E-mailauthenticatie is niet langer optioneel in 2026. Wat ooit aanbevolen beveiligingspraktijken waren, zijn nu verplichte vereisten die worden afgedwongen door de drie grootste mailboxproviders ter wereld, ingebed in mondiale betalingsveiligheidsnormen en opgenomen in belangrijke cybersecurity regelgeving in meerdere rechtsgebieden.
Een uitgebreide gids gepubliceerd door LegalClarity schetst het volledige bereik van deze verplichtingen, met betrekking tot SPF, DKIM, DMARC en het nieuwere ARC-protocol, samen met vereisten voor identifier alignment en wat volledige naleving in de praktijk betekent. Voor elk bedrijf dat e-mailmarketingcampagnes uitvoert, zijn de gevolgen direct: bereid het inbox of verlies inkomsten.
Wat de Verplichte Verschuiving Heeft Veroorzaakt
In februari 2024 introduceerden Google en Yahoo verplichte e-mailauthenticatievereisten voor bulk-afzenders, gedefinieerd als domeinen die meer dan 5.000 e-mails per dag versturen. De vereisten omvatten SPF- en DKIM-authenticatie op alle uitgaande e-mails, een gepubliceerd DMARC-record met minimaal beleid p=none, SPF- of DKIM-alignment met het From-domein, verwijderen-mogelijkheid met één klik en spam-klachtpercentages onder 0,3%.
Microsoft volgde in mei 2025 en sloot zich aan bij Gmail, Yahoo en Apple Mail bij het vereisen van DMARC voor grote afzenders. Vanaf 5 mei 2025 begon Microsoft e-mails af te wijzen die niet voldoen aan de vereisten voor bulk-afzenders.
In 2026 wordt deze vereiste strikt afgedwongen, waarbij niet-conforme berichten op SMTP-niveau worden afgewezen. Afzenders moeten ook SPF- en DKIM-records per domein instellen, alignment garanderen en ARC-authenticatie gebruiken voor doorgestuurde berichten.
De gevolgen gaan verder dan afleveringsmogelijkheden. PCI DSS v4.0 vereiste 10.4.1.1 vereist DMARC voor elke organisatie die kaarthoudergegevens verwerkt, met maandelijkse boetes van 5.000 tot 100.000 dollar voor niet-naleving, en EU-frameworks, waaronder NIS2 en DORA, erkennen e-mailauthenticatie als een vereiste cybersecurity-controle.
Hoe de Drie Kernprotocollen Samenwerken
SPF (Sender Policy Framework) is de basislaag. SPF stelt domeineigenaren in staat om op te geven welke IP-adressen geautoriseerd zijn om e-mails namens hun domein te versturen. Één veelvoorkomend faalpunt: SPF-records kunnen slechts 10 DNS-lookups activeren. Als u gelijktijdig meerdere tools van derden gebruikt, zoals Mailchimp, Zendesk, Salesforce en Google Workspace, kunt u deze limiet gemakkelijk overschrijden, wat leidt tot een permanente SPF-storing die de afleveringsmogelijkheden ondergraaft.
DKIM (DomainKeys Identified Mail) behandelt berichtintegriteit. DKIM voegt een digitale handtekening toe aan uitgaande berichten. De ontvangende server gebruikt deze handtekening om te verifiëren dat het bericht niet in transit is gewijzigd. De minimale ondertekensleutelgrootte is 1024 bits, hoewel 2048 bits de huidige standaard is. Een kritieke fout die veel marketeers maken: het gebruik van de standaard DKIM-instelling van een e-mailserviceprovider zoals sendgrid.net of mailgun.org geeft technische DKIM-ondersteuning maar mislukt alignment omdat de handtekening van het ESP-domein is, niet van het jouwe. U moet aangepaste DKIM of domeinalias configureren in uw ESP-dashboard.
DMARC (Domain-based Message Authentication, Reporting and Conformance) is de afdwingingslaag. DMARC zit bovenop SPF en DKIM en vertelt mailboxproviders wat ze moeten doen wanneer authenticatie mislukt, en stelt domeineigenaren in staat om rapporten te ontvangen over elke mailbron die hun domein gebruikt. De drie beleidsopties zijn p=none (alleen monitoren), p=quarantine (doorsturen naar spam) en p=reject (volledig blokkeren).
DMARC evalueert alignment, wat betekent dat het domein dat gebruikers in het From-adres zien, moet overeenkomen met het domein dat via SPF of DKIM wordt geverifieerd. Als u verzendt van brand.com maar via een ander domein authenticeert, kan DMARC mislukken en behandelen mailboxproviders dit als hoger risico.
Het ARC-Protocol: Doorgestuurde E-mail Beschermen
Strenge DMARC-afdwinging creëert een praktisch probleem voor doorgestuurde berichten. Wanneer een e-mail via intermediairs wordt geleid, zoals doorstuurservices, mailinglijsten, CRM-systemen, helpdesks of geautomatiseerde gateways, mislukken traditionele SPF-, DKIM- en DMARC-controles vaak, waardoor legitieme e-mails verificatie mislukken en in spam belanden.
ARC (Authenticated Received Chain) pakt dit aan door een verifieerbare controleketen voor authenticatieresultaten over meerdere verwerkingsservers te bieden. Het beperkt DMARC-fouten veroorzaakt door intermediairs, zoals mailinglijsten en doorstuurservices, en behoudt de geldigheid van legitieme e-mails.
Gmail en Microsoft verwerken ARC automatisch op doorgestuurde berichten. De praktische implicatie voor afzenders: zorg ervoor dat uw DKIM-configuratie stevig is, omdat DKIM de authenticatiemethode is die het meest waarschijnlijk het doorstuurproces intact overleeft.
De Adoptiekloof Die Bedrijven in Gevaar Brengt
De cijfers onthullen een scherp nalevingsprobleem. Het EasyDMARC 2026 Adoption Report toont wereldwijde DMARC-adoptie op 52,1%, omhoog van 27,2% in 2023, maar meer dan de helft van die domeinen zit vast op p=none, wat nul spoofingbescherming biedt.
Onderzoek dat meer dan een miljoen domeinen wereldwijd monitort, toonde aan dat vanaf maart 2026 slechts 10,7% van de domeinen volledige bescherming heeft met een streng reject-beleid met 100% handhaving. Een extra 18,4% heeft gedeeltelijke bescherming, terwijl 70,9% van de domeinen geen effectieve DMARC-bescherming heeft.
Het praktische resultaat is duidelijk: als uw domein niet correct geconfigureerde SPF, DKIM en DMARC heeft, kunnen uw e-mails naar Gmail-, Yahoo- en Outlook-ontvangers, samen vertegenwoordigend het overgrote deel van e-mailinboxen wereldwijd, mogelijk helemaal niet worden bezorgd.
Wat Marketeers Nu Moeten Doen
Beste praktijk in 2026 volgt een gefaseerde aanpak: begin met een monitoringbeleid, controleer DMARC-rapporten, repareer legitieme afzenders en voer vervolgens handhaving in. Veel organisaties publiceren DMARC maar laten het permanent op het zwakste beleid, wat spoofing niet stopt en geen sterk vertrouwenssignaal naar ontvangende servers stuurt.
Het wordt aanbevolen SPF en DKIM minstens 48 uur actief te hebben voordat u DMARC implementeert, wat u tijd geeft om te verifiëren dat beide mechanismen correct functioneren voordat u een beleid invoert dat handelt op fouten.
Een praktische strategie voor 2026 is het versturen van marketing-e-mail vanaf een toegewijd subdomein, zoals mail.brand.com, met correcte SPF-, DKIM- en DMARC-alignment, terwijl u het hoofddomein voor bedrijfse-mails behoudt. Deze scheiding beperkt risico en vereenvoudigt probleemoplossing.
Microsoft 365 verscherpte zijn antispoofingcontroles in 2025, beveiligingsgateway's voor ondernemings-e-mail controleren alignment vóór vertrouwensbeoordeling, en cyber-assurantievragenlijsten vragen nu expliciet of DMARC wordt afgedwongen op quarantine of reject. Een domein zonder SPF, DKIM en DMARC is niet langer alleen een afleveringsrisico; het is een auditbevinding.
Voor e-mailmarketeers is de boodschap duidelijk: naleving van authenticatie is nu de instapreis. Dit goed doen beschermt afleveringsmogelijkheden, afzenderreputatie, merkvertrouwen en in gereglementeerde sectoren beschermt het het vermogen om überhaupt actief te zijn.
