DMARC, DKIM en SPF in gewone taal uitgelegd.

DMARC, DKIM en SPF zijn drie instellingen bij je domeinnaam die Gmail en Outlook laten controleren of mail echt van jou komt. Staan ze er niet of niet goed, dan kan je mail in de spammap belanden of geweigerd worden. Wie 5.000 mails per dag of meer naar Gmail of Outlook stuurt, moet ze alle drie hebben.

Je merkt het meestal pas als een klant belt dat je offerte nooit is aangekomen. Of je krijgt je eigen mail terug met een foutmelding die je niet kunt lezen.

Eén begrip is handig om te kennen: DNS. Dat is het openbare adresboek van je domeinnaam. Daarin staat waar je website woont en waar je mail heen moet, en ook deze drie instellingen. Wie een mail van jou krijgt, kijkt in dat adresboek of alles klopt.

Wat is de betekenis van DMARC?

DMARC is een instructie die je in het adresboek van je domein zet: wat moet een ontvanger doen met mail die zegt van jou te komen, maar dat niet kan bewijzen? Dat bewijs leveren SPF en DKIM.

Vergelijk het met een brief die langs drie controles gaat.

SPF is de lijst van wie namens jou mag versturen. Daarop staan je mailbox, je nieuwsbriefdienst en bijvoorbeeld je boekhoudpakket als dat facturen uit jouw naam verstuurt. Komt er mail binnen van iemand die niet op de lijst staat, dan weet de ontvanger dat er iets niet klopt.

DKIM is het zegel op de envelop. Je mailprovider zet het op elk bericht dat je verstuurt. Is het zegel heel, dan weet de ontvanger dat de mail onderweg niet is opengemaakt of veranderd, en dat hij echt van jouw domein komt. Elke dienst die namens je mailt, heeft een eigen zegel.

DMARC is de instructie aan de ontvanger. Daarin staat wat hij doet als de lijst en het zegel allebei niet kloppen: de mail gewoon doorlaten, in de spammap zetten of weigeren. En je vraagt erin om een rapport van alle mail die namens je domein is verstuurd.

1. SPF: staat de verzender op jouw lijst? 2. DKIM: is het zegel nog heel? 3. DMARC: wat doet de ontvanger als het niet klopt?

Eén ding maakt het lastiger. DMARC kijkt of het zegel bij jouw naam hoort. Een nieuwsbriefdienst kan een prima zegel zetten met zijn eigen naam erop, maar dat telt niet, want boven je mail staat jouw domein. Daarom vraagt elke nieuwsbriefdienst je bij het instellen om een paar regels aan je adresboek toe te voegen. Sla je die over, dan gaat je nieuwsbrief de deur uit met andermans zegel.

Is DMARC verplicht?

Voor de meeste kleine bedrijven niet, voor wie veel mailt wel. Gmail vraagt sinds 1 februari 2024 van iedere afzender minstens SPF of DKIM. Wie op een dag ongeveer 5.000 berichten of meer naar Gmail-adressen stuurt, moet SPF, DKIM én DMARC hebben. (Google)

Microsoft stelt sinds 5 mei 2025 dezelfde eis aan wie meer dan 5.000 mails per dag naar Outlook.com, Hotmail en Live stuurt. (Microsoft)

Die grens haal je sneller dan je denkt. Google telt alle mail vanaf je domein bij elkaar, ook wat je nieuwsbriefdienst voor je verstuurt. Een kantoor met tien mensen komt met gewone mail nooit in de buurt. Een nieuwsbrief aan 11.000 adressen, waarvan de helft bij Gmail, gaat er op één dag overheen. En wie die grens één keer haalt, blijft voor Google een grote verzender, ook als hij daarna minder mailt. (Google)

Wat gebeurt er als het niet goed staat?

Dan kan de ontvanger niet nagaan of je mail echt van jou komt. Hij zet hem in de spammap, of hij weigert hem en stuurt hem terug. Sinds november 2025 doet Gmail dat strenger bij mail die niet aan de eisen voldoet. (Google)

Dat betekent niet dat zonder DMARC niets meer aankomt. Veel mail van kleine bedrijven komt nog gewoon binnen. Maar je loopt een risico dat je niet ziet: belandt je offerte in de spammap, dan krijg je daar geen bericht van.

Er is nog een reden. Zonder DMARC kan iedereen mail versturen die van jouw domein lijkt te komen, bijvoorbeeld een valse factuur aan je eigen klanten. Met DMARC op de strengste stand weigert de ontvanger die.

Hoe stel ik DMARC in?

Je zet drie regels in het adresboek van je domein, in deze volgorde:

1. Schrijf op wie er namens je domein mailt. Je mailbox, en vaak meer dan je denkt: je nieuwsbriefdienst, het contactformulier op je website, de orderbevestigingen van je webshop, je boekhoudpakket en je CRM. Wie je vergeet, komt straks niet door de controle.
2. Zet ze allemaal op één SPF-lijst. Een domein mag maar één lijst hebben. Komt er een dienst bij, dan zet je die op de bestaande lijst. Een tweede lijst ernaast maakt ze allebei ongeldig.
3. Zet per dienst het DKIM-zegel erbij. Dat is een lange reeks tekens die je van die dienst krijgt. Die verzin je niet zelf.
4. Zet als laatste DMARC erin, op de stand p=none. DMARC komt als laatste omdat het beoordeelt wat de andere twee opleveren.

Benieuwd hoe het bij jou staat? Vul hieronder je domeinnaam in. Je ziet dan voor SPF, DKIM en DMARC of het in orde is, beter kan of ontbreekt.

Bij DKIM zegt die uitkomst niet alles. Het zegel staat in je adresboek onder een naam die alleen je mailprovider kent, en die is van buitenaf niet altijd te vinden. Staat er bij DKIM “niet gevonden”, dan kan het er dus toch zijn.

Wat betekent DMARC p=none?

p=none betekent dat de ontvanger niets extra doet met mail die niet door de controle komt, maar je wel een rapport stuurt. Voor Google en Microsoft is dat genoeg om aan de eis voor grote verzenders te voldoen.

De strengere standen zijn p=quarantine (naar de spammap) en p=reject (weigeren). Pas die beschermen je domein echt tegen valse mail uit jouw naam. Ga daar niet meteen naartoe: de rapporten laten na een paar weken zien of al je eigen mail door de controle komt. Zet je eerder p=reject aan, dan weiger je misschien je eigen nieuwsbrief.

Het is waarschijnlijk de enige eis van Google waar je aan voldoet door op te schrijven dat er niets hoeft te gebeuren.

Hoe wij dit aanpakken

Mail je via ons, dan staan SPF, DKIM en DMARC al goed: dat stellen we standaard in. Staat je domein bij ons maar loopt je mail via Google Workspace of Microsoft 365, dan zetten wij de regels in je adresboek zodra je ons de gegevens van die mailprovider stuurt, vooral de DKIM-sleutel. Meer over wat er bij je domein en hosting hoort, staat op de pagina over hosting en onderhoud.

Staat je domein ergens anders, dan stelt degene die dat domein beheert dit in. Met de vier stappen hierboven weet je wat je moet vragen. Weet je niet wie dat is of waar je domein staat, dan is dat zelf al een vraag die je wilt beantwoorden; wat er gebeurt als een domein ongemerkt verloopt, staat in het stuk over de kosten van website onderhoud.

Twijfel je of je nieuwsbrief, je webshop of je boekhoudpakket goed door de controle komen, neem dan je domeinnaam mee. Dan kijken Inge of ik met je naar wat er nu in je adresboek staat.

Kom eens langs. Of bel 040 - 700 97 30.