Ja, als je domein geen afgedwongen DMARC-beleid heeft. Dan kan iemand mailen uit naam van jouw bedrijf, met een mail die van jouw domein lijkt te komen, en die komt gewoon aan. Bij ruim een kwart van de onderzochte organisaties in Nederland, België en Luxemburg is dat nu zo. Gelukkig is het met een paar regels in je DNS op te lossen.

Wat het onderzoek laat zien

CyberNovaLabs.io bekeek voor de Barometer e-mailbeveiliging 2026 de openbare DNS-records van ruim driehonderd organisaties met minimaal vijftig medewerkers. Bij 26,9 procent ontbrak een afgedwongen DMARC-beleid. Bij de kleinste groep in het onderzoek, organisaties met 50 tot 999 medewerkers, was het zelfs 38,7 procent. Dat lees je in het verslag van Dutch IT Leaders.

Kleinere bedrijven zaten niet in het onderzoek. Mijn ervaring is dat het daar eerder slechter dan beter is. Bij zzp'ers, praktijken en mkb-bedrijven is de mail vaak ooit door de hostingpartij ingesteld, en daarna heeft niemand er meer naar gekeken.

Wat er mis kan gaan

E-mail is ooit ontworpen zonder controle op de afzender. Iedereen kan in een mail zetten dat hij van info@jouwbedrijf.nl komt. Of die mail wordt afgeleverd, hangt af van de afspraken die jij in je DNS hebt gezet.

Staan die afspraken er niet, dan kan een oplichter bijvoorbeeld:

  • een nepfactuur sturen aan je klanten, met een ander rekeningnummer
  • een "je afspraak is verzet, klik hier"-mail sturen naar je cliënten of patiënten
  • leveranciers vragen om gegevens of betalingen, uit naam van jou

Het nare is dat zo'n mail er niet verdacht uitziet. Hij komt van jouw domein, dus je klant heeft geen reden om te twijfelen. En de schade aan het vertrouwen komt bij jou terecht.

Drie regels in je DNS

De oplossing bestaat uit drie onderdelen. Ze klinken technisch, maar het idee erachter is eenvoudig.

SPF: de gastenlijst

SPF is een lijst in je DNS met de servers die namens jouw domein mogen mailen. Denk aan Microsoft 365 of Google Workspace, maar ook aan je nieuwsbriefdienst of het systeem dat je facturen verstuurt.

DKIM: het zegel

Met DKIM krijgt elke mail een digitale handtekening. De ontvanger controleert die met een sleutel die in je DNS staat. Zo ziet hij dat de mail echt van jou komt en onderweg niet is veranderd.

DMARC: de huisregel

DMARC zegt wat een ontvanger moet doen als een mail niet door de controle van SPF en DKIM komt. Er zijn drie standen:

  • none: alleen meekijken, de mail wordt gewoon afgeleverd
  • quarantine: de mail gaat naar de spammap
  • reject: de mail wordt geweigerd

Pas met quarantine of reject houd je nagemaakte mail echt tegen. Veel domeinen staan op none. Dat voelt als geregeld, maar het beschermt niemand.

Waarom je niet meteen op reject zet

Het is verleidelijk om DMARC direct op de strengste stand te zetten. Dat is riskant. Vaak mailt niet alleen je mailbox namens je domein. Ook je website verstuurt mail, net als je nieuwsbrief, je boekhoudpakket of je afsprakensysteem. Staan die niet goed in SPF en DKIM, dan blokkeer je met reject ook je eigen mail.

Zo pak ik het daarom aan:

  • Week 1: DMARC op none, met een adres waar rapporten naartoe gaan
  • Week 2 en 3: de rapporten lezen, zodat je ziet welke diensten allemaal namens je domein mailen, en die goed instellen
  • Daarna: naar quarantine, en als er niets misgaat naar reject

Het werk zelf is een paar uur. De doorlooptijd is een paar weken, omdat je tussen de stappen wilt zien wat er gebeurt.

Zo check je je eigen domein

Je kunt het zelf in een paar seconden nakijken met de gratis mailcheck. Vul je domein of e-mailadres in en je ziet per onderdeel of het goed staat, met uitleg in gewone taal. De check leest alleen openbare DNS-records en bewaart alleen het domein en de uitslag. Wil je een uitgebreidere technische test, dan is Internet.nl een goede onafhankelijke keuze.

Staat er bij jou "Iemand kan mailen uit naam van dit domein"? Dan is dit een van de makkelijkste beveiligingswinsten die je kunt halen.

Veelgestelde vragen

Ben ik met DMARC beschermd tegen alle phishing?

Nee. DMARC houdt mail tegen die zich voordoet als jouw eigen domein. Een oplichter kan nog steeds een domein registreren dat erop lijkt, zoals jouwbedrijf-nl.com. Wel haal je de makkelijkste en meest overtuigende vorm van nabootsing weg.

Is dit verplicht voor mijn bedrijf?

Voor de meeste kleine bedrijven niet. De Europese NIS2-regels gelden vooral voor organisaties vanaf vijftig medewerkers in bepaalde sectoren. Verstandig is het wel, omdat het je klanten beschermt tegen nepmails uit jouw naam.

Mijn domein ontvangt geen mail. Moet ik dan iets doen?

Ja. Ook een domein zonder mailbox kan worden nagemaakt. Met een SPF-record dat alles uitsluit en DMARC op reject vertel je ontvangers dat er nooit mail van dit domein komt.

Wie kan dit voor me regelen?

Iedereen die toegang heeft tot je DNS en weet welke diensten namens je mailen. Wil je dat ik het zorgvuldig voor je regel, kijk dan bij mijn diensten onder E-mail beveiligen. Host ik je website al, dan hoort het bij het onderhoud.