Kan een domein twee SPF-records hebben? Nee — een miljoen domeinen hebben zojuist hun eigen SPF ongeldig gemaakt (2026)

Q: Zijn meerdere SPF-records toegestaan?

Nee. RFC 7208 staat precies één v=spf1-record per domein toe; twee of meer veroorzaken een permanente fout die SPF volledig ongeldig maakt. 1.013.416 domeinen verkeren in deze staat per 2026-06-29.

Q: Hoe combineer ik twee SPF-records tot één?

Eén record, beginnend met v=spf1, dat elk include:- en IP-mechanisme van allemaal bevat en eindigt op één enkele -all of ~all. Verwijder de extra's en controleer daarna of je aantal lookups de samenvoeging heeft overleefd.

Gepubliceerd 2026-07-03

Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde census over 261 miljoen beoordeelde domeinen. Alle cijfers zijn geaggregeerd — nooit het record van een individueel bedrijf. Zie hoe we beoordelen.

Nee — een domein mag precies één SPF-record publiceren, en dit fout doen schakelt SPF volledig uit: 1.013.416 domeinen publiceren op dit moment er twee of meer, wat onder RFC 7208 alle SPF-records van een domein ongeldig maakt. Niet het nieuwste, niet het oudste — elk record. Een ontvanger die meerdere v=spf1-records aantreft, moet een permanente fout teruggeven, wat betekent: helemaal geen SPF-bescherming, op een domein dat er voor de eigenaar uitziet alsof het dubbele bescherming heeft.

Waarom staan twee SPF-records gelijk aan nul?

De standaard is bot: het SPF-beleid van een domein moet een enkel TXT-record zijn dat begint met v=spf1 (RFC 7208 §3.2; het foutresultaat is voorgeschreven in §4.5). Als een lookup er meer dan één vindt, kan de ontvanger niet weten welke gezaghebbend is — dus verbiedt de standaard om te gokken. Standaardconforme ontvangers moeten PermError teruggeven: de evaluatie mislukt permanent.

En een PermError is niet neutraal. DMARC behandelt dit als een mislukking op het SPF-been — dus een domein dat zijn record heeft gedupliceerd, heeft zijn bescherming ongeldig gemaakt én de authenticatie van zijn eigen legitieme e-mail belemmerd. Het is een van de zeer weinige DNS-fouten waarbij het toevoegen van bescherming die bescherming juist wegneemt (het publiceren van twee DMARC-records doet hetzelfde met DMARC).

Ongeveer 1 op de 138 domeinen die SPF proberen te gebruiken heeft zichzelf dit aangedaan.

Hoe gebeurt het? Het kopieer-plakken bij het onboarden

Bijna niemand schrijft opzettelijk een tweede SPF-record. Het gebeurt op de dag dat je een e-mailtool toevoegt:

Je domein heeft al v=spf1 include:spf.protection.outlook.com -all van je mailboxprovider.
Je meldt je aan voor een nieuwsbriefplatform, CRM of facturatietool.
De installatiehandleiding zegt: “Voeg dit TXT-record toe aan je DNS: v=spf1 include:newtool.example.com ~all.”
Je doet precies wat er staat — je voegt het toe, naast het oude.

Er bestaan nu twee records, en beide zijn ongeldig. De handleiding zei “voeg toe”, en toevoegen is juist het enige wat de standaard niet toestaat; de juiste zet — de nieuwe include: samenvoegen met het bestaande record — wordt door bijna geen enkele onboardingflow vermeld.

De fout is onzichtbaar vanuit het DNS-paneel: beide records zien er afzonderlijk goed opgebouwd uit, en de meeste e-mail komt nog steeds aan omdat ontvangers terugvallen op andere signalen. Niets waarschuwt je totdat er een spoof binnenkomt of de bezorgbaarheid afneemt.

Hoe je het controleert en herstelt — twee minuten, gratis

Zoek de TXT-records van je domein op (dig TXT yourdomain.com, of gebruik onze gratis check).
Tel de records die beginnen met v=spf1. Het enige veilige aantal is 1.
Heb je er meer: voeg ze samen — elk include:- en ip4:/ip6:-mechanisme in één enkel record met één afsluitende kwalificator (zie ~all versus -all) — en verwijder de rest.

Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Houd tijdens het samenvoegen de limiet van 10 lookups in de gaten — te veel include:-mechanismen breken SPF op een andere manier.

Veelgestelde vragen

Zijn meerdere SPF-records toegestaan? Nee. RFC 7208 staat precies één v=spf1-record per domein toe; twee of meer veroorzaken een permanente fout die SPF volledig ongeldig maakt. 1.013.416 domeinen verkeren in deze staat per 2026-06-29.

Overschrijft het tweede SPF-record het eerste? Geen van beide wint. Een ontvanger die meerdere records aantreft, moet de evaluatie laten mislukken in plaats van te kiezen — dus stoppen ze allemaal tegelijk met werken.

Hoe combineer ik twee SPF-records tot één? Eén record, beginnend met v=spf1, dat elk include:- en IP-mechanisme van allemaal bevat en eindigt op één enkele -all of ~all. Verwijder de extra’s en controleer daarna of je aantal lookups de samenvoeging heeft overleefd.

Waarom werkt mijn e-mail nog steeds met twee SPF-records? Ontvangers die op de fout stuiten, gaan meestal verder zonder SPF, dus je e-mail leunt op reputatie en DKIM. Wat je bent kwijtgeraakt is bescherming — niets weigert een vervalser — en je DMARC-evaluaties verliezen hun SPF-been. Werkende e-mail en werkende SPF zijn verschillende dingen.

Controleer of jouw domein een van het miljoen is

Een blik van 30 seconden geeft je ofwel vrijspraak, ofwel een samenvoeging van twee minuten.

Controleer je domein → · SPF herstellen → · Het SPF PermError-rapport → · Het SPF-volwassenheidsmodel → · Uitsluitend geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.