Uw verzekeringsverlenging vraagt naar SPF, DKIM en DMARC — dit antwoordt u (2026)

Gepubliceerd 2026-07-08

Cijfers per 2026-06-29 · methodologie v7. Geaggregeerde censusgegevens over 261 miljoen beoordeelde domeinen — wij publiceren nooit de resultaten van een individueel domein. Zie hoe wij beoordelen.

Het formulier vraagt of iemand heeft gecontroleerd dat de e-mail van uw domein niet vervalst kan worden. Met een gratis scan hebt u in twee minuten een waarheidsgetrouw, gedateerd antwoord — en u bent bepaald niet de enige: slechts 7,4% van de 261.086.232 domeinen die in de Defaults.Exposed-census zijn beoordeeld (per 2026-06-29), heeft de volledig aligned, gehandhaafde inrichting waar verzekeraars werkelijk naar peilen.

Hieronder: wat de vraag betekent, hoe u in twee minuten uw antwoord krijgt, wat een eerlijk “ja” vereist bij elke variant van de vraag, hoe u het rapport gebruikt bij uw tussenpersoon — en hoe eventuele gaten vóór de deadline worden gedicht.

Waarom vraagt mijn verzekeringsverlenging naar SPF, DKIM en DMARC?

U kent het moment. Ergens in het verlengingspakket staat een regel als “Is uw domein de afgelopen 12 maanden gescand op DMARC-, SPF- en DKIM-hygiëne?” U weet het niet. Niemand in het bedrijf weet het. Dus blijft de e-mail gemarkeerd in uw inbox staan, stilletjes vermeden, terwijl de deadline dichterbij komt.

Wat de verzekeraar werkelijk wil weten: kan een crimineel e-mail versturen die er exact uitziet alsof hij van uw bedrijf komt? De duurste cyberschades bij kleine bedrijven zijn factuurfraude — een fraudeur mailt uw klant, als u, met “gewijzigde” bankgegevens, en een betaling van vijf cijfers in euro’s verdwijnt. Dat imitatierisico is van buitenaf meetbaar, dus prijzen verzekeraars het in.

De afkortingen, één keer en in gewone taal: SPF (Sender Policy Framework — een openbare lijst van de servers die e-mail voor uw domein mogen versturen), DKIM (DomainKeys Identified Mail — een handtekening op elk bericht waaraan geknoei zichtbaar wordt) en DMARC (Domain-based Message Authentication, Reporting and Conformance — de gepubliceerde regel die de inboxen van de wereld vertelt wat ze moeten doen met mail die op de andere twee faalt).

En waarom de vraag überhaupt op het formulier staat: van de 261.086.232 domeinen die in de Defaults.Exposed-census zijn beoordeeld (per 2026-06-29), heeft 89,41% geen gehandhaafd DMARC-beleid — wat betekent dat ze geïmiteerd kunnen worden. Verzekeraars vragen het omdat de meeste aanvragers, statistisch gezien, open staan. Komt dit u eerder bekend voor van een netwerkborrel dan van een formulier, begin dan met dat factuurfraudeverhaal dat u hoorde — kan het uw bedrijf overkomen?

E-mail is natuurlijk maar één onderdeel van de vragenlijst. Voor de volledige lijst van controles die verzekeraars en zakelijke inkopers op een domein nalopen — met voor elk het internetbrede slagingspercentage — zie wat cyberverzekerings- en leveranciersvragenlijsten op uw domein controleren. Deze pagina blijft bij het formulier in uw inbox: wat u antwoordt, naar waarheid, vóór de deadline.

Hoe kom ik in twee minuten achter mijn antwoord?

U hoeft geen enkel DNS-record te begrijpen. U hebt een gedateerd, beoordeeld rapport nodig.

Voer de gratis scan uit op defaults.exposed. Typ uw domein — het stuk na de @ in uw e-mailadres. De scan leest de openbare instellingen van uw domein van buitenaf, zoals de scanpartner van een verzekeraar dat zou doen.
Lees de beoordeling. Het rapport zegt, in gewone taal, of SPF, DKIM en DMARC voor uw domein bestaan, of ze op elkaar aansluiten en of het beleid iets afdwingt.
Bewaar het rapport. Het is gedateerd. Per vandaag is uw domein gescand — wat de beoordeling ook is, dat deel van de vraag kunt u naar waarheid beantwoorden.

De scan is gratis, duurt zo’n twee minuten, en de gegevens worden opgeslagen en verwerkt in de EU — relevant als uw compliance-antwoorden moeten vermelden waar beoordelingen plaatsvinden.

Hoe ziet een eerlijk “ja” eruit bij elke variant van de vraag?

Het eerlijke antwoord verschilt per formulering:

Het formulier vraagt…	Een waarheidsgetrouw “ja” vereist	Waar de scan u brengt
”Is uw domein de afgelopen 12 maanden gescand op DMARC-, SPF- en DKIM-hygiëne?”	Een gedateerde scan — er vandaag een uitvoeren telt; het rapport is uw bewijs	Ja, meteen
”Hebt u SPF, DKIM en DMARC ingericht?”	Alle drie gepubliceerd voor uw domein	Ja als de beoordeling alle drie toont
”Handhaaft u DMARC?”	Een beleid dat inboxen opdraagt in te grijpen — het sterkere ja	Alleen als het rapport gehandhaafd zegt; 7,4% van de beoordeelde domeinen is daar
”Welke maatregelen hebt u tegen e-mailimitatie?”	Gehandhaafde DMARC, of een eerlijke beschrijving van de stand van zaken plus een herstelplan	Beide zijn legitiem als ze kloppen

Twee dingen om vast te houden. Ten eerste: een slechte beoordeling met een herstelplan is een legitiem, verzekerbaar antwoord. “We hebben gescand, het rapport bracht gaten aan het licht, en die worden gedicht” leest als een bedrijf dat controleert — precies waar de vraag op screent. Ten tweede: kleed het antwoord nooit mooier aan. Een onjuiste verklaring op een aanvraagformulier kan de polis ongeldig maken, waardoor de claim wordt afgewezen op het moment dat u haar het hardst nodig hebt.

Wat moet ik met de verlenging meesturen?

Voeg het scanrapport bij, of plak de datum en de beoordeling ervan in het antwoordveld. Stel uw tussenpersoon daarna één vraag: “Heeft een beoordeelde, gehandhaafde e-mailauthenticatie-inrichting invloed op de premie of de voorwaarden?” Sommige verzekeraars wegen aangetoonde beveiliging mee in de prijs; of de uwe dat doet, is terrein van de tussenpersoon, en vragen kost niets.

Bewaar het rapport — hetzelfde bewijs beantwoordt de beveiligingsvragenlijst van een klant over e-mailauthenticatie, dezelfde vraag die van een klant komt in plaats van een verzekeraar.

Is dit ook een kwestie van EU-regelgeving?

Deels, ja — het is waarom de vraag steeds op Europese verlengingsformulieren opduikt. NIS2, de beveiligingsrichtlijn van de EU, verwacht van organisaties die eronder vallen dat ze de beveiliging van de toeleveringsketen beheersen (artikel 21(2)(d)) en beveiligde communicatie (artikel 21(2)(j)), en Uitvoeringsverordening (EU) 2024/2690 noemt e-mailbeveiliging bij de concrete maatregelen. Europese verzekeraars spiegelen die verwachtingen steeds vaker in hun vragenlijsten. Vereist NIS2 DMARC? behandelt of dit rechtstreeks op uw bedrijf van toepassing is — maar de richting van de ontwikkeling is onomkeerbaar.

Kunnen de gaten vóór mijn verlengingsdeadline worden gedicht?

Vrijwel zeker. Dit zijn instellingen, geen aanschaffen — een competent IT-contact kan doorgaans alle drie de records in een middag publiceren of corrigeren, aan de hand van het rapport van uw domein en de stappen op repareer DMARC. Het ene onderdeel dat langer duurt, is DMARC naar volledige handhaving brengen zonder legitieme e-mail te verstoren — een gefaseerd project van enkele weken, behandeld in van p=none naar p=reject zonder legitieme e-mail te verliezen. Voor de verlenging van dit jaar is een gedateerde scan plus lopende reparaties deze week al haalbaar.

Veelgestelde vragen

Wat als mijn beoordeling slecht is — moet ik dan toch antwoorden? Ja, eerlijk. U zou bij de meerderheid horen: 89,41% van de 261.086.232 domeinen die in de census zijn beoordeeld (per 2026-06-29), heeft geen gehandhaafd DMARC-beleid. “Gescand, gaten gevonden, herstel loopt” is een verzekerbaar antwoord; een opgepoetste onwaarheid is wat polissen ongeldig maakt.

Telt een scan van vandaag voor “de afgelopen 12 maanden”? Ja. De vraag is of er een scan heeft plaatsgevonden in de 12 maanden vóór uw antwoord — een scan van vandaag valt binnen dat venster. Antwoord per de datum van het rapport, en scan opnieuw vóór de verlenging van volgend jaar.

Verlaagt dit mijn premie? Soms, en zonder garanties. Sommige verzekeraars verwerken aangetoonde beveiliging in de prijs of de voorwaarden; andere behandelen deze vragen als toelatingseis, niet als korting. Vraag het uw tussenpersoon, met het rapport erbij — dat is wat een misschien omzet in een bedrag, in euro’s.

Stuur het rapport door — het antwoord schrijft zichzelf

U hoeft niet de DNS-persoon te worden. Voer de gratis scan uit en stuur het rapport en dit artikel door naar uw IT-contact. Het rapport vertelt hem precies wat er ontbreekt; deze pagina vertelt hem waarom het op uw verlengingsformulier staat. Wanneer de herstelde herscan terugkomt, schrijft het verlengingsantwoord zichzelf: gescand, gedateerd, beoordeeld, hersteld. Eén gemarkeerde e-mail in uw inbox, afgesloten.

Controleer uw domein → · Wat vragenlijsten op uw domein controleren → · Hoe u DMARC repareert → · Uitsluitend geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.