SPF: adoptie, kracht en de spoofbaarheidskloof

Gegevens per 2026-06-29 · methodologie v7 · uitsluitend geaggregeerd

138.9 miljoen domeinen publiceren een SPF-record — maar publiceren is geen beschermen. Op onze 100-punts SPF-krachtschaal scoort het internet 29, een gemiddelde volwassenheid van fase 2.39 van 6. De meeste records klimmen tot "misschien" en stoppen daar.

SPF weigert een vervalsing alleen bij zijn strikte einde (-all) — of wanneer een handhavend DMARC-beleid actie onderneemt op de softfail. 55.8% van de records eindigt op ~all (softfail); slechts 39.3% eindigt op -all. Die kloof — gepubliceerd maar niet handhavend — is de grootste populatie in e-mailbeveiliging.

Het SPF Adoption Maturity Model (SPFAMM)

Zes fasen, telkens één stap, en één enkele onderzoeksmatige muur bij fase 3 → 4. Waar DAMM de DMARC-reis meet, meet SPFAMM de SPF-reis: van geen toegestane-lijst, via het tandeloze midden, naar een strikt record waarop DMARC actie kan ondernemen.

Stage 1 — Geen: geen SPF-record — 46% van alle beoordeelde domeinen (121.1M).
Stage 2 — Kapot/permissief: meerdere records, +all, neutraal of geen afsluiting (7.8M).
Stage 3 — Softfail: eindigt op ~all maar niets handhaaft het — de meest voorkomende rustplaats (70.4M).
Stage 4 — Strikt: eindigt op -all, parset schoon, onder de 10-lookup limit (42.5M).
Stage 5 — Uitgelijnd: strikt of softfail met een handhavend DMARC-beleid erachter (19.3M).
Stage 6 — Volledig beschermd: de uitgelijnde, gehandhaafde enkelingen (10.1M).

De muur is fase 3 → 4: elke andere stap is een DNS-bewerking van één regel; deze stap betekent het inventariseren van elk systeem dat namens jou verzendt zonder de 10-lookup limit te overschrijden. Daarom is softfail de plek waar het internet blijft rusten.

Lees de gegevens

Het SPF Adoption Maturity Model (SPFAMM)
De 6 fasen van SPF, en de onderzoeksmatige muur bij fase 3→4 waar het grootste deel van het internet stopt.
~all vs -all: wat 139M records kozen
Softfail is de meest voorkomende afsluiting: 55.8% eindigt op ~all ("waarschijnlijk nep — lever toch af") tegenover 39.3% op strikt -all.
Het SPF PermError-rapport
797,263 domeinen breken stilletjes hun eigen SPF door de 10-lookup limit te overschrijden — 100× meer dan oppervlakkige tellingen laten zien.
Twee SPF-records = geen
1,013,416 domeinen publiceren twee of meer SPF-records — de regel maakt ze allemaal ongeldig.
De ptr-valstrik
Een mechanisme dat sinds 2014 wordt afgeraden, nog steeds in 950,631 records.
De +all-kaart
36,015 domeinen publiceren +all — een open uitnodiging om namens hen te verzenden.
Welke e-mailprovider levert de sterkste SPF-standaarden?
Een ranglijst van 15 providers op strikt-SPF- en handhavingspercentages — jouw provider bepaalt jouw standaard.
De Email Spoofability Index
Hoeveel domeinen iedereen kan vervalsen — per TLD en land.

Controleer je eigen domein

Controleer je domein — gratis, 30 seconden →

Bekijk de reparatiegids: Hoe SPF te repareren → · Uitsluitend geaggregeerde gegevens. Gegevens opgeslagen en verwerkt in de EU.