisch.

**Oplossing:** Gebruik `ip4:` en `ip6:` waar mogelijk, of gebruik een SPF flattening service.

### SPF record instellen

1. Inventariseer alle diensten die namens je domein mailen
2. Verzamel de SPF includes van elke dienst
3. Maak een TXT record aan op `@` (root domein)
4. Begin met `~all` en test grondig
5. Schakel over naar `-all` zodra alles werkt

 ---

## DKIM records: digitale handtekening voor email

DKIM voegt een cryptografische handtekening toe aan elke uitgaande email. Ontvangende servers kunnen deze handtekening verifiëren om te bewijzen dat de email niet is aangepast onderweg.

 **Definitie:** **DKIM** (DomainKeys Identified Mail) is een authenticatiemethode die een digitale handtekening toevoegt aan email headers. De publieke sleutel wordt als TXT record in DNS gepubliceerd zodat ontvangers de handtekening kunnen verifiëren.

### Hoe werkt DKIM?

1. Je mailserver ondertekent uitgaande mail met een **private key**
2. De handtekening wordt toegevoegd aan de email header
3. De **public key** wordt gepubliceerd als DNS record
4. Ontvangende servers verifiëren de handtekening met de public key

### DKIM record structuur

DKIM records worden opgeslagen als TXT record met een specifieke naam:

```
selector._domainkey.voorbeeld.nl. 3600 IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3..."
```

De onderdelen:

- `selector` — Unieke naam gekozen door de maildienst (bijv. `google`, `s1`)
- `_domainkey` — Vaste subdomain indicator
- `v=DKIM1` — DKIM versie
- `k=rsa` — Algoritme (meestal RSA)
- `p=` — De public key (base64 encoded)

### DKIM voor populaire diensten

**Google Workspace:**

```
google._domainkey.voorbeeld.nl TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhki..."
```

**Microsoft 365:**

```
selector1._domainkey.voorbeeld.nl CNAME selector1-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com
```

```
selector2._domainkey.voorbeeld.nl CNAME selector2-voorbeeld-nl._domainkey.tenantname.onmicrosoft.com
```

**Mailchimp:**

```
k1._domainkey.voorbeeld.nl CNAME dkim.mcsv.net
```

### Meerdere DKIM records

Je kunt meerdere DKIM records hebben voor verschillende diensten. Elke dienst gebruikt zijn eigen selector:

- `google._domainkey` — Google Workspace
- `selector1._domainkey` — Microsoft 365
- `k1._domainkey` — Mailchimp
- `sendgrid._domainkey` — SendGrid

**Tip:** DKIM instellen

1. Ga naar de admin console van je maildienst
2. Zoek naar "DKIM" of "Email authenticatie"
3. Genereer de DKIM keys
4. Kopieer het DNS record dat de dienst geeft
5. Voeg het record toe aan je DNS
6. Activeer DKIM signing in de dienst

 ---

## DMARC records: beleid en rapportage

DMARC combineert SPF en DKIM en voegt er beleid aan toe. Het vertelt ontvangende servers wat ze moeten doen als authenticatie faalt én stuurt je rapportages over mislukte authenticaties.

 **Definitie:** **DMARC** (Domain-based Message Authentication, Reporting & Conformance) is een beleid dat specificeert hoe ontvangende servers moeten omgaan met emails die niet door SPF of DKIM komen. Het biedt ook rapportage over authenticatiepogingen.

### DMARC alignment

DMARC vereist niet alleen dat SPF of DKIM slaagt, maar ook dat het **aligned** is. Dit betekent dat het domein in de "From" header overeenkomt met het domein dat door SPF of DKIM is geauthenticeerd.

### DMARC record structuur

**Voorbeeld DMARC record:**

```
_dmarc.voorbeeld.nl. 3600 IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@voorbeeld.nl; ruf=mailto:forensics@voorbeeld.nl; pct=100"
```

De onderdelen:

- `v=DMARC1` — DMARC versie (verplicht)
- `p=` — Beleid voor gefaalde authenticatie (verplicht)
- `rua=` — Email adres voor aggregate rapporten
- `ruf=` — Email adres voor forensic rapporten
- `pct=` — Percentage van emails waarop beleid wordt toegepast
- `sp=` — Beleid voor subdomeinen

### DMARC beleid opties

| Beleid | Actie | Wanneer gebruiken? |
|---|---|---|
| `p=none` | Alleen monitoren, geen actie | Start: data verzamelen |
| `p=quarantine` | Naar spam verplaatsen | Tussenstap na analyse |
| `p=reject` | Email weigeren | Einddoel: maximale bescherming |

### Geleidelijke DMARC implementatie

**Tip:** Aanbevolen DMARC roadmap

1. **Week 1-4:** `p=none` — Verzamel data, analyseer rapporten
2. **Week 5-8:** `p=quarantine; pct=25` — Test met 25%
3. **Week 9-12:** `p=quarantine; pct=100` — Volledig quarantine
4. **Week 13+:** `p=reject` — Maximale bescherming

### DMARC rapporten lezen

DMARC stuurt dagelijks aggregate rapporten in XMLKeurigOnline zegt [XML](https://www.keurigonline.nl/begrippenlijst/xml)XML (Extensible Markup Language) is een opmaaktaal om gegevens gestructureerd op te slaan en uit te wisselen tussen systemen. -formaat. Handmatig lezen is lastig. Gebruik een DMARC analyzer:

- [Dmarcian](https://dmarcian.com/) — Gratis tier beschikbaar
- [Valimail](https://www.valimail.com/) — Enterprise oplossing
- [Postmark DMARC](https://www.postmarkapp.com/dmarc/) — Gratis weekly digest

 ---

## BIMI records: je logo in de inbox

BIMI is de nieuwste toevoeging aan email authenticatie. Het toont je merklogo naast geauthenticeerde emails in de inbox van de ontvanger.

 **Definitie:** **BIMI** (Brand Indicators for Message Identification) is een DNS record dat een URL naar je merklogo specificeert. Email clients die BIMI ondersteunen tonen dit logo naast emails die DMARC-authenticatie doorstaan.

### BIMI vereisten

BIMI werkt alleen als aan alle voorwaarden is voldaan:

- **DMARC** met `p=quarantine` of `p=reject`
- **Logo** in SVG Tiny PS formaat
- **VMC** (Verified Mark Certificate) — Vereist door Gmail
- **Geregistreerd handelsmerk** — Voor VMC

### BIMI record structuur

**Voorbeeld BIMI recordKeurigOnline zegt [BIMI record](https://www.keurigonline.nl/begrippenlijst/bimi-record)Een BIMI record (Brand Indicators for Message Identification) is een DNS-record dat je merklogo naast je e-mails laat tonen. :**

```
default._bimi.voorbeeld.nl. 3600 IN TXT "v=BIMI1; l=https://voorbeeld.nl/logo.svg; a=https://voorbeeld.nl/vmc.pem"
```

De onderdelen:

- `v=BIMI1` — BIMI versie
- `l=` — URL naar je logo (SVG Tiny PS formaat)
- `a=` — URL naar je VMC certificaatKeurigOnline zegt [VMC certificaat](https://www.keurigonline.nl/begrippenlijst/vmc-certificaat)Een VMC (Verified Mark Certificate) is een certificaat dat bewijst dat een logo bij een merk hoort, nodig voor BIMI. (optioneel maar aanbevolen)

### SVG Tiny PS specificaties

BIMI accepteert niet zomaar elke SVG. Je logo moet voldoen aan:

- Formaat: SVG Tiny Portable/Secure (SVG Tiny 1.2)
- Vierkant: 1:1 aspect ratio
- Geen scripts, animaties of links
- Maximaal 32KB

Gebruik de [BIMI Generator](https://bimigroup.org/bimi-generator/) om je logo te converteren.

### VMC (Verified Mark Certificate)

Gmail vereist een VMC om BIMI logos te tonen. Een VMC bewijst dat je rechtmatig eigenaar bent van het handelsmerk.

VMC providers:

- [DigiCert](https://www.digicert.com/tls-ssl/verified-mark-certificates)
- [Entrust](https://www.entrust.com/digital-security/certificate-solutions/products/digital-certificates/verified-mark-certificates)

*Kosten: €1.000-1.500 per jaar. Geschikt voor grotere organisaties met een geregistreerd handelsmerk.*

### BIMI ondersteuning

| Email client | BIMI support | VMC vereist? |
|---|---|---|
| Gmail | ✅ Ja | Ja |
| Yahoo Mail | ✅ Ja | Nee |
| Apple Mail | ✅ Ja (iOS 16+) | Ja |
| Outlook | ❌ Nee (nog niet) | - |

 ---

## MTA-STS: TLS versleuteling afdwingen

MTA-STS dwingt versleutelde verbindingen af voor email transport. Het voorkomt dat aanvallers email onderscheppen door TLSKeurigOnline zegt [TLS](https://www.keurigonline.nl/begrippenlijst/tls)TLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. te downgraden.

 **Definitie:** **MTA-STS** (Mail Transfer Agent Strict Transport Security) is een standaard die verzendende mailservers dwingt om TLS 1.2+ te gebruiken bij het afleveren van email. Het voorkomt downgrade-aanvallen en man-in-the-middle interceptie.

### Waarom MTA-STS?

SMTPKeurigOnline zegt [SMTP](https://www.keurigonline.nl/begrippenlijst/smtp)SMTP (Simple Mail Transfer Protocol) is het protocol waarmee mailprogramma's en mailservers e-mail versturen. gebruikt standaard `STARTTLS` voor optionele versleuteling. Maar dit is kwetsbaar:

- Een aanvaller kan het `STARTTLS` commando strippen
- De verbinding valt dan terug naar onversleuteld
- Email kan worden afgeluisterd of aangepast

MTA-STS lost dit op door te eisen dat verzendende servers:

- Altijd TLS gebruiken (geen fallback naar plaintext)
- Certificaten valideren tegen het beleid
- Verbindingen weigeren als TLS niet mogelijk is

### MTA-STS instellen

MTA-STS vereist twee componenten:

#### 1. DNS record

```
_mta-sts.voorbeeld.nl. 3600 IN TXT "v=STSv1; id=20241209120000"
```

De `id` is een unieke identifier die je wijzigt bij elke beleidsupdate.

#### 2. Policy file (HTTPS)

Plaats een tekstbestand op:

`https://mta-sts.voorbeeld.nl/.well-known/mta-sts.txt`

```
version: STSv1
mode: enforce
mx: mail.voorbeeld.nl
mx: backup.voorbeeld.nl
max_age: 604800
```

De onderdelen:

- `mode: testing` — Alleen rapporteren, niet afdwingen
- `mode: enforce` — TLS afdwingen
- `mx:` — Lijst van geldige MX hostnames
- `max_age:` — CacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. tijd in seconden (604800 = 1 week)

### TLS-RPT: rapportage

Voeg een TLS-RPTKeurigOnline zegt [TLS-RPT](https://www.keurigonline.nl/begrippenlijst/tls-rpt)TLS-RPT (SMTP TLS Reporting) is een DNS-record waarmee je rapporten krijgt over mislukte versleutelde mailverbindingen. record toe om rapporten te ontvangen over TLS-fouten:

```
_smtp._tls.voorbeeld.nl. 3600 IN TXT "v=TLSRPTv1; rua=mailto:tls-reports@voorbeeld.nl"
```

 ---

## DANE: geavanceerde certificaatvalidatie

DANE is een alternatief voor MTA-STS dat certificaatvalidatie via DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. regelt. Het is veiliger maar complexer om in te stellen.

 **Definitie:** **DANE** (DNS-based Authentication of Named Entities) gebruikt TLSA records om TLS-certificaten te authenticeren via DNS in plaats van Certificate Authorities. Dit vereist DNSSEC voor de integriteit van DNS-antwoorden.

### DANE vs MTA-STS

| Aspect | MTA-STS | DANE |
|---|---|---|
| Vereist DNSSEC | Nee | Ja |
| Vereist CA certificaat | Ja | Nee (self-signed mogelijk) |
| Complexiteit | Medium | Hoog |
| Veiligheid | Goed | Uitstekend |

### TLSA record structuur

DANE gebruikt TLSA records om certificaatinformatie te publiceren:

```
_25._tcp.mail.voorbeeld.nl. 3600 IN TLSA 3 1 1 abc123def456...
```

De vier velden:

- **Certificate Usage (3)** — Hoe het certificaat moet worden gevalideerd
- **Selector (1)** — Welk deel van het certificaat (0=full, 1=public key)
- **Matching Type (1)** — Hash algoritme (1=SHA-256, 2=SHA-512)
- **Hash** — De certificaat fingerprint

### Wanneer DANE gebruiken?

DANE is vooral geschikt voor:

- Organisaties die al DNSSEC gebruiken (bijv. overheidsinstellingen)
- Hoge-beveiligingsomgevingen
- Wanneer onafhankelijkheid van CA's gewenst is

**Let op:** [SIDN](https://www.sidn.nl/dnssec) ondersteunt DNSSEC voor alle `.nl` domeinen. Activeer eerst DNSSEC voordat je DANE implementeert.

 ---

## Email problemen oplossen

Problemen met email deliverabilityKeurigOnline zegt [Email deliverability](https://www.keurigonline.nl/begrippenlijst/email-deliverability)Email deliverability (e-mailbezorgbaarheid) is de mate waarin je e-mails in de inbox belanden in plaats van in de spamfolder. ? Hier is een systematische aanpak voor debugging.

### Veelvoorkomende problemen

| Probleem | Mogelijke oorzaak | Oplossing |
|---|---|---|
| Email in spam | SPF/DKIM/DMARC faalt | Controleer DNS records |
| Email bounced | MX record ontbreekt | Voeg MX records toe |
| SPF permerror | Te veel DNS lookups | Flatten SPF record |
| DKIM fail | Verkeerde selector | Check selector naam |
| DMARC fail | Alignment probleem | Check From header domain |

### Testing tools

**Handige email diagnostiek tools**

- **[MXToolbox](https://mxtoolbox.com/)** — Complete DNS en email diagnostiek
- **[Mail-tester.com](https://www.mail-tester.com/)** — Spam score tester
- **[DMARC Inspector](https://dmarcian.com/dmarc-inspector/)** — DMARC record validator
- **[DKIM Validator](https://dkimvalidator.com/)** — DKIM key checker
- **[Learn DMARC](https://www.learndmarc.com/)** — Interactieve DMARC uitleg

### Email headers analyseren

Open de volledige headers van een ontvangen email en zoek naar:

```
Authentication-Results: mx.google.com;
       dkim=pass header.i=@voorbeeld.nl header.s=google;
       spf=pass (google.com: domain of info@voorbeeld.nl) smtp.mailfrom=info@voorbeeld.nl;
       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=voorbeeld.nl
```

Check of alle drie (SPF, DKIM, DMARC) op `pass` staan.

 ---

## Geavanceerde troubleshooting

### DMARC alignment failures

SPF en DKIM passen, maar DMARC faalt? Dit is een alignment probleem. DMARC vereist dat het domein in SPF of DKIM overeenkomt met het "From" domein dat de gebruiker ziet.

**SPF/DKIM pass maar DMARC faalt?**

Bijvoorbeeld: als je SPF check slaagt voor `mail.jouwdomein.nl` maar de From header `jouwdomein.nl` gebruikt, dan faalt DMARC alignment tenzij je relaxed mode (`aspf=r`) gebruikt.

Er zijn twee alignment modes:

- **Strict (`adkim=s` / `aspf=s`)** — Domeinen moeten exact matchen. `mail.jouwdomein.nl` ≠ `jouwdomein.nl`
- **Relaxed (`adkim=r` / `aspf=r`)** — Organizational domain moet matchen. `mail.jouwdomein.nl` = `jouwdomein.nl`

De meeste organisaties gebruiken relaxed mode omdat dit flexibeler is met subdomeinen en externe diensten.

### Mailing lists en forwarding breken DKIM (ARC)

Een veelvoorkomend probleem: je DKIM is correct geconfigureerd, maar e-mails via mailing lists of forwarding services falen toch. Dit komt doordat deze diensten de e-mail wijzigen (bijvoorbeeld een footer toevoegen), waardoor de DKIM-handtekening ongeldig wordt.

**Definitie:** **ARC** (Authenticated Received Chain) is een [RFC 8617](https://datatracker.ietf.org/doc/html/rfc8617) standaard die de originele authenticatieresultaten bewaart wanneer een e-mail wordt doorgestuurd of verwerkt door tussenliggende servers. Dit voorkomt DMARC-failures bij legitieme mailing lists.

**Hoe ARC werkt:**

1. De originele e-mail passeert SPF, DKIM en DMARC bij de eerste hop
2. Een mailing list wijzigt de e-mail (footer, subject prefix)
3. De mailing list voegt ARC-headers toe die de *originele* authenticatiestatus vastleggen
4. De ontvangende mailserver ziet dat DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. faalt, maar vertrouwt de ARC-chain van de bekende mailing list

**Wat kun je doen?**

- **Voor ontvangers:** Gmail, Microsoft 365 en Yahoo ondersteunen ARC automatisch — geen actie nodig
- **Voor mailing list beheerders:** Configureer ARC-signing in je mailing list software (Mailman 3+, Sympa)
- **Voor verzenders:** Overweeg `p=quarantine` in plaats van `p=reject` als veel ontvangers mailing lists gebruiken

**Tip:** Check je DMARC aggregate rapporten op "arc=pass" resultaten. Dit toont aan dat ARC correct werkt voor doorgestuurde e-mails van bekende mailing lists.

### Third-party diensten correct configureren

Veel email authenticatie problemen ontstaan door third-party diensten die namens je domein mailen. Zorg dat je voor elke dienst de juiste SPF include en DKIM records toevoegt:

| Dienst | SPF include | DKIM |
|---|---|---|
| Mailchimp | `include:servers.mcsv.net` | CNAME records (k1, k2) |
| SendGrid | `include:sendgrid.net` | CNAME records (s1, s2) |
| HubSpot | `include:spf.protection.outlook.com` | Provider-specifiek |
| Zendesk | `include:mail.zendesk.com` | TXT record |
| Freshdesk | `include:email.freshdesk.com` | CNAME record |
| ActiveCampaign | `include:emsd1.com` | CNAME records |

Raadpleeg altijd de officiële documentatie van de dienst voor de meest actuele configuratie. Gebruik onze [SPF generator vergelijking](https://www.keurigonline.nl/blog/spf-record-generators) om je record samen te stellen zonder de 10 lookup limiet te overschrijden.

### Domein- en IP-reputatie checken

Als je email nog steeds in de spamfolder belandt ondanks correcte authenticatie, ligt het probleem vaak bij je domein- of IP-reputatie:

- **Check domain reputation** — Gebruik [Google Postmaster Tools](https://postmaster.google.com/) voor inzicht in hoe Gmail je domein beoordeelt
- **Check IP reputation** — Gebruik [MXToolbox Blacklist Check](https://mxtoolbox.com/blacklists.aspx) om te zien of je IP op blacklists staat
- **Analyseer content** — [Mail-Tester](https://www.mail-tester.com/) scoort ook je content op spam-indicatoren
- **Controleer engagement** — Lage open rates en hoge bounce rates schaden je reputatie
- **Warm-up nieuwe domeinen** — Nieuwe domeinen moeten geleidelijk volume opbouwen

Bekijk onze [email deliverability testers vergelijking](https://www.keurigonline.nl/blog/email-deliverability-testers) voor meer diagnostiek tools.

 ---

## Complete email authenticatie checklist

Gebruik deze interactieve checklist om je email DNS configuratie te controleren. Vink elk item aan dat correct is ingesteld. De score wordt automatisch berekend.

Basis routing

    MX records correct ingesteld met prioriteiten

Authenticatie (SPF & DKIM)

    SPF record aanwezig met `~all` of `-all` SPF heeft maximaal 10 DNS lookups DKIM geconfigureerd voor alle maildiensten

Beleid (DMARC)

    DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. record aanwezig DMARC rapportage ingeschakeld (`rua=`)

Geavanceerd (optioneel)

    BIMI recordKeurigOnline zegt [BIMI record](https://www.keurigonline.nl/begrippenlijst/bimi-record)Een BIMI record (Brand Indicators for Message Identification) is een DNS-record dat je merklogo naast je e-mails laat tonen. met logo optioneel MTA-STS voor TLS enforcement optioneel

Testing & validatie

    Alle records getest met [MXToolbox](https://mxtoolbox.com/)

Email Authenticatie Score

0 / 9

Vink items aan om je email authenticatie score te berekenen

Reset checklist

Begin hier (hoogste prioriteit)

- Voeg SPF record toe met je mailserver IPs
- Configureer DKIM voor je primaire maildienst
- Start met `p=none` DMARC voor monitoring

 ---

## Veelgestelde vragen over email DNS records

### Wat is het verschil tussen SPF, DKIM en DMARC?

**SPF** controleert of de verzendende server gemachtigd is om te mailen namens je domein. **DKIM** voegt een cryptografische handtekening toe die bewijst dat de email niet is aangepast. **DMARC** combineert beide en voegt beleid toe dat specificeert wat er moet gebeuren als authenticatie faalt.

### Moet ik alle drie (SPF, DKIM, DMARC) instellen?

Ja, alle drie zijn aanbevolen voor optimale email deliverabilityKeurigOnline zegt [Email deliverability](https://www.keurigonline.nl/begrippenlijst/email-deliverability)Email deliverability (e-mailbezorgbaarheid) is de mate waarin je e-mails in de inbox belanden in plaats van in de spamfolder. en bescherming tegen spoofing. Begin met SPF, voeg DKIM toe, en implementeer daarna DMARC. Gmail en Microsoft vereisen tegenwoordig minimaal SPF of DKIM.

### Hoe lang duurt het voordat email authenticatie werkt?

DNS wijzigingen propageren meestal binnen 1-24 uur. Begin met `p=none` in je DMARC record en wacht minimaal een week om data te verzamelen voordat je naar `quarantine` of `reject` gaat.

### Waarom komen mijn emails in spam?

Controleer met MXToolbox of je SPF, DKIM en DMARC correct zijn ingesteld. Andere oorzaken kunnen zijn: slechte reputatie van je IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. , spammy content, ontbrekende PTR record, of plaatsing op blacklists.

### Wat kost BIMI implementatie?

Het BIMI DNS record zelf is gratis. Echter, Gmail vereist een VMC (Verified Mark Certificate) dat €1.000-1.500 per jaar kost. Dit vereist ook een geregistreerd handelsmerk. Voor kleinere organisaties zonder geregistreerd handelsmerk is BIMI momenteel niet praktisch.

### Moet ik MTA-STS of DANE gebruiken?

MTA-STS is eenvoudiger te implementeren en werkt zonder DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. . DANE biedt sterkere beveiliging maar vereist DNSSEC. Voor de meeste organisaties is MTA-STS de praktische keuze. Gebruik DANE als je al DNSSEC hebt of werkt in een hoge-beveiligingsomgeving.

### Kan ik meerdere SPF records hebben?

Nee, je mag slechts één SPF record per domein hebben. Als je meerdere diensten gebruikt, combineer ze in één SPF record met meerdere `include:` statements.

### In welke volgorde moet ik SPF, DKIM en DMARC instellen?

De juiste volgorde is: **SPF → DKIM → DMARC → BIMI**

1. **SPF** — definieer welke servers mogen mailen
2. **DKIM** — configureer cryptografische ondertekening
3. **DMARC** — pas toe als SPF/DKIM werken (begin met `p=none`)
4. **BIMI** — optioneel, vereist strikt DMARC beleid

**Waarom deze volgorde?** DMARC vereist werkende SPF of DKIM. Door eerst de authenticatie correct in te stellen voorkom je dat legitieme e-mail wordt geblokkeerd.

### Moet ik email authenticatie ook instellen voor subdomeinen?

**Ja**, subdomeinen hebben aparte configuratie nodig:

- **SPF** — wordt niet automatisch geërfd; `marketing.jouwdomein.nl` heeft een eigen SPF record nodig als daar vanaf gemaild wordt
- **DKIM** — vereist aparte selectors per subdomeinKeurigOnline zegt [Subdomein](https://www.keurigonline.nl/begrippenlijst/subdomein)Een subdomein is een extra naam vóór je domeinnaam, zoals blog.jouwdomein.nl of shop.jouwdomein.nl.
- **DMARC** — gebruik de `sp=` parameter om beleid voor subdomeinen in te stellen

**Risico:** Zonder configuratie kunnen subdomeinen misbruikt worden voor spoofing, zelfs als je hoofddomein volledig beschermd is.

### Is BIMI de moeite waard zonder VMC certificaat?

**Ja**, BIMI zonder VMC certificaatKeurigOnline zegt [VMC certificaat](https://www.keurigonline.nl/begrippenlijst/vmc-certificaat)Een VMC (Verified Mark Certificate) is een certificaat dat bewijst dat een logo bij een merk hoort, nodig voor BIMI. heeft nog steeds waarde voor merkherkenning.

**Ondersteuning zonder VMC:**

- **Yahoo Mail** — toont je logo
- **Apple Mail (iOS 16+)** — toont je logo

**Gmail vereist VMC:** Alleen met een Verified Mark Certificate (€1.000-1.500/jaar) krijg je het blauwe verified checkmark in Gmail.

**Advies:** Begin zonder VMC voor merkherkenning bij Yahoo/Apple gebruikers. Upgrade naar VMC later wanneer het budget het toelaat en je een geregistreerd handelsmerk hebt.

 ---

## Samenvatting: email authenticatie stappenplan

Email authenticatie beschermt je domein tegen spoofing en verbetert deliverability. Hier is het complete stappenplan:

### Implementatie volgorde

1. **MX records** — Controleer of deze correct zijn
2. **SPF record** — Specificeer toegestane verzenders
3. **DKIM** — Activeer voor elke maildienst
4. **DMARC** — Begin met `p=none`, gradueel verhogen
5. **(Optioneel) BIMI** — Voor merkherkenning in inbox
6. **(Optioneel) MTA-STSKeurigOnline zegt [MTA-STS](https://www.keurigonline.nl/begrippenlijst/mta-sts)MTA-STS (MTA Strict Transport Security) is een standaard waarmee je afdwingt dat mail via een versleutelde TLS-verbinding binnenkomt.** — Voor TLSKeurigOnline zegt [TLS](https://www.keurigonline.nl/begrippenlijst/tls)TLS is het standaardprotocol voor versleutelde, betrouwbare communicatie tussen client en server. enforcement

### Volgende stappen

1. Test je huidige setup met [MXToolbox](https://mxtoolbox.com/SuperTool.aspx)
2. Implementeer ontbrekende records
3. Monitor DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM. rapporten
4. Versterk beleid naar `p=reject`

Wil je meer weten over DNS? Lees dan onze artikelen over [DNS record types](https://www.keurigonline.nl/blog/dns-records/) en [hoe DNS werkt](https://www.keurigonline.nl/blog/hoe-dns-werkt/).

 ---

## Bronnen en referenties

Dit artikel is gebaseerd op officiële documentatie en technische standaarden:

1. **RFC 7208** — [Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208): Officiële SPF standaard
2. **RFC 6376** — [DomainKeys Identified Mail (DKIM)](https://www.rfc-editor.org/rfc/rfc6376): DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. signing standaard
3. **RFC 7489** — [DMARC](https://www.rfc-editor.org/rfc/rfc7489): Domain-based Message Authentication
4. **RFC 8461** — [MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461)
5. **RFC 6698** — [DANE Protocol](https://www.rfc-editor.org/rfc/rfc6698): DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. -Based Authentication of Named Entities
6. **BIMI Group** — [Brand Indicators for Message Identification](https://bimigroup.org/)
7. **Google Workspace Admin Help** — [Email authentication](https://support.google.com/a/answer/33786)
8. **Microsoft 365 Documentation** — [Email authentication in EOP](https://docs.microsoft.com/en-us/microsoft-365/security/office-365-security/email-authentication)
9. **RFC 8617** — [Authenticated Received Chain (ARC)](https://datatracker.ietf.org/doc/html/rfc8617): Officiële ARC specificatie voor mailing list forwarding
10. **Google (2024)** — [Gmail sender guidelines](https://support.google.com/a/answer/81126): Officiële vereisten voor Gmail verzenders
11. **Yahoo (2024)** — [Yahoo sender best practices](https://senders.yahooinc.com/best-practices/): Officiële Yahoo richtlijnen voor bulk verzenders
12. **NCSC (2023)** — [Bescherm domeinnamen tegen phishing](https://www.ncsc.nl/binaries/ncsc/documenten/factsheets/2019/juni/01/factsheet-bescherm-domeinnamen-tegen-phishing/Handreiking-2023+Bescherm+domeinnamen+tegen+phishing+2.0.pdf): Nederlandse overheidsrichtlijn

**Let op:** Email authenticatieKeurigOnline zegt [Email authenticatie](https://www.keurigonline.nl/begrippenlijst/email-authenticatie)Email authenticatie (e-mailauthenticatie) is de controle met SPF, DKIM en DMARC of een e-mail echt van het afzenderdomein komt. configuratie kan per provider verschillen. Raadpleeg de documentatie van je specifieke provider voor exacte instructies. Gegevens gecontroleerd op 9 december 2025.

Deel dit artikel

Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://x.com/intent/post?text=Email+DNS+Records%3A+SPF%2C+DKIM%2C+DMARC+en+BIMI+uitgelegd&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records) [](mailto:?subject=Email%20DNS%20Records%3A%20SPF%2C%20DKIM%2C%20DMARC%20en%20BIMI%20uitgelegd&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Femail-dns-records)

- E-mail 22 Jan

    ### 5 beste BIMI generators & validators in 2026

     Een BIMI generator helpt je het correcte DNS record aan te maken. In dit artikel vergelijken we de 5 beste tools voor Nederlandse domeinen.

     Maarten Keizer
- E-mail 8 Jan

    ### DMARC rapport analyzers: 7 beste gratis tools vergeleken

     Vergelijk de 7 beste gratis DMARC rapport analyzers. Ontdek welke tool het beste werkt voor het lezen en analyseren van DMARC XML rapportages.

     Maarten Keizer
- E-mail 6 Jan

    ### Email authenticatie checklist 2026: SPF, DKIM, DMARC & BIMI

     Complete checklist om je email authenticatie te controleren. SPF, DKIM, DMARC en BIMI instellen in de juiste volgorde met verificatiestappen voor .nl domeinen.

     Pablo Cleij