SPF, DKIM en DMARC in Exchange Online: e-mailauthenticatie instellen

By Mirko Peters · 2026-10-29

Leer hoe je SPF, DKIM en DMARC configureert in Exchange Online om je domein te beveiligen, spoofing te voorkomen en een hoge bezorgbaarheid van e-mail te garanderen.

Automatically translated with AI from the original post. Read the English original

Het beveiligen van de uitgaande en inkomende e-mail van je organisatie in Microsoft 365 vraagt om een correcte configuratie van SPF, DKIM en DMARC. In deze gids lees je hoe deze drie cruciale e-mailauthenticatieprotocollen samenwerken in Exchange Online om je domein te beschermen tegen spoofing, phishingaanvallen en onverwachte bezorgfouten.

Belangrijkste punten

• SPF bepaalt welke mailservers e-mail mogen verzenden namens jouw eigen domein.
• DKIM ondertekent je uitgaande berichten cryptografisch, zodat je kunt controleren of de inhoud van de e-mail onderweg niet is gewijzigd.
• DMARC gebruikt de resultaten van zowel SPF als DKIM om te bepalen hoe ontvangende servers ongeauthenticeerde e-mails moeten behandelen die zich voordoen als afkomstig van jouw organisatie.
• De standaardroutering via onmicrosoft.com zorgt voor basisbezorging, maar voor eigen domeinen zijn expliciete SPF- en DKIM-records in je publieke DNS nodig.
• Goede DMARC-monitoring begint met het beleid 'none' voordat je overstapt naar strikte quarantaine of reject.

Inzicht in e-mailauthenticatie in Exchange Online

Bij een migratie naar Exchange Online richten organisaties zich vaak sterk op de migratie van postvakken, hybride connectors en het delen van agenda's. Maar een correcte e-mailstroom vereist veel meer dan alleen het doorverwijzen van MX-records naar Microsoft. Zonder goede e-mailauthenticatie komen legitieme zakelijke berichten vaak in de spammap terecht, of erger nog: dreigingsactoren kunnen je merkidentiteit eenvoudig vervalsen.

E-mailauthenticatieprotocollen fungeren als het digitale paspoort en de beveiligers van je domein. Wanneer een Exchange Online-postvak een e-mail stuurt naar een externe ontvanger, zoals Gmail of Yahoo, willen de ontvangende servers absoluut zeker weten dat het bericht echt van jouw organisatie afkomstig is en niet door een kwaadwillende derde is vervalst. Hier komt de combinatie van SPF, DKIM en DMARC om de hoek kijken, en voor elke moderne cloudbeheerder is dat onmisbaar.

De rol van SPF in Exchange Online

Het Sender Policy Framework (SPF) is een essentieel TXT-record dat je publiceert bij je publieke DNS-provider. Het somt expliciet de IP-adressen en geautoriseerde diensten op die namens jouw domein e-mail mogen verzenden. Voor een Exchange Online-tenant moet je SPF-record het include-mechanisme van Microsoft bevatten.

Een typisch SPF-record voor Exchange Online is opvallend eenvoudig en bevat meestal include:spf.protection.outlook.com. Wanneer een externe server een e-mail van jouw domein ontvangt, raadpleegt die je publieke DNS, controleert het SPF-record en beoordeelt of het IP-adres van de verzendende server overeenkomt met de lijst van geautoriseerde adressen. Als je organisatie gebruikmaakt van externe marketingtools, ticketsystemen of HR-platforms die namens jou e-mail versturen, moeten die diensten zorgvuldig in je ene SPF-record worden opgenomen om syntaxisfouten en overschrijding van het maximale aantal DNS-lookups te voorkomen.

DKIM-ondertekening instellen

Waar SPF de verzendende server valideert, valideert DomainKeys Identified Mail (DKIM) de integriteit van het bericht zelf. DKIM voegt een digitale handtekening toe aan de header van elke uitgaande e-mail. Deze handtekening is cryptografisch gekoppeld aan een publieke sleutel die in de DNS-instellingen van je domein is gepubliceerd.

Exchange Online maakt het configureren van DKIM eenvoudig via het Microsoft Defender-portaal, al vereist het wel het aanmaken van specifieke CNAME-records bij je externe DNS-registrar. Zodra DKIM is ingeschakeld, ondertekent Exchange Online je uitgaande berichten automatisch. Als een kwaadwillende partij je e-mail onderweg onderschept en wijzigt, mislukt de cryptografische hashcontrole en signaleert de ontvangende e-mailgateway meteen dat het bericht is aangepast. DKIM inschakelen is een verplichte stap om de bezorgbaarheid bij grote consumenten- en zakelijke e-mailproviders te verbeteren.

DMARC-beleid afdwingen

Domain-based Message Authentication, Reporting, and Conformance (DMARC) brengt SPF en DKIM samen onder één beleid. Een DMARC-record vertelt ontvangende mailservers wat ze moeten doen als een binnenkomend bericht zowel de SPF- als de DKIM-controle niet doorstaat. Cruciaal is dat DMARC ook uitlijningsregels introduceert: het domein dat de eindgebruiker ziet in de koptekst ‘From’ moet overeenkomen met de domeinen die via SPF en DKIM zijn geauthenticeerd.

Wanneer je met DMARC in Exchange Online begint, moeten beheerders altijd beginnen met een monitoringbeleid (p=none). Deze instelling instrueert ontvangende servers om dagelijks XML-aggregaat- en forensische rapporten naar een aangewezen rapportageadres te sturen, zonder berichten te blokkeren. Door deze rapporten te analyseren, kunnen IT-beheerders ongeautoriseerde afzenders ontdekken, verkeerd geconfigureerde interne systemen repareren en hun beleid stap voor stap ophogen naar p=quarantine en uiteindelijk p=reject voor maximale domeinbescherming.

Veelvoorkomende valkuilen in mailflow oplossen

Ook met een correcte DNS-configuratie lopen beheerders die de mailflow in Exchange Online beheren tegen subtiele problemen aan. Een veelvoorkomend probleem doet zich voor bij hybride implementaties, waarbij e-mail zowel via lokale Exchange-servers als via Exchange Online Protection (EOP) wordt gerouteerd. Als interne relayconnectors niet de juiste machtigingen hebben of bronnen-IP-adressen niet zijn opgegeven, kunnen uitgaande berichten níet meer correct worden ondertekend met DKIM of leiden ze tot SPF-softfails.

Een andere veelvoorkomende uitdaging betreft third-partyapplicaties die via Exchange Online mail verzenden, via SMTP-clientsubmissie of directe verzendmethoden. Als deze applicaties je primaire aangepaste domein gebruiken in het afzenderadres zonder dat ze expliciet in je SPF-record zijn geautoriseerd of via een app-specifieke mailbox zijn geauthenticeerd, markeren spamfilters je berichten snel als verdacht. Het controleren van de berichttracelogboeken in het beheercentrum van Exchange helpt om deze authenticatiehiaten op te sporen voordat ze de dagelijkse bedrijfsvoering beïnvloeden.

Conclusie en volgende stappen

Je aangepaste domein in Exchange Online beveiligen gaat veel verder dan alleen een mailbox aanmaken en agenda's delen. Door SPF, DKIM en DMARC goed te beheersen, blijft de communicatie van je organisatie betrouwbaar, compliant en veilig bezorgd in de inboxen van ontvangers wereldwijd. Wil je meer weten over de basis van mailarchitectuur, gedeelde mailboxen en de keuze tussen cloud en hybride strategieën? Dan kun je de volledige aflevering van de podcast beluisteren voor een heldere, jargonvrije uitleg van alles wat er binnen Microsofts premium e-mailengine gebeurt.

Veelgestelde vragen

Wat is de SPF include-string voor Exchange Online?

De standaard SPF include-string voor Microsoft 365 Exchange Online is include:spf.protection.outlook.com. Hiermee geef je ontvangende servers aan dat ze de geautoriseerde verzendinfrastructuur van Microsoft in de cloud voor jouw domein mogen vertrouwen.

Schakelt Exchange Online DKIM automatisch in?

Nee. Microsoft levert de infrastructuur, maar beheerders moeten DKIM handmatig inschakelen in het Microsoft Defender-portaal en de vereiste CNAME-records publiceren bij hun publieke DNS-registrar.

Wat is het aanbevolen startbeleid voor DMARC?

Het aanbevolen startbeleid is p=none. Hiermee verzamel je DMARC-aggregaat- en forensische rapporten zonder de mailbezorging te beïnvloeden. Zo ontdek je welke legitieme mailbronnen je gebruikt voordat je strengere quarantaine- of rejectbeleid afdwingt.

Waarom belandt mijn Exchange Online-e-mail in de spam?

E-mail belandt vaak in de spam als je domein geen correct geconfigureerde SPF-, DKIM- of DMARC-records heeft, of als het IP-adres van je verzender een slechte reputatie heeft. Deze authenticatieprotocollen opzetten bouwt afzenderreputatie op en zorgt voor een goede plaatsing in de inbox.