Hoeveel populaire domeinen gebruiken in 2026 SPF, DMARC en MTA-STS?

Wat heeft het onderzoek gevonden?

Het publiceren van SPF en DMARC is nu de norm onder populaire domeinen; ze afdwingen is dat niet. Negen op de tien mail-domeinen in de top 1,000 publiceert een DMARC-record, maar slechts de helft vertelt ontvangers om falende mail te weigeren. Eén op de zeven blijft op p=none, wat rapporten verzamelt en niets blokkeert, en een kwart zet in quarantaine. Bijna elk DMARC-record vraagt om geaggregeerde rapporten: 93.3% bevat een rua-adres.

SPF vertelt hetzelfde verhaal. 93.9% publiceert een record, maar een harde afwijzing (-all) sluit er slechts 49.8% af; 37.9% eindigt op een zachte afwijzing (~all). Drie domeinen publiceren twee SPF-records, wat RFC 7208 als permanente fout behandelt, en onze gids over het SPF-record laat zien waarom één record alle verzenders moet bevatten.

Het transport is veel zwakker beveiligd. MTA-STS, dat verzendende servers dwingt TLS te gebruiken, wordt gepubliceerd door 36 van 688 mail-domeinen (5.2%), en SMTP TLS-rapportage door 43. Slechts 30 van de 691 combineren SPF, een afgedwongen DMARC-beleid en MTA-STS.

Beschermen domeinen die geen mail versturen zichzelf?

Meestal niet. 306 van de 1,000 domeinen hebben geen MX-record of een null-MX (RFC 7505), dus ze versturen nooit legitieme mail. Een crimineel kan er toch elk van in een afzenderregel zetten. De oplossing kost twee DNS-records: SPF "v=spf1 -all" en DMARC "p=reject". 95 van de 306 publiceren de harde SPF-afwijzing en 92 het DMARC-reject-beleid, dus ongeveer twee op de drie laten de deur open.

Hetzelfde geldt voor een persoonlijk domein dat u voor later bewaart, of voor een tweede extensie die alleen is gekocht om uw adres te beschermen. De DMARC-installatiegids bevat de set zonder-mail-records, en de DNS-editor van Postelva heeft daarvoor een sjabloon met één klik.

Hoe is het onderzoek uitgevoerd?

We namen de Tranco-lijst PY2NJ, opgebouwd uit gegevens van vijf providers tussen 13 oktober en 11 november 2026, en hielden de eerste 1,000 domeinen. Elk domein kreeg zes DNS-opzoekingen via de openbare DNS-over-HTTPS-resolver van Cloudflare op 12 november 2026: MX op de apex, TXT op de apex (SPF), en TXT op _dmarc, _mta-sts, _smtp._tls en default._bimi.

Een domein telt als mailontvanger wanneer het minstens één MX-record heeft dat geen null-MX is. SPF telt wanneer precies één TXT-record begint met v=spf1, en het beleid wordt gelezen uit het all-mechanisme. DMARC telt wanneer een TXT-record op _dmarc begint met v=DMARC1, en het beleid is de p-tag. Een opzoeking die na drie pogingen mislukte, is uit die regel weggelaten. Tranco rangschikt registreerbare domeinen, dus sommige items zijn infrastructuurnamen die nooit mail verzenden; daarom gebruiken de mailcijfers alleen de 691 domeinen met MX-records.

De ruwe antwoorden en het script worden bij het onderzoek bewaard. We publiceren alleen totalen, zonder domeinnamen te noemen.

Wat de cijfers betekenen voor uw eigen domein

Een persoonlijk of familiedomein kan in een middag de beste van de top 1,000 evenaren. Volgens het onderzoek van Postelva van 12 november 2026 weigert 347 van de 691 populairste mail-domeinen falende mail met DMARC p=reject en publiceert 36 MTA-STS; een domein dat via onze sjablonen aan Proton Mail, Fastmail of Zoho Mail is gekoppeld, begint al met SPF, DKIM en DMARC geschreven.

De gebruikelijke volgorde is SPF en DKIM eerst, DMARC op p=none voor een week rapporten, dan quarantaine en reject; de vergelijking van SPF, DKIM en DMARC legt uit wat elk record controleert. MTA-STS vraagt een klein beleidsbestand op een webhost, zoals onze MTA-STS-gids laat zien. Een .com op Postelva kost US$ 12,49/jaar, elk jaar dezelfde prijs.