Hoe goed beveiligen Nederlandse bedrijven hun e-mail? Een meting van 4.069 domeinen

De kerncijfers

Alle percentages in deze tabel gaan over dezelfde 4.069 domeinen. Een domein telt mee als het de website is van een bedrijf dat in Wikidata als Nederlands bedrijf staat.

Wat SPF, DKIM en DMARC doen

SPF is een lijst in de DNS met de servers die namens een domein mogen mailen (RFC 7208). Het record eindigt met een regel voor alle andere servers: -all (weigeren), ~all (verdacht), ?all (geen oordeel) of +all (iedere server mag).

DKIM zet een digitale handtekening op elke mail. De ontvanger controleert die handtekening met een sleutel die in de DNS staat (RFC 6376).

DMARC koppelt SPF en DKIM aan het afzenderadres dat de lezer ziet. Het record zegt wat een ontvanger moet doen met mail die niet door de controle komt: p=none (niets doen, alleen rapporteren), p=quarantine (naar de spammap) of p=reject (weigeren). Sinds mei 2026 staat DMARC in RFC 9989, de opvolger van RFC 7489. Het beleid is een verzoek: de ontvangende mailserver beslist zelf.

MTA-STS (RFC 8461) en TLS-RPT (RFC 8460) gaan over iets anders: of mail versleuteld bij je eigen mailserver aankomt.

Resultaat 1: DMARC staat vaak op alleen meekijken

Van de 3.262 bedrijven met een geldig DMARC-record staat 43% op p=none, 27% op p=quarantine en 31% op p=reject. p=none is bedoeld als eerste stap: je krijgt rapporten en ziet welke diensten namens je domein mailen, zonder dat er mail wordt tegengehouden. RFC 9989 raadt aan om minstens een maand op p=none te staan en daarna even lang op p=quarantine, voordat je naar p=reject gaat (RFC 9989, paragraaf 7.4).

37% van de DMARC-records heeft geen rua-adres. Dan krijgt het bedrijf geen rapporten en ziet het niet welke mail namens het domein niet door de controle komt. 23% van de DMARC-records staat op p=none zonder rua-adres: dat record houdt niets tegen en levert ook geen rapporten op.

Bij 2,9% van de records met p=quarantine of p=reject geldt het beleid maar voor een deel van de mail (pct lager dan 100), en bij 0,1% staat de testmodus t=y aan. 6,8% zet het beleid voor subdomeinen weer uit met sp=none.

p=reject is niet voor elk domein de beste keuze. Volgens RFC 9989 kan p=reject problemen geven bij mailinglijsten en doorstuuradressen, en moeten domeinen met p=reject altijd DKIM gebruiken. Forum Standaardisatie, internet.nl en het CBS tellen p=quarantine en p=reject daarom allebei als streng genoeg. Wij doen dat ook bij afgedwongen.

Resultaat 2: SPF-fouten die het record ongeldig maken

94% van de bedrijven heeft een SPF-record. 18 domeinen (0,4%) hebben er meer dan één. Dat mag volgens de standaard niet: een ontvanger geeft dan een permerror en negeert SPF voor dat domein (RFC 7208, paragraaf 4.5). De tabel laat zien hoe de 3.790 domeinen met één SPF-record eindigen, en welke fouten erin zitten.

De limiet van 10 DNS-lookups staat in RFC 7208, paragraaf 4.6.4. Elke include, a, mx, ptr, exists en redirect telt mee, ook in de records waarnaar je verwijst. Wie veel diensten namens het domein laat mailen, zoals een CRM, nieuwsbrief, facturatie en helpdesk, komt daar snel overheen. Wij telden alle lookups als het hele record wordt doorlopen.

Resultaat 3: DKIM en versleuteld afleveren

DKIM is van buitenaf niet volledig te meten: daarvoor heb je de naam van de sleutel (de selector) uit een echte mail nodig. We gebruikten daarom de methode van internet.nl: bestaat de naam _domainkey onder het domein, dan staat daar minstens één DKIM-sleutel. Bij 65% van de domeinen die mail ontvangen, was dat te meten. Bij de rest geeft het domein op elke naam een antwoord (een wildcard). Van de meetbare domeinen heeft 84% een DKIM-sleutel.

We keken ook naar de standaardnamen van de twee grootste mailproviders. 69% van de domeinen op Microsoft 365 heeft een sleutel onder selector1 of selector2, en 62% van de domeinen op Google Workspace onder google. Een bedrijf kan een andere naam kiezen, dus dit zijn ondergrenzen.

2,9% van de domeinen die mail ontvangen, heeft een MTA-STS-record en 3,9% een TLS-RPT-record. We telden alleen het DNS-record, niet het beleid op de webserver. DANE, dat net als STARTTLS op de pas-toe-of-leg-uitlijst van de overheid staat, hebben we niet gemeten.

Resultaat 4: per sector

De sector komt uit Wikidata: de bedrijfstak en het soort bedrijf. Bij 34% van de bedrijven staat daar geen bruikbare sector; die staan onder Overig of onbekend. We tonen alleen groepen met minstens 50 domeinen. Het aandeel gaat steeds over alle domeinen in die sector.

Energie, water en afval (74%) en financiële dienstverlening (70%) hebben het vaakst een afgedwongen DMARC-beleid. Horeca, toerisme en recreatie (29%), voeding en landbouw (32%), zakelijke dienstverlening (32%) en media, cultuur en kunst (33%) het minst vaak. Zorg en farma telt 39 domeinen en staat daarom niet in de tabel.

Resultaat 5: Microsoft 365, Google Workspace en de rest

Uit de MX-records blijkt waar een bedrijf zijn mail ontvangt. 50% van de domeinen gebruikt Microsoft 365 en 13% Google Workspace. 7,3% laat mail eerst door een mailfilter zoals Proofpoint of Mimecast gaan; de provider daarachter is dan niet te zien. 25% gebruikt een andere mailserver, bijvoorbeeld bij een hoster, en 4,6% heeft geen MX-record.

Achter een mailfilter is DMARC het vaakst afgedwongen (64%). Bij Microsoft 365 is dat 51% en bij Google Workspace 41%. Bij een andere mailserver is het 31%.

Resultaat 6: domeinen die geen mail ontvangen

187 domeinen hebben geen MX-record. Ze ontvangen geen mail, maar iemand kan wel een vervalste mail sturen met zo'n domein als afzender. internet.nl en het NCSC adviseren voor domeinen die niet mailen een SPF-record met -all en DMARC met p=reject. Van deze 187 domeinen heeft 21% p=reject en 36% een SPF-record dat op -all eindigt.

Vergelijking met de overheid, het CBS en alle .nl-domeinen

Forum Standaardisatie meet elk jaar de domeinen van de overheid. Op 31 december 2025 had 86% van 12.116 overheidsdomeinen een DMARC-beleid van p=quarantine of p=reject, 69% een SPF-record dat op ~all of -all eindigt en 66% DKIM (Forum Standaardisatie, meting begin 2026). Dat rapport is nog niet definitief. SPF, DKIM en DMARC staan voor de overheid sinds 2012 en 2015 op de pas-toe-of-leg-uitlijst, en sinds eind 2019 geldt de afspraak dat het beleid quarantine of reject is (streefbeeldafspraken).

Het CBS mat op 15 januari 2026 met internet.nl de websites van bedrijven met 2 of meer werkzame personen. Van die bedrijven had 64,9% DMARC en 22,8% een DMARC-beleid dat streng genoeg is. Bij grote bedrijven, met 250 of meer werkzame personen, had 57,0% zo'n beleid (CBS, Internetstandaarden 2026).

SIDN Labs telt alle .nl-domeinen met een MX-record, op dit moment 4.116.052. Daarvan heeft 85,1% een DMARC-record. Van die records staat 40,1% op p=none, 23,1% op p=quarantine en 37,0% op p=reject (SIDN Labs, geraadpleegd op 17 oktober 2026).

In onze meting heeft 45% van de bedrijven een afgedwongen DMARC-beleid. Dat is minder dan bij de overheid (86%), meer dan het CBS-cijfer voor alle bedrijven (22,8%) en minder dan het CBS-cijfer voor grote bedrijven (57,0%). Dat past bij een steekproef van vooral bekende bedrijven. Van de DMARC-records in onze meting staat 43% op p=none en 31% op p=reject; bij alle .nl-domeinen is dat 40,1% en 37,0%. De metingen zijn niet een op een te vergelijken. Het CBS weegt naar alle bedrijven en gebruikt de internet.nl-test, die extra eisen stelt. SIDN telt ook .nl-domeinen die niet van een bedrijf zijn.

Waarom dit telt voor wie mailt

Sinds 1 februari 2024 vragen Google en Yahoo SPF of DKIM van iedereen die naar hun gebruikers mailt. Wie veel mailt, moet SPF, DKIM en een DMARC-record hebben, en daarvoor is p=none genoeg. Google legt die grens bij ongeveer 5.000 berichten per dag naar Gmail-adressen (Google). Yahoo noemt geen vaste grens (Yahoo). Microsoft vraagt sinds 5 mei 2025 hetzelfde van domeinen die meer dan 5.000 mails per dag naar Outlook.com, Hotmail en Live sturen, en weigert mail die niet voldoet (Microsoft).

Voor koude e-mail betekent dit dat een domein zonder SPF, DKIM en DMARC steeds vaker niet in de inbox komt. Daarom verstuurt Questry koude mail niet vanaf het domein waarmee een klant zijn gewone mail stuurt, maar vanaf aparte verzenddomeinen. Wat je voor zo'n domein instelt en hoe lang het opwarmen duurt, staat in verzenddomein opwarmen.

Methode

Bron van de bedrijven: Wikidata, opgevraagd op 17 oktober 2026 via de openbare query-dienst. We namen alle items met land Nederland en een officiële website die een bedrijf zijn (soort business, company of enterprise, of een van de 2.852 subklassen daarvan tot twee niveaus diep) of de rechtsvorm bv of nv hebben. Dat gaf 4.583 items. We lieten 135 opgeheven bedrijven weg, 144 items die Wikidata ook een school, woningcorporatie, non-profit, museum of instituut noemt, en 6 items zonder bruikbaar domein. Per item namen we één domein, bij voorkeur .nl, en per domein één item. Zo bleven 4.108 domeinen over.

Meting: op 17 oktober 2026 tussen 17:52 en 18:27 uur vroegen we per domein de MX-, SPF-, DMARC-, MTA-STS- en TLS-RPT-records op, plus de records waarnaar het SPF-record verwijst. Dat ging via DNS-over-HTTPS bij de publieke resolver van Cloudflare (1.1.1.1), met Google Public DNS als reserve, en met hoogstens 20 vragen per seconde. We hebben geen mailserver, website of ander systeem van de bedrijven benaderd.

23 domeinen bestonden niet meer en 16 gaven een DNS-fout of geen volledig antwoord. Die tellen niet mee. Zo kwamen 4.069 domeinen in de meting.

Niet gemeten: of mail echt aankomt, DKIM-sleutels onder andere namen dan de standaard, de inhoud van MTA-STS-beleid, DNSSEC, DANE en BIMI. Een record kan kloppen terwijl de mailserver er niets mee doet, en andersom.

Beperkingen: Wikidata bevat vooral bekende bedrijven, vaak groter en ouder dan gemiddeld. Kleine bedrijven en zzp'ers staan er weinig in. Dit is dus geen aselecte steekproef van alle Nederlandse bedrijven, en de cijfers gelden voor deze 4.069 domeinen. De sector ontbreekt bij 34%. Het aantal werknemers staat bij minder dan 5% van de items, te weinig om naar grootte te splitsen. Het is een momentopname van één dag.

We publiceren geen lijst met bedrijven of domeinen. Wie de meting wil herhalen, kan de Wikidata-query en het meetscript bij ons opvragen via admin@questry.ai.

De cijfers gebruiken

Je mag de cijfers overnemen met bronvermelding: Questry AI, meting e-mailbeveiliging Nederlandse bedrijven, 17 oktober 2026, met een link naar deze pagina.

Je eigen domein controleren

Op internet.nl test je gratis of SPF, DKIM en DMARC voor je domein goed staan. De route die RFC 9989 beschrijft: begin met een DMARC-record op p=none met een rua-adres, lees de rapporten een paar weken, zet alle diensten die namens je domein mailen in SPF en DKIM, en ga daarna naar p=quarantine en eventueel p=reject.