Zo stelt u bescherming tegen e-mailspoofing in met SPF, DKIM en DMARC voor mkb-klanten

E-mailspoofing, waarbij aanvallers afzenderadressen vervalsen om phishing- en impersonatiefraude op te zetten, is een van de grootste bedreigingen voor kleine en middelgrote bedrijven (het mkb). Die aanvallen slagen vaak simpelweg omdat essentiële records voor e-mailauthenticatie ontbreken of verkeerd zijn ingesteld.

In deze gids helpen wij u bij het inrichten van essentiële bescherming tegen e-mailspoofing met SPF, DKIM en DMARC, zodat zowel uw uitgaande als inkomende mail veilig is voor uw mkb-klanten met Windows.

Waarom dit in 2026 belangrijker is dan ooit

Google, Yahoo en Microsoft weigeren niet-geauthenticeerde bulkmail inmiddels actief in plaats van die alleen als spam te markeren. Domeinen die meer dan 5.000 berichten per dag naar adressen van Gmail, Yahoo of Outlook.com sturen, moeten beschikken over SPF, DKIM en een gepubliceerd DMARC-record, anders wordt de mail direct geweigerd.

Zelfs mkb-bedrijven die ruim onder die drempel blijven, ondervinden er indirect hinder van. Marketingplatformen, CRM’s en helpdesktools die namens hen verzenden, tellen mee voor het volume van de afzender zelf en een gedeelde reputatie op niet-geauthenticeerde infrastructuur zorgt ervoor dat ieders mail wordt afgeknepen. Dit betekent dat het instellen van deze records de basisvoorwaarde is om mail überhaupt te laten aankomen.

De protocollen in één oogopslag

Manieren om bedrijven te beschermen tegen e-mailspoofing

SPF, DKIM en DMARC vormen het essentiële drietal dat afzenders authenticeert en domeinspoofing tegenhoudt. Een juiste configuratie voorkomt dat aanvallers zich voordoen als uw bedrijf of uw partners.

📌Use case: zet deze beschermingsmiddelen in voor uw zakelijke e-mail om e-mailspoofing te voorkomen, phishing te stoppen, uw merk te beschermen en ervoor te zorgen dat alleen legitieme e-mails uw inbox bereiken.

📌Vereisten: zorg dat u voor de start beschikt over:

• Beheerderstoegang tot de DNS van uw domein
• Een e-maildienst die DKIM ondersteunt
• De mogelijkheid om DNS TXT-records toe te voegen of bij te werken
• Basiskennis van DNS-records
• Tools zoals PowerShell, maltesttools (bijvoorbeeld MXToolbox) en de opdrachtprompt

Wij raden u aan om ⚠️ Waar u op moet letten te bekijken voordat u verdergaat.

📌 Aanbevolen implementatiestrategieën:

Het SPF-record configureren in DNS

De configuratie van het Sender Policy Framework (SPF) is uw eerste cruciale stap om legitieme e-mailbronnen vast te leggen en domeinspoofing te voorkomen. Het publiceert in DNS een “lijst met toegestane afzenders” voor uw domein. Ontvangende servers controleren vervolgens of inkomende mail echt afkomstig is van uw goedgekeurde servers.

📌 Use case: stel SPF nu in als uw domein op welke manier dan ook e-mail verstuurt (via Microsoft 365, een on-premise server, een website of marketingtools). Elk domein heeft SPF nodig om de basislegitimiteit van de afzender vast te leggen en de bezorgbaarheid te verbeteren.

Stapsgewijze procedure:

1. Breng uw geautoriseerde afzenders in kaart. Bepaal welke diensten e-mail versturen als @uwdomein.nl, zoals:
   • Uw e-mailprovider (bijvoorbeeld Microsoft 365, Google Workspace)
   • Uw website of server (als die meldingen verstuurt)
   • Marketingtools (bijvoorbeeld Mailchimp, Constant Contact)
   • CRM’s (bijvoorbeeld Salesforce, Hubspot)
   • On-premise mailservers

💡 Tip: raadpleeg de documentatie van uw leverancier voor de vereiste SPF-waarde bij include: . Microsoft 365 gebruikt bijvoorbeeld spf.protection.outlook.com.

2. Stel uw SPF-record samen:
   • Maak een TXT-record met deze syntaxis:

• • Voorbeelden:
    • Alleen Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
    • Microsoft 365 + websiteserver (IP 192.0.2.10): v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all
    • Microsoft 365 + Salesforce: v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all

Let op: spf.protection.outlook.com is een door Microsoft beheerd DNS-domein dat het officiële SPF-record voor de uitgaande e-mailinfrastructuur van Microsoft 365 publiceert. Het bevat de gezaghebbende lijst met mailservers en IP-reeksen die Microsoft 365 mag gebruiken bij het verzenden van e-mail namens klantdomeinen

⚠️ Waarschuwing: sluit de syntaxis altijd af met -all voor handhaving met een hard fail. Daarmee blokkeert u ongeautoriseerde afzenders actief.

3. Publiceer het DNS-record via deze stappen:
   • Log in op uw DNS-server (bijvoorbeeld GoDaddy, Cloudflare).
   • Maak een nieuw TXT-record aan.
   • Stel het veld Host in op @ (of de naam van uw hoofddomein).
   • Plak uw SPF-record (uit de vorige stap) in het veld Waarde/Inhoud.
   • Sla uw wijzigingen op.
4. Controleer het resultaat met deze stappen:
   • Open de opdrachtprompt of Windows Terminal (Win + X).
   • Voer deze opdracht uit:

• • Controleer in de uitvoer of uw SPF-record zichtbaar is.
  • Bevestig dit met de MX-Toolbox SPF Checker.

Binnen 24 tot 48 uur slaagt legitieme mail van uw diensten voor de SPF-controles en zou vervalste e-mail de SPF-authenticatie niet moeten doorstaan. U ziet de SPF-resultaten met pass/fail terug in de e-mailheaders.

DKIM-ondertekening inschakelen

DomainKeys Identified Mail (DKIM) voegt een unieke digitale handtekening toe aan uw uitgaande e-mails. Die handtekening wordt gegenereerd door de verzendende mailserver met een private cryptografische sleutel.

De bijbehorende publieke sleutel wordt in DNS gepubliceerd als DKIM-record. Zodra een ontvangende server de e-mail binnenkrijgt, haalt die de publieke sleutel op uit DNS en gebruikt hij die om de handtekening te valideren.

📌 Use case: schakel DKIM direct in als u zakelijke e-mail verstuurt of dat nu transactioneel, marketinggericht of intern is. Het is vereist voor DMARC-handhaving en voorkomt dat aanvallers uw berichten manipuleren.

Stapsgewijze procedure:

1. Genereer uw DKIM-sleutels. Houd er rekening mee dat uw e-maildienst de cryptografische sleutels automatisch aanmaakt::

• Voor clouddiensten: u hoeft niets te doen, omdat de sleutels automatisch worden gegenereerd zodra u DKIM inschakelt.
  • • Microsoft 365: u vindt de sleutel in het Microsoft Defender-portaal > E-mail en samenwerking > Beleidsregels en regels > Bedreigingsbeleid > Instellingen voor e-mailverificatie > DKIM. (U kunt het navigeren ook volledig overslaan met deze directe link: https://security.microsoft.com/authentication?viewid=DKIM.)
    • Google Workspace: u vindt de sleutel in Beheerdersconsole > Apps > Gmail > E-mail verifiëren.
• Voor zelfgehoste servers: gebruik tools zoals OpenSSL of de DKIM-wizard van uw mailserver.

💡 Tip: gebruik sleutels van 2048 bits als uw provider dat toestaat. 1024 bits is het technische minimum dat de meeste providers nog accepteren, maar 2048 bits is inmiddels de aanbevolen standaard voor een betere weerstand tegen het kraken van sleutels.

2. Publiceer uw DNS-records:

• • Haal het DKIM-record op bij uw e-mailprovider:
    • Microsoft 365: CNAME-records (zie hieronder)
    • Google Workspace: TXT-record
    • Overige: TXT of CNAME
  • Log in bij uw DNS-provider (bijvoorbeeld Cloudflare, GoDaddy)
  • Voeg de volgende records toe:

⚠️ Belangrijk: vervang [domain] door uw domein en [tenant] door de naam van uw Microsoft 365-tenant.

Let op: Microsoft 365 gebruikt twee DKIM-records zodat DKIM-sleutels transparant kunnen worden geroteerd. Zo blijft de e-mailauthenticatie ononderbroken werken en wordt de algehele beveiliging versterkt

3. Controleer de instellingen via deze stappen:

• • Open de opdrachtprompt of PowerShell in Windows Terminal (Win + X).
  • Voer in de opdrachtprompt het volgende uit:

• • Gebruik voor PowerShell dit script:

• • • Let op Enabled: True en Status: CNAMEValid.

• • E-mailtest: stuur een e-mail naar [email protected] en bekijk de headers van het antwoord.

Na de configuratie zouden alle uitgaande e-mails binnen 24 uur een DKIM-Signature-header moeten bevatten. Ontvangers kunnen berichten valideren met uw publieke DNS-sleutel en vervalste of gewijzigde e-mails zakken voor de DKIM-controles. Ook zouden DMARC-rapporten dkim=pass moeten tonen voor legitieme e-mail.

Een DMARC-beleid publiceren

DMARC fungeert als de beleidshandhaver van uw domein: het vertelt e-mailproviders hoe zij met niet-geverifieerde berichten moeten omgaan en levert onmisbare rapporten over spoofing. Het is de laatste laag harnas in de bescherming tegen e-mailspoofing.

📌 Use case: zet DMARC in zodra SPF en DKIM actief zijn. Dit is voor elk domein essentieel om phishing te blokkeren, inzicht te krijgen in het e-mailverkeer en bescherming tegen vervalste afzenders af te dwingen.

Stapsgewijze procedure:

1. Controleer of SPF en DKIM (zie methode 1 en 2) actief zijn en slagen voor alle e-mailbronnen. Dit is een essentiële voorwaarde voor DMARC.
2. Stel uw DMARC-record samen via deze stappen
   • Maak een TXT-record aan in de DNS van uw domein met deze syntaxis:

• • Geef een toelichting:
    • p= (beleid): dit vertelt ontvangende servers wat zij met niet-geauthenticeerde mail moeten doen. Kies er één:
      • p=none: alleen monitoren (begin hiermee).
      • p=quarantine: stuur mislukte berichten naar spam.
      • p=reject: blokkeer mislukte berichten volledig.
    • rua= (rapportage): hiermee ontvangt u dagelijkse geaggregeerde rapporten, die onmisbaar zijn om spoofing te signaleren en legitiem mailverkeer te herstellen.
  • Optioneel zijn dit handige tags om fijn af te stemmen:
    • pct=5: pas uw beleid toe op slechts 5% van de mislukte mail (maakt handhaving soepeler).
    • sp=quarantine: stel een afwijkend beleid in voor uw subdomeinen.
    • adkim=r; aspf=r: gebruik “relaxed” uitlijning (gebruikelijk bij de meeste configuraties).

3. Publiceer het DNS-record als volgt:
   • Log in bij uw DNS-provider (bijvoorbeeld Cloudflare, GoDaddy)
   • Maak een TXT-record aan:
     • Host: _dmarc
     • Waarde: uw DMARC-beleidsregel
     • TTL: 3600 (1 uur)
4. Controleer uw wijzigingen:
   • Open de opdrachtprompt of Windows Terminal (Win + X).

• • Gebruik voor een online controle MXToolbox DMARC Lookup

5. Monitor en scherp het beleid aan:
   • Analyseer de rapporten die twee weken lang naar de rua–inbox worden gestuurd.
   • Werk SPF en DKIM consequent bij voor legitieme afzenders.
   • Verscherp het beleid stapsgewijs: none > quarantine > reject.

Binnen 72 uur na de configuratie zouden uw dagelijkse XML-rapporten legitieme en frauduleuze afzenders moeten tonen, evenals de slagingspercentages van SPF en DKIM, geografische risicogebieden en welke e-mails in quarantaine zijn geplaatst of geweigerd.

PowerShell gebruiken voor DKIM- en DMARC-beheer in Microsoft 365

PowerShell stroomlijnt het beheer van e-mailbeveiliging in Microsoft 365 met de efficiëntie van de opdrachtregel. Gebruik het om bescherming tegen e-mailspoofing sneller af te dwingen dan met grafische tools.

📌 Use case: dit is ideaal voor IT-beheerders die meerdere domeinen beheren, implementaties automatiseren of SPF-, DKIM- en DMARC-logs analyseren. Het is ook onmisbaar om beleid op schaal af te dwingen.

Stapsgewijze procedure:

1. Maak verbinding met Exchange Online:
   • Open daarvoor PowerShell (als beheerder) en voer dit script uit:

2. Schakel DKIM-ondertekening in met deze stappen:
   • Voer dit script uit:

• • Controleer dit met dit script:

💡 Let op: kijk of u Enabled: True en Status: CNAMEValid ziet

3. Haal SPF-, DKIM- en DMARC-logs op door dit script uit te voeren:

• • De uitvoer zou de authenticatieresultaten van elke verzonden e-mail moeten tonen.

4. Bekijk gedetailleerde traces (Microsoft Defender) door dit script uit te voeren.

Na uitvoering wordt DKIM-ondertekening direct geactiveerd voor uitgaande mail. De logs laten de slagings- en faalpercentages van SPF en DKIM zien, de DMARC-uitlijningsstatus en verdachte afzenders.

E-mailverharding via GPO en register (alleen Windows-clients)

SPF, DKIM en DMARC beschermen servers, maar het verharden van Windows-e-mailclients voegt een cruciale verdedigingslaag op gebruikersniveau toe tegen spoofing.

📌 Use case: pas dit toe wanneer medewerkers Outlook gebruiken op Windows 11-pc’s die lid zijn van het domein. Dit is essentieel voor finance- en HR-teams die met gevoelige gegevens werken.

Stapsgewijze procedure:

Methode A: register bewerken (één pc)

1. Druk op Win + R en typ vervolgens regedit om de Register-editor te openen. Zorg dat u over beheerdersrechten beschikt.
2. Ga naar of plak dit in de adresbalk: HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Security
3. Maak een nieuwe DWORD-waarde (32-bits) aan:
   • Noem deze ShowSenderAsFrom
   • Stel Waardegegevens in op 1.
     • Hierdoor toont Outlook altijd het postbusadres in het veld Van wanneer e-mails worden verzonden met Verzenden als of met machtigingen voor een gedeelde postbus, in plaats van “namens”.

Methode B: groepsbeleid (domeinbreed)

1. Open de Groepsbeleidsbeheer-editor.
2. Ga naar Gebruikersconfiguratie > Beheersjablonen > Microsoft Outlook 2016 > Beveiliging
3. Schakel twee beleidsregels in:
   • Waarschuwen bij dubbelzinnige afzenderadressen
   • Het Van-adres altijd weergeven in e-mailheaders
4. Dwing dit af door gpupdate /force uit te voeren op de client-pc’s.

Na de implementatie toont Microsoft Outlook waarschuwingen bij verdachte verschillen tussen afzender en reply-to-adres, zijn volledige headers zichtbaar zonder plug-ins en krijgt IT via de logboeken van Logboeken zicht op mogelijke spoofingpogingen. Daarnaast levert het een extra signaal op om vervalste, intern ogende berichten te onderscheppen die authenticatie alleen niet tegenhoudt (bijvoorbeeld een gecompromitteerd partneraccount met geldige SPF/DKIM).

⚠️ Waar u op moet letten

In dit onderdeel vindt u mogelijke knelpunten om in gedachten te houden terwijl u deze gids volgt.

Tips voor het inrichten van bescherming tegen e-mailspoofing

Volg deze praktische tips om veelgemaakte fouten te vermijden bij het uitrollen van bescherming tegen e-mailspoofing. Zo optimaliseert u uw configuratie voor zowel beveiliging als bezorgbaarheid.

Waarom mislukt SPF na 10 DNS-lookups?

SPF mislukt als het aantal DNS-lookups boven de 10 uitkomt, waardoor legitieme e-mails worden geweigerd. Voorkom dit door uw includes: plat te slaan: vervang geneste include:-statements door directe ip4:/ip6:-lijsten.

U kunt ook SPF-macro’s gebruiken door de providers samen te voegen (include:%{i}._spf.example.com). Test dit grondig met het onderstaande script:

Begin ik met p=reject of met p=none?

Begin nooit met p=reject. Daarmee riskeert u dat geldige e-mails stilzwijgend worden geblokkeerd. Zet in plaats daarvan 2 tot 4 weken p=none in om rapporten te verzamelen. Los daarna de SPF- en DKIM-hiaten voor legitieme afzenders op.

Schaal vervolgens op naar p=quarantine (spam) > p=reject (blokkeren). Geleidelijke handhaving voorkomt namelijk bedrijfsverstoringen en biedt tegelijk maximale bescherming tegen vervalste afzenders.

Hoe vaak moet ik mijn DKIM-sleutels roteren?

Niet-gedocumenteerde sleutelwijzigingen leggen uw mailstroom plat. Voor waterdicht beheer legt u de selectors (bijvoorbeeld selector1, google) vast in een wachtwoordkluis, roteert u de sleutels elke 6 maanden via het beheerportaal van uw e-maildienst en voert u elk kwartaal een audit uit met deze opdracht:

Kan ik beter een gehoste DMARC-tool gebruiken dan DNS handmatig beheren?

Als handmatig beheer via DNS of PowerShell u boven het hoofd groeit, kies dan voor MSP-vriendelijke platformen zoals PowerDMARC, Proofpoint of Valimail. Die kunnen SPF, DKIM en DMARC automatisch configureren, rapporten vertalen naar begrijpelijke taal en in realtime waarschuwen bij spoofingaanvallen. Dat is ideaal voor teams zonder specifieke mailbeheerders of 24/7 monitoring.

Bescherming tegen e-mailspoofing: stop phishing voordat het begint

Het configureren van SPF, DKIM en DMARC is uw eerste verdedigingslinie tegen phishing, factuurfraude en merkimitatie gericht op het mkb. Met deze protocollen dwingt u vertrouwen in uw domein af, blokkeert u vervalste e-mails op serverniveau en krijgt u cruciaal inzicht in aanvalspatronen.

Begin met -all van SPF, voeg daar de cryptografische ondertekening van DKIM aan toe en laat de DMARC-rapporten vervolgens bepalen hoe u het beleid aanscherpt. Onthoud dat één gemiste vervalste “verzoek van de CEO” een klant failliet kan laten gaan.

Gerelateerde onderwerpen

• E-mailspoofingaanvallen begrijpen en voorkomen
• Wat is spoofing?
• Voorbeelden van phishingmails: zo herkent u een phishing-e-mail
• Wat is Business Email Compromise (BEC)?
• 10 beste praktijken voor de beveiliging van e-mailservers die u moet kennen