darioa
Laten we praten

SPF, DKIM en DMARC: wat het NCSC en Forum Standaardisatie adviseren

Dario Albers · 10 november 2026 · 3 min lezen

Gecontroleerd op 2026-11-10. Bronnen: NCSC-pagina en Forum Standaardisatie, beide zonder zichtbare datum in onze ophaling.

Kort antwoord

Het NCSC adviseert e-mail te ondertekenen met zowel RSA-SHA256 (2048-bits) als Ed25519-SHA256, DMARC op reject te zetten en voor verzendende domeinen meestal ~all (softfail) bij SPF te gebruiken. Het NCSC adviseert SPF, DKIM en DMARC ook op domeinen waarvan geen e-mail wordt verzonden. Dit zijn adviezen, geen verplichtingen.

Wat de drie doen

  • SPF: een domeinhouder publiceert de IP-adressen van verzendende mailservers in de DNS (Forum Standaardisatie).
  • DKIM: e-mail wordt ondertekend; de ontvanger controleert die handtekening.
  • DMARC: bepaalt wat een ontvanger met mail doet als DKIM of SPF niet klopt. Het NCSC noemt de instructies ‘reject’ (weggooien), ‘quarantine’ (markeren als spam) en ‘none’ (accepteren), en beveelt reject aan.

DKIM

  • Gebruik RSA-SHA256 of Ed25519-SHA256; Forum Standaardisatie noemt voor sleutels een lengte van 2048 bits, niet hoger vanwege compatibiliteitsissues.
  • Gebruik RSA-SHA1 niet meer: dat algoritme wordt volgens het NCSC en Forum Standaardisatie als niet meer veilig beschouwd.

SPF en DMARC

  • SPF: een hardfail geef je aan met een minteken (-), een softfail met een kringelteken (~). Voor verzendende domeinen heeft ~all meestal de voorkeur (NCSC).
  • DMARC: het NCSC beschrijft het veld rua als het e-mailadres waarnaar ontvangende mailproviders DMARC-rapportages kunnen sturen. Is pct weggelaten, dan staat die standaard op pct=100.

Controleren

De e-mailtest van internet.nl test of de e-maildienst de moderne internetstandaarden ondersteunt.

Niet bevestigd

Dat 1024-bits sleutels niet meer mogen, staat niet op de pagina's die we controleerden. Een bron die voor domeinen zonder mail -all en p=reject eist, hebben we niet kunnen bevestigen en nemen we niet over.

Wat betekent dit voor je website

De records stel je in bij de beheerder van je DNS. Bij een domeinverhuizing neem je ze mee: zie domein verhuizen. Voor beveiliging van de verbinding zelf: Let's Encrypt en certificaten en TLS-versies volgens het NCSC.

Bij darioa zit e-mail op je domein, doorgestuurd naar je inbox, in de jaarprijs van elk product: 60 euro per jaar voor een Website, excl. 21% btw (prijzen, Website laten maken).

Gerelateerd advies, geen juridisch advies; lees de officiële tekst via https://www.ncsc.nl/phishing/bescherm-domeinnamen-tegen-phishing

Lees ook

Handige hulp, gratis

Mollie foutcodes en betaalstatussen: wat betekenen ze?Alle Mollie-foutcodes en betaalstatussen, met wat je er in de praktijk mee doet.Lees de uitleg Je .nl-domein verhuizen en je verhuiscode opvragenVerhuiscode kwijt of een bureau dat niet reageert? De stappen van SIDN en een brief om te kopiëren.Lees de uitleg Bedrijfsgegevens op je website controlerenPlak je footer of contactpagina en zie welke verplichte bedrijfsgegevens ontbreken.Open de tool Thuisbezorgd-commissie berekenen per jaarWat kost de commissie van een bezorgplatform je per jaar, naast een vaste prijs?Open de tool Fietsverhuur: wat kost een boekingsplatform?Wat kost de commissie van een boekingsplatform je per jaar, naast een vaste prijs?Open de tool Eigen hosting of vaste prijs: kosten vergelijkenEigen server of hostingpakket naast een vaste prijs, inclusief je eigen tijd.Open de tool Mollie of Stripe: betaalkosten per jaarBetaalkosten van iDEAL en kaart bij Mollie en Stripe, per jaar.Open de tool Welk product past bij je zaak? Drie vragenDrie vragen, en je ziet welk product bij je zaak past en wat het kost.Open de tool PHP-versies: tot wanneer beveiligingsupdates?Welke PHP-versies nog beveiligingsupdates krijgen en welke niet meer, uit de bron van PHP zelf.Lees de uitleg

Zelf geen tijd om dit uit te zoeken?

Stuur me een WhatsApp. Je krijgt binnen een werkdag antwoord, en een vaste prijs voordat je iets betaalt.

WhatsApp DarioBekijk de prijzen

Bronnen (gecontroleerd op 10 november 2026)

  • NCSC: bescherm domeinnamen tegen phishing (DKIM) (gelezen op 10 november 2026)“Het NCSC adviseert om zowel RSA-SHA256 (2048-bits) als Ed25519-SHA256 te gebruiken voor het ondertekenen van e-mails.”
  • NCSC (RSA-SHA1) (gelezen op 10 november 2026)“Maak geen gebruik meer van RSA-SHA1, dit algoritme wordt als niet meer veilig beschouwd.”
  • NCSC (DMARC) (gelezen op 10 november 2026)“Aanbevolen is om reject als beleid toe te passen.”
  • NCSC (DMARC-opties) (gelezen op 10 november 2026)“Mogelijke instructies zijn ‘reject’ (weggooien), ‘quarantine’ (markeren als spam) en ‘none’ (accepteren).”
  • NCSC (SPF) (gelezen op 10 november 2026)“Voor verzendende domeinen heeft het gebruik van ~all (softfail) meestal de voorkeur.”
  • NCSC (alle domeinen) (gelezen op 10 november 2026)“Maak het aanvallers lastiger door SPF, DKIM en DMARC te implementeren op al je domeinnamen,”
  • Forum Standaardisatie: DKIM (gelezen op 10 november 2026)“sleutels van type RSA-SHA256 of ED25519-SHA256 met een sleutellengte van 2048-bits te gebruiken”
  • Forum Standaardisatie: SPF (gelezen op 10 november 2026)“SPF is een techniek waarmee een domeinhouder de IP-adressen van verzendende mailservers kan publiceren in de DNS.”
  • internet.nl: e-mailtest (gelezen op 10 november 2026)“we will test if the email service offers support for the modern Internet Standards below.”