Je stuurt een offerte, een factuur of een nieuwsbrief en er komt niets terug. Niet omdat de ontvanger geen interesse heeft, maar omdat je bericht nooit in de inbox is aangekomen. De bezorgbaarheid van e-mail is voor veel MKB-bedrijven een blinde vlek. In dit artikel leggen we uit hoe e-mailproviders bepalen wat er doorgelaten wordt, wat SPF, DKIM en DMARC precies doen en hoe je in een paar stappen zorgt dat jouw e-mail betrouwbaar aankomt.
Verstuurd is niet hetzelfde als bezorgd
De meeste bedrijven meten e-mail op één ding: is hij de deur uit? Je mailprogramma zegt "verzonden", dus het zal wel goed zitten. In de praktijk zit daar een groot gat. Een bericht kan geweigerd worden, in de spammap verdwijnen of stilletjes worden weggefilterd zonder dat de afzender daar iets van merkt.
Dat is vervelend bij een nieuwsbrief, maar echt pijnlijk bij zakelijke post. Een offerte die niet aankomt kost omzet. Een factuur die in de spam belandt kost werkkapitaal. En een wachtwoord-herstelmail die niet doorkomt kost je supportafdeling tijd.
Wat een mailserver doet voordat jouw bericht in de inbox valt
E-mail is ooit ontworpen zonder ingebouwde afzendercontrole. Je kunt technisch gezien een bericht versturen met "directie@willekeurigbedrijf.nl" in de afzenderregel, ook als je daar niets mee te maken hebt. Precies daar maken phishing en factuurfraude gebruik van.
Om dat te ondervangen zijn er drie standaarden bijgekomen die samen één vraag beantwoorden: mag deze server namens dit domein mailen en is het bericht onderweg ongewijzigd gebleven? Die standaarden heten SPF, DKIM en DMARC. Ze staan alle drie als tekstregels in de DNS-instellingen van je domein.
SPF: wie mag er namens jouw domein versturen
SPF (Sender Policy Framework) is in feite een gastenlijst. In je DNS zet je welke servers namens jouw domein e-mail mogen versturen: je eigen e-mailomgeving, maar ook je nieuwsbriefsoftware, je boekhoudpakket en je webshop of website die orderbevestigingen stuurt.
Komt er een bericht binnen van een server die niet op de lijst staat, dan weet de ontvangende partij dat er iets niet klopt. De meest gemaakte fout hier is een onvolledige lijst: er wordt een nieuw systeem in gebruik genomen dat e-mails verstuurt, maar niemand past de SPF-regel aan.
DKIM: een digitale handtekening op je bericht
DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan elk bericht dat je verstuurt. De ontvangende server haalt de bijbehorende publieke sleutel op uit jouw DNS en controleert daarmee twee dingen: dat het bericht daadwerkelijk vanuit jouw domein is ondertekend en dat de inhoud onderweg niet is aangepast.
Waar SPF kijkt naar de verzendende server, kijkt DKIM naar het bericht zelf. Dat maakt de twee aanvullend in plaats van uitwisselbaar.
DMARC: het beleid dat de twee samenbrengt
SPF en DKIM stellen vast of iets klopt. DMARC bepaalt wat er moet gebeuren als het niet klopt. In je DMARC-record leg je vast of berichten die de controle niet doorstaan gewoon bezorgd moeten worden (p=none), in quarantaine mogen (p=quarantine) of geweigerd moeten worden (p=reject).
Even belangrijk is de rapportagefunctie. Met DMARC kun je een adres opgeven waar ontvangende partijen dagelijks rapportages naartoe sturen over wie er namens jouw domein mailt. Dat is vaak een eyeopener: bedrijven ontdekken zo systemen waarvan ze niet wisten dat die e-mails verstuurden en soms ook misbruik van hun domeinnaam. Het is in feite een vorm van monitoring op je eigen domein — vergelijkbaar met hoe je ook je overige systemen proactief in de gaten wilt houden voordat een klant het probleem meldt.
De verstandige route is stapsgewijs: begin met p=none, bekijk een paar weken de rapportages, repareer wat er misgaat en schuif dan pas op naar quarantine en uiteindelijk reject. Meteen op reject zetten terwijl je nog niet weet welke legitieme systemen er mailen, betekent dat je je eigen post blokkeert.
De grote e-mailproviders stellen inmiddels eisen
Wat vroeger "netjes geregeld" was, is inmiddels een voorwaarde. Google en Yahoo voerden begin 2024 aangescherpte eisen in voor afzenders die grotere volumes versturen en Microsoft volgde daarna met vergelijkbare eisen voor zijn consumentenmail. De kern komt bij alle drie op hetzelfde neer: zorg voor correcte authenticatie, maak afmelden makkelijk en houd het aantal spamklachten laag.
Formeel richten die regels zich op bulkverzenders. Praktisch gezien werkt het door in alle e-mail: domeinen met goed geregelde authenticatie worden gunstiger beoordeeld, domeinen zonder juist wantrouwender. Ook als je maar een paar honderd e-mails per maand verstuurt, is dit dus geen overbodige luxe. Werk je toe naar een certificering zoals ISO 27001, dan is aantoonbare e-mailauthenticatie bovendien precies het soort maatregel dat auditors graag terugzien.
Wat er verder meespeelt
Techniek is de basis, maar niet het hele verhaal. Ontvangende partijen kijken ook naar gedrag en reputatie:
- Lijstkwaliteit. Blijven e-mailen naar adressen die al maanden bouncen of nooit worden geopend, schaadt je reputatie.
- Afmelden. Eén duidelijke afmeldlink die ook echt werkt, voorkomt dat mensen in plaats daarvan op "spam" drukken. Dat laatste weegt zwaar.
- Scheiding van stromen. Verstuur transactionele e-mails (facturen, bevestigingen) bij voorkeur niet via hetzelfde kanaal als marketingmail, zodat een tegenvallende campagne je facturen niet meesleept.
- Consistentie. Wissel niet onnodig van afzenderadres of verzendplatform; opgebouwde reputatie is domein- en IP-gebonden.
Hoe pak je dit aan?
Een werkbare volgorde voor een MKB-organisatie:
- Inventariseer welke systemen er namens je domein mailen — mailserver, CRM, webshop, boekhouding, formulieren op de website, nieuwsbriefsoftware.
- Controleer je huidige DNS-records op SPF, DKIM en DMARC. Vaak ontbreekt er één, of staat er nog een record van een leverancier die je niet meer gebruikt.
- Repareer en vul aan: één correcte SPF-regel, DKIM ingeschakeld bij elk systeem dat mail verstuurt, en een DMARC-record met rapportage.
- Meet mee via de DMARC-rapportages en los op wat er structureel misgaat.
- Verscherp het beleid van none naar quarantine naar reject, zodra je zeker weet dat alle legitieme verzenders in orde zijn.
- Houd het bij bij elke nieuwe koppeling of leverancier — dit is geen eenmalig project.
Tot slot
E-mailbezorgbaarheid is een van die onderwerpen die pas opvalt als het misgaat, en dan meestal bij precies het verkeerde bericht. Het goede nieuws: de techniek erachter is overzichtelijk, en het inrichten ervan kost doorgaans meer uitzoekwerk dan implementatietijd.
Weet je niet zeker of jouw domein goed staat ingericht, of komen berichten uit je webshop of maatwerkapplicatie regelmatig niet aan? Wij kijken graag met je mee: van een controle van je DNS-records tot het correct laten versturen van mail vanuit je eigen applicaties. Neem contact op en we zoeken het samen uit.
Benieuwd naar meer praktische beveiligingsonderwerpen voor het MKB? Lees ook multifactor-authenticatie: kleine moeite, groot verschil en wat de OWASP top-10 inhoudt.