Onderzoek · 11 oktober 2026
Twee op de drie webshops met keurmerk niet beschermd tegen nagemaakte e-mail
We controleerden bij 2.816 Nederlandse domeinen of ze nagemaakte e-mail uit hun naam laten weigeren. Bij webshops met een keurmerk is dat in twee van de drie gevallen niet zo. Hoe kleiner de organisatie, hoe vaker de beveiliging ontbreekt.
van de webshops met Thuiswinkel-keurmerk weigert nagemaakte e-mail uit hun naam niet
van de 2.500 grootste .nl-websites heeft dezelfde zwakte
onbeschermd in de top 100, tegen de helft vanaf plek 1.000
Waarom dit ertoe doet
Iedereen kan een e-mail versturen met een willekeurig afzenderadres. Of zo'n nagemaakte mail wordt tegengehouden, bepaalt de eigenaar van het domein zelf, met een instelling die DMARC heet. Staat die op reject, dan weigeren mailproviders mail die niet echt van het domein komt. Quarantine stuurt hem naar de spammap.
Ontbreekt DMARC, of staat hij op p=none, dan vraagt het domein de ontvanger alleen om mee te kijken en niets tegen te houden. Mailproviders hebben dan geen instructie van het domein om nagemaakte mail te weigeren. Precies die zwakte gebruiken oplichters bij phishing uit naam van bekende winkels — en rond Black Friday en de feestdagen is die mail het overtuigendst.
Wij noemen een domein in dit onderzoek onbeschermd als het geen DMARC heeft of op p=none staat. Dat betekent niet dat elke nagemaakte mail aankomt — Gmail en Outlook hebben ook eigen filters — maar wel dat het domein zelf er niets tegen doet.
De cijfers per groep
| Groep | Domeinen met mail | Geen DMARC | p=none | quarantine | reject |
|---|---|---|---|---|---|
| Webshops met Thuiswinkel-keurmerk | 535 | 15,1% | 51,6% | 16,6% | 16,4% |
| Top 2.500 .nl-websites | 2.281 | 16,5% | 29,6% | 22,4% | 31,5% |
Opvallend: bij webshops met een keurmerk staat de helft op p=none. Ze hébben DMARC ingesteld, maar in de stand die niets tegenhoudt. Vaak is dat een tussenstap die daarna nooit is afgemaakt.
Hoe kleiner, hoe kwetsbaarder
| Plek in de ranglijst | Domeinen met mail | Onbeschermd | reject |
|---|---|---|---|
| 1 – 100 | 88 | 25% | 49% |
| 101 – 500 | 373 | 34% | 43% |
| 501 – 1.000 | 442 | 45% | 34% |
| 1.001 – 2.500 | 1.378 | 51% | 26% |
De grootste Nederlandse sites hebben het meestal op orde. Daarna loopt het snel terug: vanaf plek 1.000 is de helft onbeschermd. Dat zijn juist de middelgrote bedrijven en webshops zonder eigen securityteam.
Wat je zelf kunt doen
DMARC instellen is een DNS-instelling van een paar regels, maar je moet eerst zeker weten dat al je eigen mail (nieuwsbrief, facturen, webshop) goed wordt ondertekend. Anders weigert je eigen domein straks je eigen mail. Hoe je dat stap voor stap doet, en welke e-mailmarketingtools het voor je regelen, staat in onze gids over DMARC en e-mailbezorging.
Verstuur je een nieuwsbrief?
Dan begint het bij je e-mailtool. Goede tools laten je je eigen domein verifiëren, zodat je mail met SPF en DKIM ondertekend wordt — de stap die af moet zijn voordat je DMARC op quarantine of reject zet. Zonder die stap weigert je eigen beveiliging straks je eigen nieuwsbrief.
Hoe we het hebben gemeten
- Grote websites: de 2.500 hoogst geplaatste .nl-domeinen uit de Tranco-ranglijst (een openbare onderzoekslijst van de meest bezochte websites), opgehaald op 11 oktober 2026.
- Webshops: de 550 leden van Thuiswinkel Waarborg die in de openbare ledenlijst met hun domeinnaam vermeld staan, opgehaald op 11 oktober 2026. Leden die onder een bedrijfsnaam staan, zaten niet in de steekproef.
- We telden alleen domeinen met een mailserver (MX-record): 2.281 grote websites en 535 webshops. Een domein dat geen mail ontvangt, gebruikt vaak ook geen mail.
- Per domein lazen we het openbare DMARC-record (
_dmarc.domein) en het SPF-record. Elke uitkomst “geen DMARC” hebben we daarna nog eens gecontroleerd via de openbare DNS van Google; daarbij zijn 6 van de 463 gecorrigeerd. - Niet gemeten: DKIM-handtekeningen (daarvoor moet je de selector van elk domein kennen) en subdomeinen. Een DNS-instelling kan na onze meetdatum veranderd zijn.
Overnemen mag
Deze cijfers zijn vrij te gebruiken met bronvermelding naar SoftwareKiezer.nl. We noemen bewust geen individuele bedrijven. Vragen over de methode, of wil je de cijfers voor een specifieke sector? Mail partners@softwarekiezer.nl.
Voorbeeld van een bronvermelding: “Bron: onderzoek e-mailbeveiliging SoftwareKiezer.nl, oktober 2026”, met een link naar softwarekiezer.nl/onderzoek/e-mailbeveiliging-2026.