--- title: "SPF, DKIM en DMARC: hoe weet een mailserver of een e-mail echt van jou komt?" description: Leer hoe SPF, DKIM en DMARC werken en waarom e-mailauthenticatie belangrijk is wanneer je vanuit HubSpot of andere platforms mailt. image: https://www.metricsinsight.nl/hubfs/Metrics%20Insight%20blog%20header%3B%20SPF%2c%20DKIM%20en%20DMARC.png --- [![Transparent Logo](https://www.metricsinsight.nl/hubfs/Transparent%20Logo.png)](https://www.metricsinsight.nl/home-vorige-versie) - [Contact](https://www.metricsinsight.nl/contact) - [Blog](https://www.metricsinsight.nl/blog) DNS # SPF, DKIM en DMARC: hoe weet een mailserver of een e-mail echt van jou komt? Leer hoe SPF, DKIM en DMARC werken en waarom e-mailauthenticatie belangrijk is wanneer je vanuit HubSpot of andere platforms mailt. [Petra](https://www.metricsinsight.nl/blog/author/petra) aug 26, 2026 --- Je verstuurt vanuit HubSpot een nieuwsbrief met `marketing@bedrijf.nl` als afzender. Voor de ontvanger lijkt die e-mail gewoon afkomstig van jouw organisatie, maar technisch wordt het bericht niet door je normale mailomgeving verstuurd. HubSpot verstuurt de e-mail namens jouw domein. Hoe weet Gmail of Outlook dan dat HubSpot daadwerkelijk namens `bedrijf.nl` mag mailen? Dat is waar **SPF, DKIM en DMARC** een belangrijke rol spelen. Als deze e-mailauthenticatie niet goed is ingericht, kan je mail in de spam belanden of zelfs worden geweigerd. En dan kun je nog zo'n goede campagne bouwen, sterke content schrijven en je doelgroep perfect segmenteren: **als je e-mail niet aankomt, is al dat werk voor niets.** Als marketeer hoef je SPF, DKIM en DMARC niet zelf technisch te beheren. Maar als je werkt met systemen die namens je organisatie e-mail versturen, moet je wel begrijpen wat ze doen en waarom een goede inrichting essentieel is voor je deliverability.   ![Metrics Insight- Infographic SPF, DKIM en DMARC](https://www.metricsinsight.nl/hs-fs/hubfs/Metrics%20Insight-%20Infographic%20SPF%2c%20DKIM%20en%20DMARC.png?width=1536&height=1024&name=Metrics%20Insight-%20Infographic%20SPF%2c%20DKIM%20en%20DMARC.png) ## Waarom is e-mailauthenticatie nodig? Een zichtbaar afzenderadres is op zichzelf geen bewijs dat een e-mail daadwerkelijk door die organisatie is verstuurd. Een kwaadwillende partij kan proberen een bericht te versturen dat eruitziet alsof het afkomstig is van `facturen@bedrijf.nl`. Dit noemen we **spoofing**. Ontvangende mailservers hebben daarom manieren nodig om te controleren of een bericht betrouwbaar is. Daarbij spelen SPF, DKIM en DMARC een belangrijke rol. Heel simpel gezegd: **SPF controleert de verzendende infrastructuur, DKIM controleert de digitale handtekening van het bericht en DMARC controleert of de authenticatie aansluit bij het domein dat de ontvanger als afzender ziet.** Samen helpen ze ontvangende mailservers beoordelen of een bericht daadwerkelijk namens jouw domein verzonden mag worden. ## SPF: wie mag namens jouw domein mail versturen? SPF staat voor **Sender Policy Framework**. Via DNS publiceer je welke verzendende infrastructuur geautoriseerd is om e-mail voor een bepaald domein te versturen. Stel dat je organisatie Microsoft 365 gebruikt voor normale zakelijke e-mail en daarnaast HubSpot gebruikt voor marketingmail. Er zijn dan meerdere systemen die legitiem namens je organisatie e-mail versturen. SPF helpt een ontvangende mailserver controleren of de verzendende infrastructuur daarvoor geautoriseerd is. Technisch kijkt SPF naar het domein dat tijdens de mailtransactie wordt gebruikt, het zogenaamde **envelope-from- of return-path-domein**. Dat hoeft niet hetzelfde te zijn als het afzenderadres dat iemand in zijn inbox ziet. Voor marketeers is vooral belangrijk om te onthouden: **SPF controleert of de verzendende infrastructuur geautoriseerd is voor het gebruikte SPF-domein.** ### Waarom kun je niet gewoon meerdere SPF-records toevoegen? Hier gaat het regelmatig mis wanneer organisaties meerdere e-mailplatformen gebruiken. Stel dat Microsoft 365 al mail verstuurt en je vervolgens een nieuw verzendplatform aansluit. Je kunt dan niet simpelweg een tweede SPF-record voor dezelfde hostname publiceren. Voor één hostname hoort **één SPF-policy** te bestaan. Daarbinnen kunnen meerdere verzenders worden toegestaan. Publiceer je meerdere SPF-records voor dezelfde hostname, dan kan SPF een `permerror` opleveren en werkt de controle niet zoals bedoeld. Daarom moet je bij het aansluiten van een nieuw e-mailplatform altijd eerst controleren wat er al staat. **Een nieuw verzendplatform toevoegen betekent niet automatisch een nieuw SPF-record toevoegen.** ## DKIM: de digitale handtekening van je e-mail DKIM staat voor **DomainKeys Identified Mail** en werkt anders dan SPF. Bij DKIM wordt een e-mail cryptografisch ondertekend door het verzendende systeem. De ontvangende mailserver kan via DNS de publieke sleutel vinden en daarmee controleren of de handtekening geldig is. Je kunt het vergelijken met een verzegelde brief. De ontvanger kan controleren of het zegel klopt en of de ondertekende onderdelen van het bericht sinds verzending niet zijn aangepast. Voor marketeers is de simpele versie: **DKIM laat zien dat een bericht door een bevoegde verzender is ondertekend en dat de ondertekende inhoud onderweg intact is gebleven.** Anders dan bij SPF kunnen meerdere DKIM-configuraties naast elkaar bestaan. DKIM gebruikt hiervoor zogenaamde **selectors**. Microsoft 365 kan bijvoorbeeld `selector1._domainkey.bedrijf.nl` gebruiken, terwijl een ander platform een andere selector gebruikt. Daardoor kunnen verschillende verzendplatformen ieder hun eigen DKIM-sleutel gebruiken zonder elkaar te overschrijven. ## DMARC: klopt het totaalplaatje? DMARC staat voor **Domain-based Message Authentication, Reporting & Conformance**. DMARC gebruikt de resultaten van SPF en DKIM, maar voegt een belangrijke controle toe: **alignment**. Stel dat de ontvanger een e-mail ziet van `marketing@bedrijf.nl`. DMARC controleert of het domein dat succesvol via SPF en/of DKIM is geauthenticeerd voldoende overeenkomt met `bedrijf.nl`, het domein dat de ontvanger in het zichtbare afzenderadres ziet. Dat onderscheid is belangrijk. Een bericht kan technisch bijvoorbeeld SPF halen op een ander domein, terwijl de ontvanger `bedrijf.nl` als afzender ziet. DMARC controleert of die onderdelen daadwerkelijk bij elkaar aansluiten. Om DMARC te laten slagen hoeft niet zowel SPF als DKIM aligned te slagen. **Minimaal één van beide moet succesvol én aligned zijn.** De eigenaar van een domein kan daarnaast aangeven wat ontvangende mailservers met berichten moeten doen die DMARC niet halen: | DMARC-policy | Betekenis | | --- | --- | | **p=none** | Monitoren zonder verzoek om falende berichten tegen te houden. | | **p=quarantine** | Verzoek om falende berichten als verdacht te behandelen, bijvoorbeeld als spam. | | **p=reject** | Verzoek om berichten die DMARC niet halen te weigeren. | DMARC kan ook rapportages opleveren. Daarmee krijg je inzicht in welke systemen namens je domein e-mail versturen en of de authenticatie daarvan goed verloopt. Dat is handig voor deliverability, maar ook om onbekende of verkeerd geconfigureerde verzenders te ontdekken. ## Hoe werken SPF, DKIM en DMARC samen? Stel dat HubSpot een marketingmail verstuurt met `marketing@bedrijf.nl` als zichtbare afzender. De ontvangende mailserver controleert onder andere of de verzendende infrastructuur via SPF geautoriseerd is en of de DKIM-handtekening geldig is. Vervolgens kijkt DMARC of minimaal één van deze succesvolle controles aligned is met het zichtbare afzenderdomein `bedrijf.nl`. Je kunt het daarom zo onthouden: | Techniek | Vraag die wordt beantwoord | | --- | --- | | **SPF** | Is deze verzendende infrastructuur geautoriseerd voor het SPF-domein? | | **DKIM** | Is deze e-mail geldig digitaal ondertekend? | | **DMARC** | Sluit de authenticatie aan bij het domein dat de ontvanger als afzender ziet? | SPF, DKIM en DMARC doen dus niet drie keer dezelfde controle. Ze controleren verschillende onderdelen van dezelfde e-mail. ## Waarom moet je dit als marketeer weten? Omdat marketingteams steeds meer systemen gebruiken die namens de organisatie e-mail versturen. Denk aan HubSpot, marketing automation, transactionele e-mail, eventsoftware, enquêtetools en andere SaaS-platformen. Iedere keer dat je zo'n platform aansluit, voeg je in feite een nieuwe verzender toe aan je e-mailinfrastructuur. Als een leverancier vervolgens vraagt om DNS-records toe te voegen, moet je daarom niet zomaar bestaande records verwijderen of vervangen. Stel dat Microsoft 365 en verschillende marketingplatformen allemaal namens `bedrijf.nl` e-mail versturen. Dan moet de configuratie rekening houden met **alle** legitieme verzenders. Vervang je bijvoorbeeld een bestaand SPF-record door het SPF-record dat een nieuwe leverancier aanlevert, dan kun je daarmee onbedoeld bestaande verzenders uit je SPF-policy verwijderen. Daarom is het belangrijk dat marketing en IT overzicht houden over welke systemen namens welke domeinen e-mail versturen. ## Goede authenticatie betekent niet automatisch dat je in de inbox komt SPF, DKIM en DMARC zijn belangrijk voor e-mailauthenticatie en deliverability, maar ze zijn geen garantie dat iedere e-mail in de inbox terechtkomt. Mailproviders kijken ook naar andere signalen, zoals verzendreputatie, spamklachten, engagement en verzendgedrag. Je kunt SPF, DKIM en DMARC dus perfect hebben ingericht en alsnog in de spamfolder terechtkomen. Andersom wordt het zonder goede authenticatie steeds moeilijker om betrouwbaar grote hoeveelheden e-mail te versturen. Zie SPF, DKIM en DMARC daarom als de **technische identiteit en toegangscontrole van je e-mail**, niet als een truc om automatisch betere inbox placement te krijgen. ## En hoe zit het met subdomeinen? Organisaties gebruiken voor marketing- en servicemails regelmatig subdomeinen zoals `marketing.bedrijf.nl` of `service.bedrijf.nl`. Hiermee kun je verschillende soorten e-mail technisch beter organiseren. Maar een subdomein betekent niet automatisch dat alles volledig losstaat van het hoofddomein. SPF, DKIM, DMARC en verzendreputatie hebben ieder hun eigen werking en onderlinge relatie. Daar gaan we in een volgende blog dieper op in: **waarom zou je marketing- of servicemails vanaf een subdomein versturen en wat betekent dat voor je e-mailreputatie?** ## Vier controles voor je volgende verzending 1. Maak met IT een lijst van de systemen die namens je domein versturen, zoals Microsoft 365 en HubSpot. 2. Controleer per verzender welke records nodig zijn en wie de DNS beheert. 3. Stuur vanuit elk platform een testmail. Controleer de authenticatieresultaten en of het geslaagde SPF- of DKIM-domein aansluit bij het zichtbare afzenderdomein. 4. Bekijk de DMARC-rapportages en onderzoek legitieme verzenders die nog niet slagen voordat je het beleid aanscherpt. Wil je weten waar je deze records beheert? [Lees hoe DNS, domeinen en servers samenwerken](https://www.metricsinsight.nl/blog/dns-domeinen-en-servers-wat-moet-je-als-marketeer-weten). ## Twijfel je of HubSpot goed namens je domein verstuurt? Metrics Insight helpt je de inrichting en testresultaten te controleren. [**Bespreek je verzenddomein →**](https://www.metricsinsight.nl/contact) ## FAQ over SPF, DKIM en DMARC ### Wat is het verschil tussen SPF, DKIM en DMARC? SPF controleert of de verzendende infrastructuur geautoriseerd is, DKIM controleert de digitale handtekening van een e-mail en DMARC controleert of deze authenticatie aansluit bij het zichtbare afzenderdomein. ### Heb je SPF, DKIM én DMARC nodig? Ze hebben ieder een andere functie en vullen elkaar aan. Voor een goede e-mailauthenticatie is het verstandig om alle drie correct in te richten. ### Kun je meerdere SPF-records hebben? Niet voor dezelfde hostname. Er hoort één SPF-policy te zijn waarin de verschillende toegestane verzenders correct worden opgenomen. Meerdere SPF-records kunnen een SPF-fout veroorzaken. ### Kunnen Microsoft 365 en HubSpot allebei namens hetzelfde domein mailen? Ja. Meerdere platformen kunnen namens hetzelfde domein e-mail versturen, zolang de e-mailauthenticatie voor de verschillende verzenders correct is ingericht. ### Kun je meerdere DKIM-records hebben? Ja. DKIM werkt met selectors, waardoor verschillende e-mailplatformen ieder hun eigen DKIM-configuratie kunnen gebruiken. ### Zorgen SPF, DKIM en DMARC ervoor dat mijn e-mail niet in spam terechtkomt? Niet automatisch. Ze zijn belangrijk voor authenticatie en deliverability, maar mailproviders kijken daarnaast naar onder andere verzendreputatie, spamklachten en verzendgedrag. [DNS](https://www.metricsinsight.nl/blog/tag/dns) ## Similar posts DNS ### [DNS, domeinen en servers: wat moet je als marketeer weten?](https://www.metricsinsight.nl/blog/dns-domeinen-en-servers-wat-moet-je-als-marketeer-weten) Ontdek hoe domeinen, DNS, webhosting en mailservers samenwerken. En wat je als marketeer hierover moet weten. Petra aug 26, 2026 Google Tag Manager ### [Wat is Google Tag Manager en waarom is het géén tracking?](https://www.metricsinsight.nl/blog/wat-is-google-tag-manager-en-waarom-is-het-géén-tracking) Google Tag Manager verzamelt zelf geen data. Lees hoe GTM werkt, waarom het geen trackingtool is en hoe je het gebruikt voor een slimme meetstrategie. Petra jul 23, 2026 HubSpot ### [Hoe ontwerp je een CRM? Zo organiseer je jouw data in HubSpot](https://www.metricsinsight.nl/blog/hoe-ontwerp-je-een-crm-zo-organiseer-je-jouw-data-in-hubspot) Voordat je workflows en automatiseringen bouwt, heb je een sterk datamodel nodig. Leer hoe je HubSpot slim inricht met objecten, properties en... Petra aug 4, 2026 ### Blijf op de hoogte van de nieuwste MarTech blogs Schrijf je in voor onze blog nieuwsbrief en krijg elke maand alle blogs van de afgelopen maand in je inbox! ![Logo Metrics Insight](https://www.metricsinsight.nl/hubfs/Transparent%20Logo-1.png) Metrics Insight Remote info@metricsinsight.nl © 2026 Metrics Insight All rights reserved Privacy Policy [Powered by Atlas - a B2B SaaS HubSpot theme](https://www.kalungi.com/atlas-hubspot-theme-for-b2b-saas-software) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Petra", "url" : "https://www.metricsinsight.nl/blog/author/petra" }, "dateModified" : "2026-11-05T09:12:32.162Z", "datePublished" : "2026-08-26T12:25:50.000Z", "headline" : "SPF, DKIM en DMARC: hoe weet een mailserver of een e-mail echt van jou komt?", "image" : [ "https://www.metricsinsight.nl/hubfs/Metrics%20Insight%20blog%20header%3B%20SPF%2c%20DKIM%20en%20DMARC.png" ], "mainEntityOfPage" : { "@id" : "https://www.metricsinsight.nl/blog/spf-dkim-en-dmarc-hoe-weet-een-mailserver-of-een-e-mail-echt-van-jou-komt", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.metricsinsight.nl/hubfs/Transparent%20Logo-1.png" }, "name" : "The Performance Studio" } } ```