Onderzoek van Spoofhound · 2026-11-08
Stand van DMARC 2026 — Nederland
Ruim twee op de drie Nederlandse domeinen kunnen via e-mail worden nagebootst.
Spoofhound onderzocht het Nederlandse web: 43.453 domeinen die e-mail ontvangen, verspreid over de populairste websites van het land en lokale bedrijven in alle 12 provincies, gecontroleerd met dezelfde engine als onze gratis domeincheck.
Controleer uw domein — gratisDe kern
Ruim twee op de drie Nederlandse domeinen die e-mail ontvangen, kunnen worden nagebootst. Van de 43.453 gecontroleerde domeinen hebben er 30.166 (69,4%) geen afgedwongen DMARC-beleid: helemaal geen record, alleen monitoren, of een kapot record. Ontvangende mailsystemen krijgen nooit de opdracht om vervalste mail op hun naam te blokkeren.
Drie cijfers vertellen het verhaal:
- •30,6% dwingt DMARC af. Dat is minder dan Saoedi-Arabië (45,7%) en Zuid-Afrika (34,1%), en meer dan het Verenigd Koninkrijk (24,5%). Alleen bedrijven meegeteld komt Nederland op 30,2%. Bekijk hoe alle landen die we hebben gemeten zich tot elkaar verhouden.
- •De overheid geeft het tempo aan: 80,7% tegenover 27,5%. De overheidsdomeinen die we kunnen herkennen, dwingen DMARC af bij 80,7%. Nederlandse bedrijven met één tot drie vestigingen komen op 27,5%.
- •Vier op de tien blijven steken op p=none: 42,1%. Italië heeft een grotere groep die alleen monitort: 54,9%. Twee op de drie van deze Nederlandse domeinen (12.074) vragen zelfs geen DMARC-rapporten op: hun record blokkeert geen vervalsingen en meldt ze ook aan niemand.
Het gemiddelde Nederlandse domein scoort 38,1 van de 100 op de volledige e-mailbeveiligingscheck, en 84,0% heeft minstens één probleem dat de moeite van het oplossen waard is.
DMARC op het Nederlandse web
69% van de Nederlandse domeinen die e-mail ontvangen, kan worden nagebootst
30.166 van de 43.453 gecontroleerde domeinen hebben geen afgedwongen DMARC-beleid.
Geen DMARC-record
Alleen monitoren (p=none)
Kapot of dubbel record
p=quarantine
p=reject
Rood: ontvangers krijgen nooit de opdracht vervalsingen te blokkeren · Groen: mail van imitators wordt in quarantaine geplaatst of geweigerd.
De meeste Nederlandse domeinen zijn begonnen: slechts een kwart heeft geen DMARC-record (26,6%). De grootste groep publiceert er wel een, maar laat het op p=none staan (42,1%). Die organisaties zijn één kleine stap van bescherming verwijderd, maar voor die stap zijn de DMARC-rapporten nodig die laten zien welke diensten mail op hun naam versturen. Die rapporten lezen en het werk afmaken: dat is precies wat Spoofhound doet.
De rest van de keten
| Controle | Bevinding | Domeinen |
|---|---|---|
| SPF | Helemaal geen record: elke server ter wereld mag namens het domein versturen | 2.810 (6,5%) |
| SPF | Record eindigt op +all of ?all: gepubliceerd, maar laat toch iedereen toe | 832 (1,9%) |
| Microsoft 365 DKIM | Beide ondertekeningsselectors kapot: uitgaande mail kan vandaag al de authenticatie niet doorstaan | 183 |
| MTA-STS | Beschermt inkomende mail tegen onderschepping: ingevoerd (158 daarvan alleen in testmodus) | 395 (0,9%) |
| TLS-RPT | Meldt mislukte beveiligde aflevering: ingevoerd | 645 (1,5%) |
| BIMI | Geverifieerd logo in de inbox: actief | 457 (1,1%) |
De basis is grotendeels op orde: slechts 6,5% van de Nederlandse domeinen heeft geen SPF-record. De nieuwere standaarden zijn nog zeldzaam: minder dan 2 op de 100 domeinen gebruiken MTA-STS, TLS-RPT of BIMI.
Kleine bedrijven tegenover grotere
| Groep | Gecontroleerde domeinen | Geen DMARC-record | Alleen monitoren | Afgedwongen |
|---|---|---|---|---|
| Nederlandse bedrijven met 1–3 vestigingen (winkels, kantoren, vakbedrijven) | 33.220 | 28,7% | 43,1% | 27,5% |
| Nederlandse bedrijven met 4–9 vestigingen | 462 | 11,7% | 44,6% | 43,3% |
| Nederlandse bedrijven met 10 of meer vestigingen | 187 | 8,6% | 30,5% | 60,4% |
| De .nl-websites in de top 100.000 | 606 | 12,4% | 22,3% | 65,3% |
De bescherming neemt toe met de omvang. Ketens en de bekendste .nl-websites hebben het werk grotendeels gedaan, terwijl 88,0% van de kleine bedrijven nog minstens één e-mailbeveiligingsprobleem heeft. Bij kleine bedrijven gaat het minder om ontbrekende records dan om records die op p=none blijven staan: 43,1% van de kleine bedrijven zit daar.
Overheid tegenover kleine bedrijven
Nederlandse overheidsorganisaties hebben afgesproken hun domeinen met DMARC te beschermen. De standaard staat op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie, en een overheidsbrede afspraak legde eind 2019 vast als deadline voor een strikt beleid. Het Forum telt p=quarantine of p=reject als strikt, met p=reject als einddoel. De cijfers laten zien dat de meeste overheidsdomeinen zijn gevolgd, al niet helemaal:
| Groep | Domeinen | Geen DMARC-record | Alleen monitoren | p=quarantine | p=reject | Afgedwongen |
|---|---|---|---|---|---|---|
| Nederlandse overheidsdomeinen die we kunnen herkennen | 305 | 7,2% | 11,8% | 37,7% | 43,0% | 80,7% |
| Nederlandse bedrijven met 1–3 vestigingen | 33.220 | 28,7% | 43,1% | 14,3% | 13,1% | 27,5% |
Overheidsdomeinen dwingen DMARC drie keer zo vaak af als kleine bedrijven. Vier op de vijf voldoen aan de afspraak over een strikt beleid, maar minder dan de helft (43,0%) heeft p=reject bereikt, en één op de vijf (19,0%) heeft zeven jaar na de deadline nog geen record of blijft steken op p=none. Kleine bedrijven hebben zo’n afspraak niet, en dat is te zien: 71,8% heeft geen record of blijft op p=none.
Wie het meest kwetsbaar is
Makelaars zijn de minst beschermde Nederlandse sector
Aandeel van de domeinen per sector die e-mail ontvangen met p=quarantine of p=reject (gecontroleerde domeinen tussen haakjes).
Makelaars (656)
Bloemisten (598)
Bakkers (656)
Fietsenwinkels (1.232)
Kledingwinkels (2.021)
Autogarages (1.120)
Kappers (1.926)
Schoonheidssalons (795)
Juweliers (454)
Autodealers (1.014)
Meubelwinkels (533)
Computerwinkels (220)
Financieel adviseurs (118)
Advocatenkantoren (258)
Accountants (163)
Verzekeringsagenten (106)
Bedrijfskantoren (4.368)
Onderwijskantoren (408)
Financiële kantoren (102)
Notarissen (111)
IT-bedrijven (483)
Blauw: beroepen die geld van klanten beheren · stippellijn: Nederlands gemiddelde (30,6%).
Makelaars staan onderaan met 17,4%, terwijl zij juist de aanbetalingen en koopsommen afhandelen waar vervalste e-mail op mikt. De andere beroepen die met geld van klanten werken doen het beter: notarissen gaan voorop met 52,3%, advocatenkantoren en accountants zitten tussen 36% en 39%. Winkels liggen rond één op de vijf. IT-bedrijven gaan voorop met 56,9%.
Methode
Populatie. 43.453 Nederlandse domeinen die e-mail ontvangen (ze publiceren werkende MX-records). Ze komen uit twee bronnen:
- Nederlandse bedrijven en organisaties op OpenStreetMap met een eigen website, op elke domeinextensie: 34.169 domeinen
- elk .nl-domein in de populariteitsranglijst Tranco top 1 miljoen: 10.777 domeinen die e-mail ontvangen
1.493 domeinen komen in beide voor. Socialemediaprofielen, vermeldingssites en gehoste pagina’s die het bedrijf niet zelf beheert, zijn uitgesloten.
Controles. Elk domein is gescand met de eigen engine van Spoofhound, dezelfde als die achter de gratis domeincheck. Die controleert SPF, DKIM (bekende selectors van grote e-mailproviders zoals Microsoft, Google, SendGrid, Mailchimp en meer), DMARC, MTA-STS, TLS-RPT en BIMI. Elk cijfer is gebaseerd op een scan in de 30 dagen tot 2026-11-08.
Eerlijke beperkingen.
- Overheidsdomeinen. De 305 overheidsdomeinen zijn de domeinen die we kunnen herkennen: kantoren die op OpenStreetMap als overheid zijn ingetekend, en domeinen met overheid, gemeente, provincie of waterschap in de naam. Veel gemeenten en ministeries gebruiken gewone .nl-namen, dus dit is een steekproef van de overheid, niet de hele overheid. Het is 0,7% van het totaal, dus het hoofdcijfer is in feite een bedrijfscijfer (30,2% zonder overheid).
- Scheefheid van de steekproef. De bedrijfssteekproef omvat bedrijven met een website op de kaart, wat neigt naar zichtbare, consumentgerichte sectoren. Sectorcijfers berusten op 100 tot 4.400 domeinen per sector.
- DKIM. DKIM kan alleen als aanwezig worden bevestigd, nooit als afwezig.
- Wat ‘afgedwongen’ betekent. p=quarantine of p=reject op het domein zelf. Kapotte records tellen als niet afgedwongen, omdat ontvangende mailservers ze zo behandelen.
Gegevens © OpenStreetMap-bijdragers (ODbL) · Tranco-lijst van het Tranco-onderzoeksproject.
Waar staat uw domein in deze cijfers? Ontdek het in 30 seconden.
Controleer uw domein — gratis