SPF, DKIM en DMARC Uitgelegd: Zo Stel Je Ze In

Sylvain Charmet · Medeoprichter, Enrich-CRM

Gemaakt 20 oktober 2026

Wat zijn SPF, DKIM en DMARC?

SPF, DKIM en DMARC zijn drie DNS-records die samen bewijzen dat een e-mail écht vanaf jouw domein is verstuurd en onderweg niet is aangepast. SPF somt de servers op die namens jouw domein mogen mailen. DKIM voegt een digitale handtekening toe aan elk bericht. DMARC vertelt mailproviders wat ze moeten doen met mail die de eerste twee checks niet doorstaat, en stuurt jou rapportages daarover. Zonder deze drie records kan iedereen zich voordoen als jouw domein, en landen je eigen mails sneller in spam.

SPF instellen: hoe werkt het?

Een SPF-record is een TXT-record in je DNS dat expliciet vermeldt welke mailservers gemachtigd zijn om namens jouw domein te verzenden. Ontvangende servers checken bij elke inkomende mail of de verzendende server op die lijst staat.

Een typisch SPF-record ziet er zo uit:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Dit zegt: mail mag verstuurd worden via Google Workspace en SendGrid; al het andere krijgt een "soft fail" (~all). Stappen om dit in te stellen:

Verzamel alle diensten die namens jouw domein mailen (je mailprovider, je marketingtool, je CRM, transactionele mail via een developer-tool).
Voeg voor elke dienst het bijbehorende include:-fragment toe aan één enkel SPF-record — je mag er maar één per domein hebben.
Publiceer het record als TXT-record bij je domeinregistrar of DNS-provider.
Test met een gratis online SPF-checker of het record geldig is (SPF staat maximaal 10 DNS-lookups toe; te veel include:-regels breekt het record stilzwijgend).

DKIM instellen: hoe werkt het?

DKIM ondertekent elke uitgaande mail met een privésleutel die alleen jouw mailserver kent. De ontvangende server haalt de bijbehorende publieke sleutel op uit je DNS en controleert of de handtekening klopt — zo weet hij dat de inhoud onderweg niet is gewijzigd.

In de praktijk stel je DKIM meestal in via het dashboard van je mailprovider (Google Workspace, Microsoft 365, SendGrid, Mailgun) in plaats van handmatig:

Genereer een DKIM-sleutelpaar in het dashboard van je mailprovider.
Publiceer de gegenereerde publieke sleutel als TXT-record op een selector-subdomein, bijvoorbeeld google._domainkey.jouwbedrijf.nl.
Activeer DKIM-ondertekening in het dashboard zodra het DNS-record actief is (dit kan tot enkele uren duren door DNS-propagatie).

Elke verzenddienst heeft zijn eigen selector en sleutel — gebruik je meerdere diensten, dan heb je meerdere DKIM-records naast elkaar, elk met een unieke selectornaam.

DMARC instellen: policy's uitgelegd

DMARC bouwt voort op SPF en DKIM. Het record bepaalt wat er gebeurt met mail die faalt op een van beide checks, en levert je dagelijkse rapportages over wie er namens jouw domein mailt.

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@jouwbedrijf.nl; pct=100

De p=-waarde (policy) heeft drie niveaus, en de meeste teams doorlopen ze in deze volgorde:

p=none — niets blokkeren, alleen rapporteren. De juiste startpositie: je ziet welke mail er namens je domein verstuurd wordt zonder risico op gemiste legitieme mail.
p=quarantine — mail die faalt gaat naar spam. Zet dit pas nadat je een paar weken rapportages hebt bekeken en zeker weet dat al je legitieme verzenders correct zijn geconfigureerd.
p=reject — mail die faalt wordt volledig geweigerd. Het strengste niveau, aan te raden zodra je vertrouwen hebt in je configuratie.

Publiceer het DMARC-record als TXT-record op _dmarc.jouwbedrijf.nl. Zonder DMARC hebben SPF en DKIM veel minder waarde: providers weten dan wél of een check faalt, maar niet wat ze ermee moeten doen.

Veelgemaakte fouten

Meerdere SPF-records per domein. DNS staat er maar één toe; een tweede maakt beide ongeldig. Voeg diensten toe aan het bestaande record in plaats van een nieuwe aan te maken.
Te veel include:-regels in SPF. Boven de 10 DNS-lookups faalt het record stilzwijgend — een veelvoorkomende, onzichtbare oorzaak van deliverability-problemen.
Meteen naar p=reject springen. Zonder eerst de DMARC-rapportages te lezen, loop je het risico dat legitieme mail (bijvoorbeeld vanuit een tool die je vergeten was) geweigerd wordt.
DKIM alleen instellen voor je hoofddomein. Elk subdomein en elke verzenddienst heeft zijn eigen configuratie nodig.
Nooit meer terugkijken. DMARC-rapportages veranderen zodra je nieuwe tools toevoegt — controleer ze periodiek, niet alleen bij het instellen.

Waarom dit meer dan een technisch detail is

Gmail en Yahoo eisen sinds februari 2024 expliciet een geldig DMARC-record van elke afzender die grote volumes verstuurt — zonder dat record belandt bulkmail automatisch in spam of wordt hij geweigerd. Voor sales- en marketingteams die dagelijks prospects benaderen vanaf hetzelfde domein, is dit dus geen optioneel technisch detail maar een voorwaarde om de inbox te bereiken.

SPF, DKIM en DMARC lossen alleen de authenticatiekant op. De andere helft van deliverability zit in de kwaliteit van je verzendlijst zelf: verouderde adressen en hoge bounce rates schaden je afzenderreputatie net zo hard als een ontbrekend DMARC-record. Onze gids over e-mail deliverability verbeteren behandelt die bredere aanpak, en het e-mailadres verifiëren-artikel laat zien hoe je adressen checkt vóórdat je verstuurt. Wie zijn CRM-data structureel actueel houdt via CRM data verrijking, voorkomt sowieso een groot deel van de bounces die deze records moeten compenseren.

Veelgestelde vragen

Moet ik SPF, DKIM én DMARC alle drie instellen? Ja. SPF en DKIM werken op zichzelf al, maar zonder DMARC weten providers niet wat ze moeten doen als een check faalt — en mis je de rapportages die misbruik van je domein zichtbaar maken.

Hoelang duurt het voordat de records actief zijn? DNS-wijzigingen zijn meestal binnen enkele minuten tot een paar uur zichtbaar, maar reken op maximaal 24 tot 48 uur voordat de propagatie overal is doorgevoerd.

Kan een verkeerd ingesteld SPF-record mijn mail juist schaden? Ja — een ongeldig record (bijvoorbeeld door te veel lookups) telt vaak als een fail, wat je reputatie meer schaadt dan helemaal geen SPF-record hebben. Test altijd na het publiceren.

Zijn deze records ook nodig als ik via Gmail of Outlook verstuur in plaats van een eigen mailserver? Ja. Ook bij Google Workspace of Microsoft 365 stel je SPF en DKIM in voor je eigen domein; de mailprovider host alleen de infrastructuur, de authenticatie blijft aan jouw domein gekoppeld.

Wil je bounces voorkomen in plaats van erop reageren? Start gratis met 100 credits op Enrich-CRM en verifieer e-mailadressen voordat ze je verzendreputatie raken — geen creditcard nodig.