Wat is DMARC? Zo voorkom je dat criminelen mailen uit naam van je bedrijf

Iedereen kan een e-mail versturen met jouw bedrijfsnaam als afzender. Met drie instellingen in je domeinnaam leg je vast welke mail echt van jou is. Zo werkt het.

Bijgewerkt op 27 oktober 2026 · 3 minuten lezen

Een e-mail versturen met een nep-afzender is technisch heel eenvoudig. Criminelen maken daar dankbaar gebruik van: een "factuur" van jouw bedrijf aan een klant, een betaalverzoek dat van de directeur lijkt te komen, of een mail met een link naar een nagemaakte inlogpagina. De ontvanger ziet jouw naam en vertrouwt het bericht.

Daar kun je iets aan doen. Met drie instellingen in de DNS van je domeinnaam vertel je aan mailservers over de hele wereld welke mail echt van jou is, en wat ze moeten doen met mail die dat niet is.

SPF: wie mag namens jou mailen?

SPF is een regel in je domeinnaam met een lijst van servers die namens jou mail mogen versturen. Denk aan je eigen mailprovider, je nieuwsbriefdienst of je boekhoudpakket dat facturen verstuurt. Een ontvangende mailserver kijkt of de afzender op die lijst staat.

Let op twee dingen: er mag maar één SPF-regel zijn, en hij hoort te eindigen op "-all" of "~all". Een regel die eindigt op "+all" laat de hele wereld toe en helpt dus niets.

DKIM: een digitale handtekening

Met DKIM zet je mailserver een digitale handtekening onder elke uitgaande mail. De bijbehorende sleutel staat in je domeinnaam, zodat de ontvanger kan controleren dat de mail onderweg niet is aangepast en echt van jouw server komt. Bij de meeste mailproviders zet je DKIM aan met een paar klikken en een of twee extra DNS-regels.

DMARC: wat gebeurt er met nepmail?

DMARC maakt het af. Het is een regel in je domeinnaam (op het adres _dmarc.jouwdomein.nl) die zegt wat een ontvanger moet doen als een mail niet door de SPF- of DKIM-controle komt. Er zijn drie standen:

• p=none: niets doen, alleen rapporteren. Handig om mee te beginnen, maar nepmail komt gewoon aan.
• p=quarantine: verdachte mail naar de map met ongewenste e-mail.
• p=reject: nepmail weigeren. Dit is het doel.

Met een rapportadres in de DMARC-regel krijg je overzichten van wie er mail verstuurt met jouw domeinnaam. Zo zie je ook of je een legitieme dienst (zoals je nieuwsbrief) nog in SPF of DKIM moet opnemen voordat je de strengere stand aanzet.

Waarom is dit belangrijk voor het mkb?

• Je klanten en leveranciers krijgen minder snel nepfacturen of betaalverzoeken die van jou lijken te komen.
• Je eigen mail komt beter aan: grote maildiensten zoals Gmail en Outlook kijken naar deze instellingen, en Gmail en Yahoo eisen sinds 2024 een DMARC-regel van wie veel mail verstuurt.
• Ook een domein waar je niet mee mailt, kan misbruikt worden. Zet daar "v=spf1 -all" en een DMARC-regel met p=reject op, dan is het voor iedereen duidelijk dat er nooit mail van dat domein komt.

Zo pak je het aan

1. Kijk of je domeinnaam al een SPF-, DKIM- en DMARC-regel heeft. De gratis snelle check op onze homepage laat zien of SPF en DMARC er zijn.
2. Vraag je websitebouwer, hostingpartij of IT-partner om SPF en DKIM in orde te maken voor alle diensten die namens jou mailen.
3. Begin met DMARC op p=none en een rapportadres, en zet hem na een paar weken op quarantine en daarna op reject.

Insighta controleert deze instellingen automatisch bij elke controle en laat het je weten als er iets verandert, bijvoorbeeld als een DMARC-regel per ongeluk verdwijnt na een verhuizing naar een andere provider.