Wat de drie records doen
SPF (Sender Policy Framework) somt op welke mailservers namens uw domein mogen versturen. DKIM zet een handtekening op het bericht, zodat de ontvanger ziet dat de inhoud onderweg niet is veranderd. DMARC zegt wat er moet gebeuren als SPF of DKIM faalt: niets (none), in spam (quarantine), of weigeren (reject) — en optioneel een rapportadres.
Zonder die drie kan een willekeurige server een From-adres op uw domein zetten. Ontvangers (Gmail, Outlook, klanten) kijken steeds vaker naar deze records voordat ze u vertrouwen. Dat is geen NIS2-plicht voor elk MKB; het is wel wat inkopers en mailfilters inmiddels verwachten.
Wat u praktisch uitzet
Typische stappen als u al in Google Workspace of Microsoft 365 zit:
- controleer of SPF het pad van uw primaire cloud noemt — en niet een vergeten oude hoster ernaast zonder afspraak;
- zet DKIM aan in de tenant en publiceer de sleutel in DNS;
- begin DMARC op p=none met een rapportadres dat u (of uw MSP) leest, daarna quarantine of reject als de rapporten schoon zijn;
- zet extra verzenders (nieuwsbrief, boekhoudpakket, ticketportaal) in SPF/DKIM, of mailen ze via een ander domein.
Wat een MSP hierin oppakt
U of uw registrar houdt de DNS-login. Floor ICT kan bij MSP-klanten met cloudbeheer (vanaf Advanced) controleren of de tenant DKIM aan heeft, of de records kloppen bij wat Google of Microsoft voorschrijft, en een ticket maken als een extra tool namens u mailt. Academy legt niet de DNS-syntax uit; wel waarom een “IT-helpdesk”-mail die niet van uw domein komt verdacht is.
Meer diepte
p=none is geen eindstation
Starten met p=none is verstandig: u ziet of legitieme mail faalt voordat u weigert. Blijven hangen op none is een half record. Plan een moment (bijvoorbeeld na twee weken rapporten) om quarantine of reject te zetten. Dit artikel schrijft geen termijn als wettelijke plicht.
Meerdere tools die mailen
Een boekhoudpakket, een websiteformulier of een marketingtool die “vanuit uw domein” stuurt, moet in SPF/DKIM of via de tenant. Anders faalt DMARC zodra u strenger wordt — of blijft spoofing mogelijk. Zet die tools op een lijst; gok niet.
Wat dit niet is
SPF/DKIM/DMARC vervangt geen MFA, geen backup en geen awareness. Het maakt namens-uw-domein-mailen moeilijker, niet onmogelijk. Dit is geen juridisch advies en geen belofte dat phishing stopt.