Wat is SPF — en hoe herstel ik mijn SPF-record? (2026)

Q: Hoe ziet een SPF-record eruit?

Een enkel DNS TXT-record zoals v=spf1 include:_spf.google.com -all. De include:-vermeldingen zijn uw goedgekeurde afzenders; de -all aan het eind weigert alle anderen.

Q: Is ~all of -all beter?

-all (hardfail) is sterker — het vertelt ontvangers om niet-vermelde afzenders te weigeren. ~all (softfail) levert de e-mail meestal toch af. Per 2026-06-29 gebruikt 39,3% van de SPF-records -all en 55,8% gebruikt ~all.

Gepubliceerd 2026-07-01

Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde censusgegevens over 261 miljoen beoordeelde domeinen. SPF (Sender Policy Framework) is een DNS-record dat aangeeft welke servers e-mail mogen versturen namens uw domein. Zie hoe wij beoordelen.

SPF is één regel in uw DNS die zegt “deze servers mogen e-mail versturen namens mij — behandel al het overige als verdacht.” Van de 261 miljoen domeinen publiceert 53,21% een SPF-record. Dat klinkt gezond, maar een record op zichzelf beschermt u niet: de terminale kwalificatie bepaalt of niet-vermelde afzenders worden geweigerd of doorgelaten, en een groot deel van de records is zo soepel ingesteld dat ze niets veranderen. Dit is wat SPF werkelijk doet, de fouten die wij het vaakst zien, en hoe u die van u herstelt.

Wat is een SPF-record?

Wanneer een mailserver een bericht ontvangt dat beweert van uw domein afkomstig te zijn, zoekt hij uw SPF-record op en controleert of de verzendende server op uw goedgekeurde lijst staat. Het record eindigt met een instructie voor alles wat niet op de lijst staat:

-all (hardfail) — weiger niet-vermelde afzenders. Dit is de instelling die menens is.
~all (softfail) — accepteren maar als verdacht markeren. De meeste e-mail wordt nog steeds afgeleverd.
?all (neutraal) — niets doen; gelijk aan geen mening hebben.
+all — accepteer alles van iedereen. Dit is ronduit gevaarlijk en zou nooit gepubliceerd mogen worden.

Van de 139 miljoen domeinen die SPF publiceren, gebruikt slechts 39,3% een strikte -all, terwijl 55,8% de soepelere ~all gebruikt. En 36.014 domeinen publiceren +all — een open uitnodiging die de wereld vertelt dat iedereen namens hen mag versturen.

De fouten die SPF stilletjes onbruikbaar maken

Te veel DNS-lookups. SPF is beperkt tot 10 lookups (RFC 7208); overschrijdt u dat, dan mislukt het hele record met een “permerror” en wordt het genegeerd. 7.958 domeinen (0,01% van die met SPF) overschrijden deze limiet — meestal door te veel include:-statements aan elkaar te koppelen voor externe afzenders.
+all publiceren. Zeldzaam maar catastrofaal — het schakelt SPF volledig uit en ondersteunt vervalsers.
Aannemen dat SPF imitatie tegenhoudt. Dat doet het niet, op zichzelf. SPF controleert het technische verzendpad, niet het “Van”-adres dat een persoon ziet. 32,4% van alle domeinen publiceert SPF maar heeft geen DMARC — dus de zichtbare afzender kan nog steeds worden vervalst. SPF is het leidingwerk; DMARC-handhaving is het slot. Zie SPF zonder DMARC.

Hoe herstel ik mijn SPF-record?

Publiceer één SPF-record — een enkel TXT-record dat begint met v=spf1. Publiceer er nooit twee; dat is een automatische fout.
Vermeld iedere legitieme afzender — uw mailboxprovider, marketingplatform, CRM, helpdesk — met behulp van hun gedocumenteerde include:-waarden.
Eindig met -all zodra u er zeker van bent dat de lijst compleet is. Begin met ~all als u een veiligheidsmarge nodig heeft, en scherp het daarna aan. Zie SPF herstellen.
Blijf onder de 10 lookups — vereenvoudig of consolideer includes als u dicht bij de limiet zit.
Voeg daarna DMARC toe — SPF en DKIM voeden DMARC, de controle die daadwerkelijk voorkomt dat iemand e-mail verstuurt namens uw domein.

Veelgestelde vragen

Hoe ziet een SPF-record eruit? Een enkel DNS TXT-record zoals v=spf1 include:_spf.google.com -all. De include:-vermeldingen zijn uw goedgekeurde afzenders; de -all aan het eind weigert alle anderen.

Is ~all of -all beter? -all (hardfail) is sterker — het vertelt ontvangers om niet-vermelde afzenders te weigeren. ~all (softfail) levert de e-mail meestal toch af. Per 2026-06-29 gebruikt 39,3% van de SPF-records -all en 55,8% gebruikt ~all.

Houdt SPF tegen dat mensen mijn domein vervalsen? Niet op zichzelf. SPF beheerst niet het zichtbare “Van”-adres. U heeft DMARC nodig, ingesteld op handhaving. 32,4% van de domeinen heeft SPF maar geen DMARC en blijft vervalsbaar.

Waarom “mislukt” mijn SPF-record terwijl het er correct uitziet? Meestal overschrijdt het de limiet van 10 lookups en geeft het een permerror terug. 0,01% van de domeinen met SPF loopt hiertegenaan. Verminder het aantal include:-lookups.

Is het herstellen van SPF duur? Nee — het is een gratis DNS-wijziging. De inspanning zit in het compleet en correct krijgen van de afzenderslijst, niet in geld.

Controleer de SPF van uw domein gratis

Bekijk uw SPF-record, de terminale kwalificatie ervan, en of het compleet is — privé, en alleen voor de eigenaar.

Controleer uw domein → · SPF herstellen → · DMARC herstellen → · Hoe wij beoordelen → · Uitsluitend geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.