Defaults.Exposed › Rapporten

Welke e-mailprovider geeft zijn klanten de sterkste SPF-standaarden? (2026)

Gepubliceerd 2026-07-03

Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde census over 261 miljoen beoordeelde domeinen. We tellen de exacte include:/redirect=-doelen in gepubliceerde SPF-records — publieke DNS, geaggregeerd per provider; nooit het record van een individueel bedrijf. Zie hoe we beoordelen.

Elk SPF-record benoemt de diensten die namens een domein mogen verzenden — dus 139 miljoen SPF-records vormen ook een census van provider-standaarden, en die standaarden lopen enorm uiteen: 85,0% van de domeinen die Microsoft 365 includen sluit hun SPF af met de strikte -all, tegenover 8,0% van de domeinen die Google Workspace includen. De tweede bevinding weegt zwaarder: op de maatstaf die spoofing daadwerkelijk stopt — een afdwingend DMARC-beleid achter het record — komt bij geen enkele grote mailboxprovider het klantenbestand voorbij de 30% afgerond.

De ranglijst: strikte afsluitingen en voltooide bescherming, per provider

Domeinen waarvan de SPF elke provider include; het aandeel dat strikt afsluit (-all); en het aandeel met afdwingend DMARC — de combinatie die vervalsingen stopt:

Hoe je deze tabel leest — eerlijk

Vier dingen die deze gegevens wel en niet zijn:

• Rijen zijn include-populaties, geen klanten. Een domein dat zowel Google als Mailgun include, verschijnt in beide rijen.
• De strikte kolom fotografeert de setup-sjabloon van elke provider plus zijn klantenmix. De onboarding van Microsoft levert -all; de documentatie van Google beveelt ~all aan; hostingpanelen provisioneren automatisch records op domeinen die mogelijk helemaal geen mail versturen — wat een strikt aandeel kan opblazen zonder dat een mens ook maar iets beslist.
• Een laag strikt aandeel is niet automatisch fout. De rij van Namecheap is een e-mail-doorstuurproduct — en doorsturen is precies het geval waarin -all misgaat, dus een soft-sjabloon daar is aantoonbaar de juiste configuratie. De blootstelling in die rij zit in de andere kolom: 0,2% afgedwongen.
• De handhavingskolom is de echte ranglijst. Strikt-vs-soft is een stijlkeuze zodra DMARC afdwingt; zonder handhaving stopt geen van beide afsluitingen een vervalsing bij de meeste ontvangers.

Drie verhalen in de kolommen

• Standaarden zijn het lot. Klanten houden overweldigend vaak vast aan wat de wizard hun gaf — 92% van de domeinen die Google includen houdt een niet-strikte afsluiting aan, overweldigend vaak de ~all die Google’s gids aanbeveelt; 98,2% van de Stackmail-domeinen houdt de -all aan die het paneel schrijft. Bijna niemand herbeslist een qualifier later. Dit is de grondwaarneming van deze hele census, 139 miljoen keer opgeschreven.
• De finishlijn wordt gepasseerd door gebruikers, niet door sjablonen. De handhavingsleiders zijn de ontwikkelaarsgerichte verzenders — Amazon SES (41,9%) en Mailgun (35,9%) — wier klanten neigen naar teams die de klus afmaken. De bestanden van de grote mailboxproviders zitten tussen 18,5% en 29,3% afgedwongen, ongeacht hoe strikt hun SPF-sjabloon was.
• De blootgestelde massa is de hosting-en-doorstuurlaag. Namecheap-doorsturen, Hostinger, IONOS en HostGator dekken samen meer dan 19 miljoen domeinen op 2% afgedwongen of minder — namen van kleine bedrijven die draaien op wat het paneel installeerde, zacht omheind en niet-afgedwongen.

Wat te doen met je eigen domein

1. Kijk welke providers je SPF daadwerkelijk include — dig TXT jouwdomein.com, of gratis controleren.
2. Kopieer niet klakkeloos een strikte afsluiting: breng je verzenders in kaart, en verscherp vervolgens naar -all of houd ~all aan en zet DMARC p=reject erachter.
3. Wat je provider je ook aanreikte is een sjabloon dat je hebt geërfd — en met een gratis DNS-aanpassing te wijzigen.

Veelgestelde vragen

Welke e-mailprovider heeft de veiligste SPF-standaard? Op strikt sjabloon: Stackmail / 20i (98,2% van de domeinen sluit af met -all), GoDaddy (86,0%) en Microsoft 365 (85,0%). Op voltooide bescherming — afdwingend DMARC achter SPF — leiden de klanten van Amazon SES met 41,9%. De twee maatstaven belonen respectievelijk een strikt sjabloon en een klantenbestand dat de klus afmaakt.

Betekent het gebruik van Google Workspace dat mijn SPF zwak is? Niet inherent. De door Google aanbevolen ~all is een gezonde praktijk wanneer gecombineerd met een afdwingend DMARC-beleid — maar slechts 18,5% van de domeinen die Google includen heeft die combinatie per 2026-06-29. De zwakte is niet de softfail; het is dat men daar stopt.

Beoordelen deze cijfers de eigen beveiliging van de providers? Nee. Ze meten de gepubliceerde SPF-houding van klantdomeinen die elke provider includen — geaggregeerde publieke DNS, gevormd door setup-sjablonen, documentatie en klantenmix. Geen enkel individueel domein wordt publiekelijk geïdentificeerd of beoordeeld.

Waarom bepaalt het sjabloon van mijn provider mijn beveiliging? Omdat het één keer wordt gekopieerd, op dag één, en onze census laat zien dat het vrijwel nooit wordt herbeslist. Standaarden blijven bestaan — precies daarom is het 30 seconden waard om die van jou te controleren.

Controleer wat je domein heeft geërfd

Wat de setup-wizard ook schreef, het staat nog steeds in je DNS. Het lezen — en afmaken — is gratis.

Controleer je domein → · Herstel SPF → · ~all vs -all → · SPF zonder DMARC → · Marktaandeel e-mailhosting → · Alleen geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.