E-mailspoofing voorkomen: zo mailen oplichters niet meer uit naam van je bedrijf

Op dit moment, zonder speciale tools, kan iemand een mail versturen die eruitziet alsof hij van jouw bedrijf komt.

De afzenderregel toont jouw domein, je logo kan erin geplakt zijn, en de mail vraagt een van je klanten om een factuur te betalen of bankgegevens aan te passen. Dit heet e-mailspoofing, en het is een van de meest voorkomende manieren waarop fraude tegen je klanten en leveranciers begint. E-mailspoofing voorkomen is gelukkig geen groot project: het draait om drie regels in het DNS van je domeinnaam.

Er zijn drie instellingen die je aan je domein kunt toevoegen en die dit een stuk lastiger maken. Ze heten SPF, DKIM en DMARC. De meeste bedrijven hebben er één of twee van ingesteld en missen de derde. En dat is meestal precies genoeg om een vervalste mail door te laten. In deze blog lees je wat elk record doet, welke instelling de meeste bedrijven verkeerd hebben, en hoe je je eigen domein controleert.

Waarom oplichters mail kunnen sturen uit naam van je bedrijf

E-mail is gebouwd in een goedgeloviger tijd. Het systeem dat mail bezorgt, controleert uit zichzelf niet of de afzender is wie hij beweert te zijn. Het van-adres op een mail is ongeveer net zo betrouwbaar als een handgeschreven afzender op een envelop: iedereen kan er invullen wat hij wil, en de post wordt alsnog bezorgd.

Spoofing maakt daar gebruik van. Een oplichter zet jouw domein in het van-veld, verstuurt de mail, en zolang je domein niet is ingesteld om dat tegen te houden, heeft de ontvangende mailserver geen reden om te twijfelen. De mail belandt in de inbox van je klant en ziet eruit alsof hij van jou komt.

De drie records die e-mailspoofing tegenhouden

Drie DNS-records werken samen om te bewijzen dat een mail echt van jouw domein komt. Je voegt ze één keer toe, bij je domeinregistrar of DNS-host, en ontvangende mailservers controleren ze bij elk bericht dat je verstuurt. (DNS is het adresboek van internet; hier leg je vast welke servers namens jouw domein mogen mailen.)

SPF (Sender Policy Framework)

SPF is een lijst van de mailservers die namens jouw domein mogen versturen, gepubliceerd als DNS-record. Krijgt een ontvangende server een bericht dat van jou zegt te komen, dan controleert hij of de verzendende server op die lijst staat. Probeert een server die er niet op staat toch als jouw domein te mailen, dan valt SPF daarover.

DKIM (DomainKeys Identified Mail)

DKIM zet een fraudebestendige handtekening onder elk bericht dat je verstuurt. Je mailserver ondertekent uitgaande mail met een privésleutel, en de bijbehorende publieke sleutel staat in je DNS. De ontvangende server controleert de handtekening en bevestigt zo twee dingen: de mail komt echt van jouw domein, en niemand heeft hem onderweg aangepast.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC bindt de andere twee samen en vertelt ontvangende servers wat ze moeten doen als een bericht de controle niet doorstaat. Het bevestigt ook dat het domein in het zichtbare van-adres overeenkomt met het domein dat SPF en DKIM verifieerden — en juist dat deel stopt iemand die jouw exacte adres wil vervalsen. Daarnaast stuurt het je rapporten die laten zien wie er mail verstuurt met jouw domein, inclusief de afzenders die dat niet zouden mogen.

De DMARC-instelling die de meeste bedrijven verkeerd hebben

DMARC heeft drie beleidsinstellingen, en de verkeerde kiezen is een veelgemaakte fout.

p=none zegt ontvangende servers dat ze niets moeten doen als een bericht faalt. Het houdt alleen bij en stuurt je rapporten. Je domein kan nog steeds vervalst worden.

p=quarantine zegt ze de falende berichten naar de spammap te sturen.

p=reject zegt ze de falende berichten te blokkeren voordat ze ooit aankomen.

Veel bedrijven zetten DMARC op p=none, kijken naar de rapporten die binnenkomen en komen daar nooit voorbij. Op p=none krijg je rapporten, maar je domein is niet beschermd. Echte bescherming begint pas bij quarantine of reject. Ook Microsoft adviseert om toe te werken naar p=reject zodra je hebt bevestigd dat je legitieme mail de controle doorstaat.

Wat SPF, DKIM en DMARC niet tegenhouden

Deze records stoppen iemand die jouw exacte domein wil vervalsen. Er zijn twee dingen die ze niet vangen, en die zijn allebei het weten waard.

Gelijkende domeinen. Een oplichter kan een domein registreren dat op het jouwe lijkt, zoals jouwbedrijf-facturen.nl, of jouwbedrijf.co in plaats van .nl, en van daaruit versturen. Je records beschermen je echte domein, niet een ander domein dat de aanvaller zelf bezit.

Vervalste weergavenaam. De naam die in de van-regel staat kan “Boekhouding Jouw Bedrijf” zijn, terwijl het echte adres erachter een willekeurig Gmail-account is. DMARC controleert het domein, niet de weergavenaam.

Daarvoor heb je nog steeds de gewoontes nodig die elke phishingpoging vangen: controleer het volledige e-mailadres in plaats van alleen de weergavenaam, en verifieer elk verzoek om betaalgegevens te wijzigen door te bellen naar een bekend nummer — niet naar een nummer uit de mail.

Waarom dit ook telt als je geen grote mailingen verstuurt

De eerste reden is bescherming. Deze records stoppen oplichters die jouw domein willen misbruiken tegenover je klanten, je leveranciers en je eigen medewerkers.

De tweede is bezorgbaarheid. De grote mailboxaanbieders eisen deze records inmiddels van iedereen die in volume verstuurt. Sinds februari 2024 verplichten Google en Yahoo bulkverzenders — die meer dan 5.000 berichten per dag sturen — om SPF, DKIM en DMARC te gebruiken. Microsoft ging in 2025 vergelijkbare eisen toepassen op Outlook.com en Hotmail, waarbij niet-conforme mail in grote volumes eerst naar de spammap gaat en daarna wordt geweigerd. Ook onder die drempels bereikt een domein met goede authenticatie eerder de inbox dan de spammap.

Zo controleer en herstel je je domein

Je krijgt zonder technische kennis al een ruw beeld van waar je staat. Er zijn diverse gratis DMARC- en SPF-checkers waar je je domein intypt en ziet welke records bestaan. Dat vertelt je of de records aanwezig zijn, al niet of ze goed zijn ingesteld.

Ze goed inregelen is werk voor wie je IT of je domein beheert. De records staan in je DNS, en een fout kan je eigen legitieme mail naar de spam sturen. Daarom doe je de uitrol in fasen:

Publiceer SPF en DKIM, zodat al je echte mailbronnen zijn afgedekt.

Voeg DMARC toe op p=none en lees de rapporten om te bevestigen dat je legitieme mail slaagt.

Zet DMARC op p=quarantine en daarna op p=reject zodra de rapporten er schoon uitzien.

Microsoft adviseert precies dit geleidelijke pad — beginnen bij none en toewerken naar reject — zodat je het domein beschermt zonder onderweg je eigen mail te blokkeren.

Veelgestelde vragen

Wat is e-mailspoofing?

E-mailspoofing is wanneer iemand een bericht verstuurt met jouw domein in het van-adres, zodat het lijkt alsof het van jouw bedrijf komt. Het wordt gebruikt om je klanten, leveranciers of medewerkers valse facturen te laten betalen, bankgegevens te laten wijzigen of informatie te laten afgeven.

Wat zijn SPF, DKIM en DMARC in gewone taal?

SPF is een lijst van servers die namens jouw domein mogen mailen. DKIM is een handtekening die bewijst dat een bericht van jou komt en niet is aangepast. DMARC bindt die twee samen, vertelt ontvangende servers om falende berichten te weigeren, en rapporteert wie er mail verstuurt met jouw domein.

Houdt DMARC alle imitatie tegen?

Nee. DMARC stopt iemand die jouw exacte domein vervalst. Het houdt geen gelijkende domeinen tegen (zoals jouwbedrijf-facturen.nl) en ook geen vervalste weergavenamen, waarbij de naam jouw bedrijf noemt maar het adres erachter anders is. Daarvoor heb je alerte medewerkers en het verifiëren van betaalverzoeken nodig.

Blokkeert DMARC instellen mijn eigen mail?

Niet als je het geleidelijk uitrolt. Beginnen bij p=none laat je de rapporten volgen en bevestigen dat je legitieme mail slaagt, voordat je naar quarantine en daarna reject gaat. Meteen naar reject springen zonder te controleren, is wat problemen veroorzaakt.

Heb ik deze records nodig als ik weinig mail verstuur?

Ja. Ze beschermen je domein tegen vervalsing, ongeacht hoeveel mail je stuurt, en ze helpen je berichten de inbox te bereiken. Google, Yahoo en Microsoft verwachten inmiddels goede authenticatie, en mail zonder wordt eerder gefilterd.

Wat is het verschil tussen e-mail spoofing en phishing?

Phishing is het doel, spoofing is de truc. Bij phishing wil de afzender dat de ontvanger iets doet: klikken, inloggen of betalen. E-mail spoofing is een van de manieren om dat geloofwaardig te maken, door de afzenderregel te vervalsen. Een voorbeeld: een mail die van jouw domeinnaam lijkt te komen, maar die verstuurd wordt vanaf een ip-adres dat niets met jouw mailserver te maken heeft. Precies dat controleert SPF, en het is belangrijk genoeg om meerdere keren per jaar na te lopen.

Bij OkayICT regelen we SPF, DKIM en DMARC voor MKB-bedrijven netjes in — in fasen, zodat je eigen mail gewoon blijft aankomen. Wil je weten hoe je domein ervoor staat? Neem gerust contact op.