Defaults.Exposed › Rapporten
SPF +all: de domeinen die het hele internet als hen laten verzenden (2026)
Gepubliceerd 2026-07-03
Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde census over 261 miljoen beoordeelde domeinen. Alle cijfers zijn geaggregeerd — nooit het record van een individueel bedrijf. Zie hoe we beoordelen.
36.014 domeinen sluiten hun SPF-record af met +all — een gepubliceerde, machineleesbare verklaring dat elke server op het internet gemachtigd is om e-mail als hen te verzenden. Het is de zeldzaamste SPF-misconfiguratie (0,03% van de publishers) en de meest zelfvernietigende: een ontbrekend record laat ontvangers over aan hun eigen heuristiek, maar +all vertelt hen stellig dat de vervalser legitiem is.
Wat betekent +all in een SPF-record?
Het laatste all-mechanisme draagt een kwalificatie — het oordeel over afzenders die niet op je lijst staan. -all wijst ze af, ~all twijfelt aan ze — en +all keurt ze goed. Een ontvanger die een vervalst bericht controleert tegen een +all-record geeft een schone SPF-pass terug. Dat is de schade in één zin: je bescherming staat garant voor de vervalser. En omdat een SPF-pass aan de SPF-poot van DMARC kan voldoen, kan de pass een spoof helpen door precies het systeem dat gebouwd is om hem tegen te houden.
De kaart: waar de welkomstmatten samenklonteren
+all komt overal voor, maar dun gezaaid — de frequentie varieert echter scherp per achtervoegsel. Aantallen uit de census; frequentie = +all-records per 10.000 SPF-publishers van die TLD:
| TLD | +all domeinen | Frequentie per 10.000 |
|---|---|---|
| .be | 1.399 | 22,5 |
| .nl | 1.965 | 8,8 |
| .eu | 672 | 6,6 |
| .fr | 1.147 | 6,2 |
| .net | 1.640 | 3,6 |
| .org | 1.392 | 2,8 |
| .com | 16.636 | 2,4 |
| .de | 732 | 1,3 |
De Benelux-Franse cluster springt eruit: een .be-SPF-publisher heeft ongeveer 9 keer meer kans om +all te dragen dan een .com-publisher (22,5 tegenover 2,4 per 10.000). Een patroon dat zo geconcentreerd is, betekent zelden duizenden onafhankelijke vergissingen — de meest plausibele verklaring is een gedeelde bron: een regionaal hostingpaneel, een registrar-template of een how-to-artikel dat +all meeleverde en jarenlang gekopieerd werd. Dezelfde vingerafdruk duikt één trede lager op de ernstladder op: 22,6% van de SPF-records van .za eindigt op het neutrale ?all, een nationale uitschieter die dezelfde kant op wijst.
Hoe belandt iemand eigenlijk bij +all?
Drie routes, allemaal onschuldig:
- De debugsessie die nooit eindigde.
+alllaat elk SPF-probleem verdwijnen — mail stroomt, fouten stoppen. Iemand zette het om een lancering te deblokkeren en het record overleefde het incident. - Verkeerd gelezen syntaxis.
+lijkt “sta mijn lijst toe” te betekenen als je de kwalificatietabel nog nooit hebt gezien. De bedoeling was-all; het teken keerde het om. - De geërfde template. Zoals de kaart suggereert, komen sommige records vooraf kapot binnen vanuit een paneel of gids.
De fix van één teken
Verander +all in -all — of ~all met een handhavende DMARC erachter. Eén teken in één TXT-record, gratis, en het treedt in werking zodra DNS bijwerkt — meestal binnen het uur. Er bestaat geen snellere beveiligingsverbetering voor een domein.
Veelgestelde vragen
Wat betekent +all in een SPF-record? Het machtigt elke server op het internet om e-mail als jouw domein te verzenden — het tegenovergestelde van het doel van SPF. 36.014 domeinen publiceren het per 2026-06-29.
Is +all erger dan helemaal geen SPF-record hebben?
Op de ene manier die telt, ja: geen record laat ontvangers gissen, terwijl +all een vervalsing kan omzetten in een schone SPF-pass — een pass die hem zelfs door DMARC kan helpen. Sommige filters behandelen +all zelf ook als een spamsignaal, dus het kan ook je legitieme mail schaden.
Hoe controleer ik mijn domein op +all?
Lees je TXT-records (dig TXT jouwdomein.com) of voer de gratis controle uit — een permissieve kwalificatie wordt onmiddellijk gemarkeerd.
Waarom zou een template ooit standaard +all instellen? Meest plausibel omdat het geen supporttickets genereert — elke bezorging “werkt”, inclusief de frauduleuze. De regionale clustering in onze gegevens strookt met template-standaardwaarden in plaats van duizenden individuele keuzes, al ziet de census de records, niet hun auteurs.
Controleer je afsluiting
De meeste eigenaars met een welkomstmat buiten hebben geen idee dat hij er ligt. Je eigen deurmat lezen kost een halve minuut, en hem herschrijven kost één teken.
Controleer je domein → · Fix SPF → · ~all vs -all → · De misconfiguratie-hall-of-fame → · Alleen geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.