{"id":938786,"date":"2026-11-13T15:46:12","date_gmt":"2026-11-13T15:46:12","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/bescherming-tegen-e-mailspoofing\/"},"modified":"2026-11-13T15:46:13","modified_gmt":"2026-11-13T15:46:13","slug":"bescherming-tegen-e-mailspoofing","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/bescherming-tegen-e-mailspoofing\/","title":{"rendered":"Zo stelt u bescherming tegen e-mailspoofing in met SPF, DKIM en DMARC voor mkb-klanten"},"content":{"rendered":"\n<p>E-mailspoofing, waarbij aanvallers afzenderadressen vervalsen om phishing- en impersonatiefraude op te zetten, is een van de grootste bedreigingen voor kleine en middelgrote bedrijven (het mkb). Die aanvallen slagen vaak simpelweg omdat essenti\u00eble records voor e-mailauthenticatie ontbreken of verkeerd zijn ingesteld.<\/p>\n<p>In deze gids helpen wij u bij het inrichten van essenti\u00eble <strong>bescherming tegen e-mailspoofing<\/strong> met SPF, DKIM en DMARC, zodat zowel uw uitgaande als inkomende mail veilig is voor uw mkb-klanten met Windows.<\/p>\n<h2>Waarom dit in 2026 belangrijker is dan ooit<\/h2>\n<p>Google, Yahoo en Microsoft weigeren niet-geauthenticeerde bulkmail inmiddels actief in plaats van die alleen als spam te markeren. Domeinen die meer dan 5.000 berichten per dag naar adressen van Gmail, Yahoo of Outlook.com sturen, moeten beschikken over SPF, DKIM en een gepubliceerd DMARC-record, anders wordt de mail direct geweigerd.<\/p>\n<p>Zelfs mkb-bedrijven die ruim onder die drempel blijven, ondervinden er indirect hinder van. Marketingplatformen, CRM\u2019s en helpdesktools die namens hen verzenden, tellen mee voor het volume van de afzender zelf en een gedeelde reputatie op niet-geauthenticeerde infrastructuur zorgt ervoor dat ieders mail wordt afgeknepen. Dit betekent dat het instellen van deze records de basisvoorwaarde is om mail \u00fcberhaupt te laten aankomen.<\/p>\n<h3>De protocollen in \u00e9\u00e9n oogopslag<\/h3>\n<table>\n<tbody>\n<tr>\n<td><strong>Protocol<\/strong><\/td>\n<td><strong>Wat het doet<\/strong><\/td>\n<td><strong>Waar het staat<\/strong><\/td>\n<td><strong>Vereist volgens de bulkverzendregels van 2026?<\/strong><\/td>\n<\/tr>\n<tr>\n<td>SPF<\/td>\n<td>Autoriseert verzendende IP\u2019s\/servers<\/td>\n<td>DNS TXT-record<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>DKIM<\/td>\n<td>Ondertekent berichten cryptografisch<\/td>\n<td>DNS TXT-\/CNAME-record<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>DMARC<\/td>\n<td>Stelt handhavingsbeleid + rapportage in<\/td>\n<td>DNS TXT-record<\/td>\n<td>Ja<\/td>\n<\/tr>\n<tr>\n<td>BIMI<\/td>\n<td>Toont een geverifieerd merklogo<\/td>\n<td>DNS TXT-record + VMC<\/td>\n<td>Nee (optioneel)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Gebruik scripts en configureer endpoints met NinjaOne Endpoint Security voor betere bescherming<\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/nl\/gratis-demo\/\">Bekijk een gratis demo en ontdek meer over NinjaOne<\/a><\/p>\n<\/div>\n<h2>Manieren om bedrijven te beschermen tegen e-mailspoofing<\/h2>\n<p>SPF, DKIM en DMARC vormen het essenti\u00eble drietal dat afzenders authenticeert en domeinspoofing tegenhoudt. Een juiste configuratie voorkomt dat aanvallers zich voordoen als uw bedrijf of uw partners.<\/p>\n<p>\ud83d\udccc<strong>Use case: <\/strong>zet deze beschermingsmiddelen in voor uw zakelijke e-mail om <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/what-is-email-spoofing\/\">e-mailspoofing<\/a> te voorkomen, phishing te stoppen, uw merk te beschermen en ervoor te zorgen dat alleen legitieme e-mails uw inbox bereiken.<\/p>\n<p>\ud83d\udccc<strong>Vereisten: <\/strong>zorg dat u voor de start beschikt over:<\/p>\n<ul>\n<li>Beheerderstoegang tot de DNS van uw domein<\/li>\n<li>Een e-maildienst die DKIM ondersteunt<\/li>\n<li>De mogelijkheid om DNS TXT-records toe te voegen of bij te werken<\/li>\n<li>Basiskennis van DNS-records<\/li>\n<li>Tools zoals PowerShell, maltesttools (bijvoorbeeld MXToolbox) en de opdrachtprompt<\/li>\n<\/ul>\n<p>Wij raden u aan om <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Waar u op moet letten<\/em><\/a> te bekijken voordat u verdergaat.<\/p>\n<p><strong>\ud83d\udccc <\/strong>Aanbevolen implementatiestrategie\u00ebn:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\"><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Beste keuze voor individuele gebruikers<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Beste keuze voor grote organisaties<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-1\"><strong>Het SPF-record configureren in DNS<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-2\"><strong>DKIM-ondertekening inschakelen<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-3\"><strong>Een DMARC-beleid publiceren<\/strong><\/a><\/td>\n<td>\u2713<\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-4\"><strong>PowerShell gebruiken voor DKIM- en DMARC-beheer in Microsoft 365<\/strong><\/a><\/td>\n<td><\/td>\n<td>\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#how-to-5\"><strong>E-mailverharding via GPO en register (alleen Windows-clients)<\/strong><\/a><\/td>\n<td><\/td>\n<td>\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"how-to-1\">Het SPF-record configureren in DNS<\/h3>\n<p>De configuratie van het Sender Policy Framework (SPF) is uw eerste cruciale stap om legitieme e-mailbronnen vast te leggen en domeinspoofing te voorkomen. Het publiceert in DNS een \u201clijst met toegestane afzenders\u201d voor uw domein. Ontvangende servers controleren vervolgens of inkomende mail echt afkomstig is van uw goedgekeurde servers.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>stel SPF nu in als uw domein op welke manier dan ook e-mail verstuurt (via Microsoft 365, een on-premise server, een website of marketingtools). Elk domein heeft SPF nodig om de basislegitimiteit van de afzender vast te leggen en de bezorgbaarheid te verbeteren.<\/p>\n<p><strong>Stapsgewijze procedure:<\/strong><\/p>\n<ol>\n<li>Breng uw geautoriseerde afzenders in kaart. Bepaal welke diensten e-mail versturen als <strong>@uwdomein.nl<\/strong>, zoals:\n<ul>\n<li>Uw e-mailprovider (bijvoorbeeld Microsoft 365, Google Workspace)<\/li>\n<li>Uw website of server (als die meldingen verstuurt)<\/li>\n<li>Marketingtools (bijvoorbeeld Mailchimp, Constant Contact)<\/li>\n<li>CRM\u2019s (bijvoorbeeld Salesforce, Hubspot)<\/li>\n<li>On-premise mailservers<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Tip:<\/strong> raadpleeg de documentatie van uw leverancier voor de vereiste SPF-waarde bij <strong>include<\/strong><em>: <\/em>. Microsoft 365 gebruikt bijvoorbeeld <strong>spf.protection.outlook.com<\/strong>.<\/p>\n<ol start=\"2\">\n<li>Stel uw SPF-record samen:\n<ul>\n<li>Maak een <strong>TXT-record<\/strong> met deze syntaxis:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>v=spf1 [mechanisms] -all<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li> Voorbeelden:\n<ul>\n<li><strong>Alleen Microsoft 365:<\/strong> <code>v=spf1 include:spf.protection.outlook.com -all<\/code><\/li>\n<li><strong>Microsoft 365 + websiteserver (IP 192.0.2.10):<\/strong> <code>v=spf1 ip4:192.0.2.10 include:spf.protection.outlook.com -all<\/code><\/li>\n<li><strong>Microsoft 365 + Salesforce:<\/strong> <code>v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all<\/code><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\">Let op: spf.protection.outlook.com is een door Microsoft beheerd DNS-domein dat het offici\u00eble SPF-record voor de uitgaande e-mailinfrastructuur van Microsoft 365 publiceert. Het bevat de gezaghebbende lijst met mailservers en IP-reeksen die Microsoft 365 mag gebruiken bij het verzenden van e-mail namens klantdomeinen<\/p>\n<p style=\"padding-left: 40px;\">\u26a0\ufe0f <strong>Waarschuwing:<\/strong> sluit de syntaxis altijd af met <strong><code>-all<\/code><\/strong> voor handhaving met een hard fail. Daarmee blokkeert u ongeautoriseerde afzenders actief.<\/p>\n<ol start=\"3\">\n<li>Publiceer het DNS-record via deze stappen:\n<ul>\n<li>Log in op uw DNS-server (bijvoorbeeld GoDaddy, Cloudflare).<\/li>\n<li>Maak een nieuw TXT-record aan.<\/li>\n<li>Stel het veld <strong>Host<\/strong> in op @ (of de naam van uw hoofddomein).<\/li>\n<li>Plak uw SPF-record (uit de vorige stap) in het veld <strong>Waarde\/Inhoud<\/strong>.<\/li>\n<li>Sla uw wijzigingen op.<\/li>\n<\/ul>\n<\/li>\n<li>Controleer het resultaat met deze stappen:\n<ul>\n<li>Open de opdrachtprompt of Windows Terminal (<strong>Win + X<\/strong>).<\/li>\n<li>Voer deze opdracht uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Controleer in de uitvoer of uw SPF-record zichtbaar is.<\/li>\n<li>Bevestig dit met de <a href=\"https:\/\/mxtoolbox.com\/spf.aspx\" target=\"_blank\" rel=\"noopener\">MX-Toolbox SPF Checker<\/a>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Binnen 24 tot 48 uur slaagt legitieme mail van uw diensten voor de SPF-controles en zou vervalste e-mail de SPF-authenticatie niet moeten doorstaan. U ziet de SPF-resultaten met <strong>pass\/fail<\/strong> terug in de e-mailheaders.<\/p>\n<h3 id=\"how-to-2\">DKIM-ondertekening inschakelen<\/h3>\n<p>DomainKeys Identified Mail (DKIM) voegt een unieke digitale handtekening toe aan uw uitgaande e-mails. Die handtekening wordt gegenereerd door de verzendende mailserver met een private cryptografische sleutel.<\/p>\n<p>De bijbehorende publieke sleutel wordt in DNS gepubliceerd als DKIM-record. Zodra een ontvangende server de e-mail binnenkrijgt, haalt die de publieke sleutel op uit DNS en gebruikt hij die om de handtekening te valideren.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>schakel DKIM direct in als u zakelijke e-mail verstuurt of dat nu transactioneel, marketinggericht of intern is. Het is vereist voor DMARC-handhaving en voorkomt dat aanvallers uw berichten manipuleren.<\/p>\n<p><strong>Stapsgewijze procedure:<\/strong><\/p>\n<p>1. Genereer uw DKIM-sleutels. Houd er rekening mee dat uw e-maildienst de cryptografische sleutels automatisch aanmaakt::<\/p>\n<ul>\n<li>Voor clouddiensten: u hoeft niets te doen, omdat de sleutels automatisch worden gegenereerd zodra u DKIM inschakelt.\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Microsoft 365: u vindt de sleutel in het Microsoft Defender-portaal &gt; <strong>E-mail en samenwerking<\/strong> &gt; <strong>Beleidsregels en regels<\/strong> &gt; <strong>Bedreigingsbeleid<\/strong> &gt; <strong>Instellingen voor e-mailverificatie<\/strong> &gt; <strong>DKIM<\/strong>. (U kunt het navigeren ook volledig overslaan met deze directe link: <a href=\"https:\/\/security.microsoft.com\/authentication?viewid=DKIM\" target=\"_blank\" rel=\"noopener\">https:\/\/security.microsoft.com\/authentication?viewid=DKIM<\/a>.)<\/li>\n<li>Google Workspace: u vindt de sleutel in <strong>Beheerdersconsole &gt; Apps &gt; Gmail &gt; E-mail verifi\u00ebren<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Voor zelfgehoste servers: gebruik tools zoals OpenSSL of de DKIM-wizard van uw mailserver.<\/li>\n<\/ul>\n<p>\ud83d\udca1 Tip: gebruik sleutels van 2048 bits als uw provider dat toestaat. 1024 bits is het technische minimum dat de meeste providers nog accepteren, maar 2048 bits is inmiddels de aanbevolen standaard voor een betere weerstand tegen het kraken van sleutels.<\/p>\n<p>2. Publiceer uw DNS-records:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Haal het DKIM-record op bij uw e-mailprovider:\n<ul>\n<li>Microsoft 365: CNAME-records (zie hieronder)<\/li>\n<li>Google Workspace: TXT-record<\/li>\n<li>Overige: TXT of CNAME<\/li>\n<\/ul>\n<\/li>\n<li>Log in bij uw DNS-provider (bijvoorbeeld Cloudflare, GoDaddy)<\/li>\n<li>Voeg de volgende records toe:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Dienst<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Recordtype<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Host\/Naam<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Waarde\/Inhoud<\/strong><\/td>\n<\/tr>\n<tr>\n<td rowspan=\"2\"><strong>Microsoft 365<\/strong><\/td>\n<td>CNAME<\/td>\n<td>selector1._domainkey<\/td>\n<td><code>selector1-[domain]-com._domainkey.[tenant].onmicrosoft.com<\/code><\/td>\n<\/tr>\n<tr>\n<td>CNAME<\/td>\n<td>selector2._domainkey<\/td>\n<td><code>selector2-[domain]-com._domainkey.[tenant].onmicrosoft.com<\/code><\/td>\n<\/tr>\n<tr>\n<td><strong>Google Workspace<\/strong><\/td>\n<td>TXT<\/td>\n<td>google._domainkey<\/td>\n<td><code>v=DKIM1; k=rsa; p=[long_public_key]<\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 80px;\">\u26a0\ufe0f <strong>Belangrijk:<\/strong> vervang <strong><code>[domain]<\/code><\/strong> door uw domein en <strong><code>[tenant]<\/code><\/strong> door de naam van uw Microsoft 365-tenant.<\/p>\n<p style=\"padding-left: 40px;\"><strong>Let op: <\/strong>Microsoft 365 gebruikt twee DKIM-records zodat DKIM-sleutels transparant kunnen worden geroteerd. Zo blijft de e-mailauthenticatie ononderbroken werken en wordt de algehele beveiliging versterkt<\/p>\n<p>3. Controleer de instellingen via deze stappen:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Open de opdrachtprompt of PowerShell in Windows Terminal (<strong>Win + X<\/strong>).<\/li>\n<li>Voer in de opdrachtprompt het volgende uit:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt google._domainkey.yourdomain.com # Google TXT check<\/code><\/strong><br \/>\n<strong><code>nslookup -type=cname selector1._domainkey.yourdomain.com # M365 CNAME check<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Gebruik voor PowerShell dit script:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig -Identity yourdomain.com | Format-List Enabled,Status<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Let op <strong><code>Enabled: True<\/code><\/strong> en <code>Status: CNAMEValid<\/code>.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>E-mailtest: stuur een e-mail naar check-auth@verifier.port25.com en bekijk de headers van het antwoord.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Na de configuratie zouden alle uitgaande e-mails binnen 24 uur een DKIM-Signature-header moeten bevatten. Ontvangers kunnen berichten valideren met uw publieke DNS-sleutel en vervalste of gewijzigde e-mails zakken voor de DKIM-controles. Ook zouden DMARC-rapporten <strong>dkim=pass<\/strong> moeten tonen voor legitieme e-mail.<\/p>\n<h3 id=\"how-to-3\">Een DMARC-beleid publiceren<\/h3>\n<p>DMARC fungeert als de beleidshandhaver van uw domein: het vertelt e-mailproviders hoe zij met niet-geverifieerde berichten moeten omgaan en levert onmisbare rapporten over spoofing. Het is de laatste laag harnas in de bescherming tegen e-mailspoofing.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>zet DMARC in zodra SPF en DKIM actief zijn. Dit is voor elk domein essentieel om phishing te blokkeren, inzicht te krijgen in het e-mailverkeer en bescherming tegen vervalste afzenders af te dwingen.<\/p>\n<p><strong>Stapsgewijze procedure:<\/strong><\/p>\n<ol>\n<li>Controleer of SPF en DKIM (zie methode 1 en 2) actief zijn en slagen voor alle e-mailbronnen. Dit is een essenti\u00eble voorwaarde voor DMARC.<\/li>\n<li>Stel uw DMARC-record samen via deze stappen\n<ul>\n<li>Maak een TXT-record aan in de DNS van uw domein met deze syntaxis:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>v=DMARC1; p=&lt;policy&gt;; rua=mailto:dmarc@yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Geef een toelichting:\n<ul>\n<li><strong><code>p=<\/code><\/strong> (beleid): dit vertelt ontvangende servers wat zij met niet-geauthenticeerde mail moeten doen. Kies er \u00e9\u00e9n:\n<ul>\n<li><strong><code>p=none<\/code><\/strong>: alleen monitoren (begin hiermee).<\/li>\n<li><strong><code>p=quarantine<\/code><\/strong>: stuur mislukte berichten naar spam.<\/li>\n<li><strong><code>p=reject<\/code><\/strong>: blokkeer mislukte berichten volledig.<\/li>\n<\/ul>\n<\/li>\n<li><strong><code>rua=<\/code><\/strong> (rapportage): hiermee ontvangt u dagelijkse geaggregeerde rapporten, die onmisbaar zijn om spoofing te signaleren en legitiem mailverkeer te herstellen.<\/li>\n<\/ul>\n<\/li>\n<li>Optioneel zijn dit handige tags om fijn af te stemmen:\n<ul>\n<li><strong><code>pct=5<\/code><\/strong>: pas uw beleid toe op slechts 5% van de mislukte mail (maakt handhaving soepeler).<\/li>\n<li><strong><code>sp=quarantine<\/code><\/strong>: stel een afwijkend beleid in voor uw subdomeinen.<\/li>\n<li><strong><code>adkim=r; aspf=r<\/code><\/strong>: gebruik \u201crelaxed\u201d uitlijning (gebruikelijk bij de meeste configuraties).<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\">\n<li>Publiceer het DNS-record als volgt:\n<ul>\n<li>Log in bij uw DNS-provider (bijvoorbeeld Cloudflare, GoDaddy)<\/li>\n<li>Maak een TXT-record aan:\n<ul>\n<li><strong>Host:<\/strong> _dmarc<\/li>\n<li><strong>Waarde:<\/strong> uw DMARC-beleidsregel<\/li>\n<li><strong>TTL:<\/strong> 3600 (1 uur)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Controleer uw wijzigingen:\n<ul>\n<li>Open de <strong>opdrachtprompt<\/strong> of <strong>Windows Terminal (Win + X)<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>nslookup -type=txt _dmarc.yourdomain.com<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Gebruik voor een online controle <strong>MXToolbox DMARC Lookup<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"5\">\n<li>Monitor en scherp het beleid aan:\n<ul>\n<li>Analyseer de rapporten die twee weken lang naar de <strong>rua<\/strong>&#8211;<strong>inbox <\/strong>worden gestuurd.<\/li>\n<li>Werk SPF en DKIM consequent bij voor legitieme afzenders.<\/li>\n<li>Verscherp het beleid stapsgewijs: <strong>none &gt; quarantine &gt; reject<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Binnen 72 uur na de configuratie zouden uw <strong>dagelijkse XML-rapporten<\/strong> legitieme en frauduleuze afzenders moeten tonen, evenals de slagingspercentages van SPF en DKIM, geografische risicogebieden en welke e-mails in quarantaine zijn geplaatst of geweigerd.<\/p>\n<h3 id=\"how-to-4\">PowerShell gebruiken voor DKIM- en DMARC-beheer in Microsoft 365<\/h3>\n<p>PowerShell stroomlijnt het beheer van e-mailbeveiliging in Microsoft 365 met de effici\u00ebntie van de opdrachtregel. Gebruik het om bescherming tegen e-mailspoofing sneller af te dwingen dan met grafische tools.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>dit is ideaal voor IT-beheerders die meerdere domeinen beheren, implementaties automatiseren of SPF-, DKIM- en DMARC-logs analyseren. Het is ook onmisbaar om beleid op schaal af te dwingen.<\/p>\n<p><strong>Stapsgewijze procedure:<\/strong><\/p>\n<ol>\n<li>Maak verbinding met Exchange Online:\n<ul>\n<li>Open daarvoor <strong>PowerShell (als beheerder) <\/strong>en voer dit script uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-ExchangeOnline -UserPrincipalName admin@yourdomain.com -ShowBanner:$false<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\">\n<li>Schakel DKIM-ondertekening in met deze stappen:\n<ul>\n<li>Voer dit script uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Set-DkimSigningConfig -Identity yourdomain.com -Enabled $true<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Controleer dit met dit script:<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig yourdomain.com | Select Name, Enabled, Status<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 40px;\">\ud83d\udca1 <strong>Let op: <\/strong>kijk of u <strong>Enabled: True<\/strong> en <strong>Status: CNAMEValid<\/strong> ziet<\/p>\n<ol start=\"3\">\n<li>Haal SPF-, DKIM- en DMARC-logs op door dit script uit te voeren:<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MessageTrace -SenderAddress user@yourdomain.com -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) |<\/code><\/strong><br \/>\n<strong><code>Format-List Received, SenderAddress, RecipientAddress, Subject, *SPF*, *DKIM*, *DMARC*<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>De uitvoer zou de authenticatieresultaten van elke verzonden e-mail moeten tonen.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"4\">\n<li>Bekijk gedetailleerde traces (Microsoft Defender) door dit script uit te voeren.<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MessageTraceReport -MessageTraceId &lt;ID_from_previous_command&gt; |<\/code><\/strong><br \/>\n<strong><code>Select -ExpandProperty Events |<\/code><\/strong><br \/>\n<strong><code>Where { $_.Action -eq \"Deliver\" } |<\/code><\/strong><br \/>\n<strong><code>Format-List Connectors, *Authentication*<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Na uitvoering wordt DKIM-ondertekening direct geactiveerd voor uitgaande mail. De logs laten de slagings- en faalpercentages van SPF en DKIM zien, de DMARC-uitlijningsstatus en verdachte afzenders.<\/p>\n<h3 id=\"how-to-5\">E-mailverharding via GPO en register (alleen Windows-clients)<\/h3>\n<p>SPF, DKIM en DMARC beschermen servers, maar het verharden van Windows-e-mailclients voegt een cruciale verdedigingslaag op gebruikersniveau toe tegen spoofing.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>pas dit toe wanneer medewerkers Outlook gebruiken op Windows 11-pc\u2019s die lid zijn van het domein. Dit is essentieel voor finance- en HR-teams die met gevoelige gegevens werken.<\/p>\n<p><strong>Stapsgewijze procedure:<\/strong><\/p>\n<h4>Methode A: register bewerken (\u00e9\u00e9n pc)<\/h4>\n<ol>\n<li>Druk op <strong>Win + R<\/strong> en typ vervolgens <strong>regedit<\/strong> om de <strong>Register-editor<\/strong> te openen. Zorg dat u over <strong>beheerdersrechten<\/strong> beschikt.<\/li>\n<li>Ga naar of plak dit in de adresbalk: <strong>HKEY_CURRENT_USER\\Software\\Microsoft\\Office\\16.0\\Outlook\\Security <\/strong><\/li>\n<li>Maak een nieuwe <strong>DWORD-waarde (32-bits)<\/strong> aan:\n<ul>\n<li>Noem deze <strong>ShowSenderAsFrom<\/strong><\/li>\n<li>Stel <strong>Waardegegevens<\/strong> in op <strong>1<\/strong>.\n<ul>\n<li>Hierdoor toont Outlook altijd het postbusadres in het veld <strong>Van<\/strong> wanneer e-mails worden verzonden met <strong>Verzenden als<\/strong> of met machtigingen voor een gedeelde postbus, in plaats van \u201cnamens\u201d.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>Methode B: groepsbeleid (domeinbreed)<\/h4>\n<ol>\n<li>Open de Groepsbeleidsbeheer-editor.<\/li>\n<li>Ga naar <strong>Gebruikersconfiguratie &gt; Beheersjablonen &gt; Microsoft Outlook 2016 &gt; Beveiliging <\/strong><\/li>\n<li>Schakel twee beleidsregels in:\n<ul>\n<li><strong>Waarschuwen bij dubbelzinnige afzenderadressen<\/strong><\/li>\n<li><strong>Het Van-adres altijd weergeven in e-mailheaders<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Dwing dit af door <strong>gpupdate \/force<\/strong> uit te voeren op de client-pc\u2019s.<\/li>\n<\/ol>\n<p>Na de implementatie toont Microsoft Outlook waarschuwingen bij verdachte verschillen tussen afzender en reply-to-adres, zijn volledige headers zichtbaar zonder plug-ins en krijgt IT via de logboeken van Logboeken zicht op mogelijke spoofingpogingen. Daarnaast levert het een extra signaal op om vervalste, intern ogende berichten te onderscheppen die authenticatie alleen niet tegenhoudt (bijvoorbeeld een gecompromitteerd partneraccount met geldige SPF\/DKIM).<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Waar u op moet letten<\/h2>\n<p>In dit onderdeel vindt u mogelijke knelpunten om in gedachten te houden terwijl u deze gids volgt.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Risico\u2019s<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Mogelijke gevolgen<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Herstelacties<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Harde SPF-handhaving (-all) zonder volledig overzicht van afzenders<\/td>\n<td>Legitieme e-mails worden geblokkeerd (facturen, klantcommunicatie), storingen in CRM- en marketingsystemen<\/td>\n<td>Schakel tijdelijk over op <strong>~all<\/strong> en voeg ontbrekende diensten toe aan het SPF-record.<\/td>\n<\/tr>\n<tr>\n<td>Niet-geroteerde DKIM-sleutels<\/td>\n<td>Cryptografische compromittering waardoor afzenders kunnen worden nagebootst; bezorgfouten door verlopen sleutels<\/td>\n<td>Genereer direct nieuwe sleutels en werk DNS bij binnen het rotatievenster van 4 uur.<\/td>\n<\/tr>\n<tr>\n<td>Agressief DMARC-beleid (p=reject) zonder monitoring<\/td>\n<td>Bedrijfskritische e-mails worden stilzwijgend geweigerd (zonder bounceberichten); verstoringen in de toeleveringsketen<\/td>\n<td>Ga terug naar <strong>p=none<\/strong> en analyseer de rapporten 2 tot 4 weken voordat u opnieuw opschaalt.<\/td>\n<\/tr>\n<tr>\n<td>Het Windows-register bewerken zonder back-up<\/td>\n<td>Outlook loopt vast; werkstations van klanten kunnen geen mail verzenden of ontvangen<\/td>\n<td>Herstel het register vanaf een back-up en verwijder de <strong>DWORD-waarde ShowSenderAsFrom<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>Ongeldig e-mailadres voor DMARC-rapportage (rua)<\/td>\n<td>Geen enkel zicht op spoofingaanvallen; onopgemerkte phishingcampagnes<\/td>\n<td>Corrigeer het e-mailadres in DNS en controleer of de inbox bestaat.<\/td>\n<\/tr>\n<tr>\n<td>DNS-wijzigingen zonder controle<\/td>\n<td>E-mail verdwijnt 24 tot 72 uur in een blackhole; schade aan de domeinreputatie<\/td>\n<td>Zet de vorige DNS-records terug en gebruik <strong>nslookup\/MXToolbox<\/strong> voor validatie vooraf.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Monitor verdachte e-mails met NinjaOne RMM<\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/rmm\/free-trial\/\">Ontdek in een gratis trial hoe NinjaOne uw endpoint-monitoring verbetert<\/a><\/p>\n<\/div>\n<h2>Tips voor het inrichten van bescherming tegen e-mailspoofing<\/h2>\n<p>Volg deze praktische tips om veelgemaakte fouten te vermijden bij het uitrollen van bescherming tegen e-mailspoofing. Zo optimaliseert u uw configuratie voor zowel beveiliging als bezorgbaarheid.<\/p>\n<h3>Waarom mislukt SPF na 10 DNS-lookups?<\/h3>\n<p>SPF mislukt als het aantal DNS-lookups boven de 10 uitkomt, waardoor legitieme e-mails worden geweigerd. Voorkom dit door uw <strong>includes:<\/strong> plat te slaan: vervang geneste <strong><code>include:<\/code><\/strong>-statements door directe <strong>ip4:\/ip6:<\/strong>-lijsten.<\/p>\n<p>U kunt ook SPF-macro\u2019s gebruiken door de providers samen te voegen (<strong><code>include<\/code><\/strong><code>:%{i}._spf.example.com<\/code>). Test dit grondig met het onderstaande script:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>Resolve-DnsName -Type TXT yourdomain.com | Select-Object Strings # Windows 11<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Begin ik met p=reject of met p=none?<\/h3>\n<p>Begin nooit met <code>p=reject<\/code>. Daarmee riskeert u dat geldige e-mails stilzwijgend worden geblokkeerd. Zet in plaats daarvan 2 tot 4 weken <code>p=none<\/code> in om rapporten te verzamelen. Los daarna de SPF- en DKIM-hiaten voor legitieme afzenders op.<\/p>\n<p>Schaal vervolgens op naar <strong><code>p=quarantine<\/code> (spam) &gt; <code>p=reject<\/code> (blokkeren)<\/strong>. Geleidelijke handhaving voorkomt namelijk bedrijfsverstoringen en biedt tegelijk maximale bescherming tegen vervalste afzenders.<\/p>\n<h3>Hoe vaak moet ik mijn DKIM-sleutels roteren?<\/h3>\n<p>Niet-gedocumenteerde sleutelwijzigingen leggen uw mailstroom plat. Voor waterdicht beheer legt u de selectors (bijvoorbeeld selector1, google) vast in een wachtwoordkluis, roteert u de sleutels elke 6 maanden via het beheerportaal van uw e-maildienst en voert u elk kwartaal een audit uit met deze opdracht:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>Get-DkimSigningConfig | Format-List Domain, SelectorCNAME # Microsoft 365<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>Kan ik beter een gehoste DMARC-tool gebruiken dan DNS handmatig beheren?<\/h3>\n<p>Als handmatig beheer via DNS of PowerShell u boven het hoofd groeit, kies dan voor MSP-vriendelijke platformen zoals PowerDMARC, Proofpoint of Valimail. Die kunnen SPF, DKIM en DMARC automatisch configureren, rapporten vertalen naar begrijpelijke taal en in realtime waarschuwen bij spoofingaanvallen. Dat is ideaal voor teams zonder specifieke mailbeheerders of 24\/7 monitoring.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-start guide<\/h2><p>De specifieke stappen om route flapping te detecteren en op te lossen zijn doorgaans:<\/p>\n<p>1. <b>Monitoringtools<\/b>: gebruik <a href=\"https:\/\/www.ninjaone.com\/nl\/eindpuntbeheer\/netwerkbeheer\/\">het Network Management System (NMS) van NinjaOne<\/a> om <a href=\"https:\/\/www.ninjaone.com\/it-hub\/it-service-management\/what-is-simple-network-management-protocol-snmp\/\">SNMP<\/a>-waarden te monitoren, zoals de status van interfaces, wijzigingen in de routeringstabel en de uptime van protocollen.<\/p>\n<p>2. <b>Notificaties<\/b>: stel notificaties in voor snel wisselende interfaces of instabiliteit van routeringsprotocollen.<\/p>\n<p>3. <b>Logboekanalyse<\/b>: bekijk de logboeken van apparaten op patronen die wijzen op route-instabiliteit.<\/p>\n<p>4. <b>Netwerkdiagnose<\/b>: gebruik tools zoals <code>traceroute<\/code>, <code>ping<\/code> of leverancierspecifieke diagnostiek op de betrokken devices.<\/p>\n<p>5. <b>Configuratiecontrole<\/b>: controleer op verkeerd ingestelde routeringsregels, redundante paden of instabiele peeringrelaties.<\/p>\n<\/div>\n<h2>Bescherming tegen e-mailspoofing: stop phishing voordat het begint<\/h2>\n<p>Het configureren van SPF, DKIM en DMARC is uw eerste verdedigingslinie tegen phishing, factuurfraude en merkimitatie gericht op het mkb. Met deze protocollen dwingt u vertrouwen in uw domein af, blokkeert u vervalste e-mails op serverniveau en krijgt u cruciaal inzicht in aanvalspatronen.<\/p>\n<p>Begin met <strong><code>-all<\/code><\/strong> van SPF, voeg daar de cryptografische ondertekening van DKIM aan toe en laat de DMARC-rapporten vervolgens bepalen hoe u het beleid aanscherpt. Onthoud dat \u00e9\u00e9n gemiste vervalste \u201cverzoek van de CEO\u201d een klant failliet kan laten gaan.<\/p>\n<p><strong>Gerelateerde onderwerpen<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/understanding-and-preventing-email-spoofing-attacks\/\">E-mailspoofingaanvallen begrijpen en voorkomen<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-spoofing\/\">Wat is spoofing?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/phishing-email-disguises\/\">Voorbeelden van phishingmails: zo herkent u een phishing-e-mail<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/business-email-compromise\/\">Wat is Business Email Compromise (BEC)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/email-server-security-best-practices\/\">10 beste praktijken voor de beveiliging van e-mailservers die u moet kennen<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>E-mailspoofing, waarbij aanvallers afzenderadressen vervalsen om phishing- en impersonatiefraude op te zetten, is een van de grootste bedreigingen voor kleine en middelgrote bedrijven (het mkb). Die aanvallen slagen vaak simpelweg omdat essenti\u00eble records voor e-mailauthenticatie ontbreken of verkeerd zijn ingesteld. In deze gids helpen wij u bij het inrichten van essenti\u00eble bescherming tegen e-mailspoofing met [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":742331,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4371],"tags":[],"class_list":["post-938786","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-msp-groei"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/938786","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=938786"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/938786\/revisions"}],"predecessor-version":[{"id":938787,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/938786\/revisions\/938787"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/742331"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=938786"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=938786"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=938786"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}