Defaults.Exposed › Rapporten
De Email-Spoofbaarheidsindex: Hoeveel Domeinen Kan Iedereen Vervalsen? (2026)
Gepubliceerd 2026-07-03
Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde census over 261 miljoen beoordeelde domeinen — het internet zoals wij het meten — per domein samengevoegd. Alle cijfers zijn geaggregeerd; nooit de score van een individueel bedrijf. Zie hoe we beoordelen.
Hoeveel domeinen kunnen worden vervalst?
9 op de 10. 89,4% van het internet — 233.445.245 domeinen — publiceert geen beleid dat ontvangers opdraagt mail die de authenticatie niet doorstaat te weigeren of als spam te markeren. Dat is wat wij als spoofbaar tellen, en het is de census door de ogen van de aanvaller: niet “wie is begonnen met het beveiligen van email”, maar “wie kan er nog worden geïmpersonaliseerd”. De meeste domeinen zijn begonnen — ze publiceren SPF. Veel minder domeinen hebben het afgemaakt, en het gat tussen die twee werkwoorden is de index.
Wat betekent “spoofbaar” hier?
Een precieze definitie, want dit getal wordt vaak geciteerd: een domein is spoofbaar wanneer het geen DMARC-beleid publiceert met p=quarantine of p=reject — de enige gestandaardiseerde instructie die elke grote ontvanger een mislukt bericht laat weigeren of als spam laat markeren. Sommige ontvangers reageren op zichzelf al op een strikte SPF -all, maar dat gedrag is discretionair en inconsistent over de postvakken van de wereld heen; DMARC-handhaving is de instructie die ze allemaal respecteren. Een spoofbaar domein is dus niet noodzakelijkerwijs overal onbeschermd — het is onbeschermd door beleid, afhankelijk van de goodwill van elke ontvanger.
Dat is ook de reden waarom alleen SPF publiceren een domein niet van deze index afhaalt: SPF identificeert uw legitieme mail, maar zonder handhaving instrueert niets ontvangers om op te treden tegen de vervalsingen.
Welke domeinuitgangen zijn het meest spoofbaar?
Het aandeel beoordeelde domeinen zonder handhavende DMARC, per uitgang:
| TLD | Spoofbaar aandeel |
|---|---|
| .xyz | 94,9% |
| .de | 78,6% |
| .com | 90,5% |
| .org | 90,0% |
| .uk | 86,6% |
| .nl | 70,6% |
Geen enkele buurt op het internet is veilig — de spreiding tussen uitgangen is een kwestie van gradaties van blootstelling, niet van verschillende categorieën ervan. De extremen op landniveau vormen een eigen verhaal: zie de meest spoofbare landen voor de ranglijst per land die deze index samenvat.
De mailserver-doorsnede: actieve postvakken, geen bescherming
De scherpste doorsnede van de index: 42,7% van alle beoordeelde domeinen draait een actieve mailserver terwijl het helemaal geen authenticatie publiceert — 111.369.509 domeinen die zowel echte mail ontvangen als vervalsers een onbewaakte naam bieden. Dit zijn geen geparkeerde lege hulzen; het zijn operationele maildomeinen waarvan de eigenaren nooit de sloten hebben aangebracht.
Waarom dit het getal is dat ertoe doet
Adoptiestatistieken vleien het internet; spoofbaarheid meet wat een aanvaller nog steeds kan doen. De oplossing is bij elke stap gratis — SPF, DKIM, en dan een DMARC-beleid met p=reject — en elk domein dat het afmaakt gaat van de 9-op-de-10 naar de beschermde weinigen. De twee artikelen zijn dezelfde dataset gelezen vanaf tegenovergestelde uiteinden: dit artikel telt de open deuren; dat artikel telt de vergrendelde.
Veelgestelde vragen
Wat maakt een domein spoofbaar?
Het ontbreken van een handhavend DMARC-beleid (p=quarantine of p=reject). Zonder dat vertelt geen gestandaardiseerde instructie ontvangers om mail te weigeren of als spam te markeren die de SPF/DKIM-controles niet doorstaat. 89,4% van de domeinen — 9 op de 10 — verkeert in deze staat per 2026-06-29.
Ik publiceer SPF — kan mijn domein nog steeds worden vervalst? Als niets het handhaaft, ja. SPF bewijst welke mail legitiem is; het instrueert ontvangers niet om de rest te weigeren. Het mechanisme en de oplossing worden behandeld in SPF zonder DMARC.
Maakt DMARC p=quarantine mijn domein veilig?
Het haalt u van deze index af: mislukte mail wordt als spam gemarkeerd in plaats van in het postvak afgeleverd. p=reject gaat verder en weigert het ronduit — de sterkste instelling, en de aanbevolen bestemming.
Hoe maak ik mijn domein onvervalsbaar?
Breng alle drie de sloten aan — SPF, DKIM, en DMARC met p=reject — elk een gratis DNS-wijziging. Herstel uw DMARC-beleid is de handhavingsstap die u van de index afhaalt.
Controleer of het uwe een van de 9 is
Uw domein staat óf op deze index óf eraf, en het antwoord is gratis te verkrijgen en gratis te veranderen.
Controleer uw domein → · Herstel DMARC → · Herstel SPF → · De meest spoofbare landen → · De beschermde weinigen → · Alleen geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.