# Hoe stopt u e-mailspoofing op ongebruikte domeinnamen? > Stop spoofing op een domeinnaam die geen mail verstuurt met een null MX (RFC 7505), SPF v=spf1 -all en DMARC p=reject: drie DNS-records, geen mailserver. - URL: https://wardmint.com/nl/guides/stop-email-spoofing-on-unused-domains/ - Laatst bijgewerkt: 2026-11-12 - Uitgever: Wardmint (https://wardmint.com) Een defensieve domeinnaam die geen e-mail verstuurt, moet dat in DNS zeggen. Drie records vertellen de wereld dat de domeinnaam niets ontvangt, geen afzender autoriseert en vervalste mail geweigerd wil zien. **Snel antwoord — Hoe stopt u e-mailspoofing op ongebruikte domeinnamen?** Publiceer drie DNS-records op elke domeinnaam die geen mail verstuurt: een null MX met voorkeur 0 die naar een punt wijst (RFC 7505), een SPF-record met `v=spf1 -all`, en een DMARC-record met `p=reject` op _dmarc. Het e-mailloze sjabloon van **Wardmint** publiceert alle drie met één klik, en de negen extensies van de phisherset kosten $212.41 per jaar. ## De drie records die een domeinnaam mailbestendig maken | Record | Naam | Type | Waarde | Wat het zegt | | --- | --- | --- | --- | --- | | Null MX | @ | MX | 0 . | Deze domeinnaam accepteert geen e-mail (RFC 7505) | | SPF | @ | TXT | "v=spf1 -all" | Geen enkele server is geautoriseerd om als deze domeinnaam te verzenden (RFC 7208) | | DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Ontvangers wordt gevraagd mail te weigeren die de controles niet doorstaat (RFC 7489) | ## Waarom hebben ongebruikte domeinnamen e-mailrecords nodig? **Omdat iedereen uw domeinnaam in de Van-regel van een e-mail kan zetten, en een domeinnaam zonder records ontvangers niets geeft om te controleren.** Een defensieve domeinnaam zoals een typfout van uw merk is om die reden aantrekkelijk. Phishers versturen mail die van de variant lijkt te komen, of van een naam die op uw supportadres lijkt, en een ontvangend systeem dat geen beleid vindt, heeft geen grond om die te weigeren. Twee records dichten het grootste deel van die kloof. SPF noemt de servers die voor een domeinnaam mogen verzenden, en een SPF-record zonder servers en met een harde fout weigert elke afzender. DMARC vertelt ontvangers wat ze moeten doen met mail die de SPF- en DKIM-controles niet doorstaat, en `p=reject` vraagt hen die te weigeren. Het derde record, een null MX, vertelt afzenders dat de domeinnaam geen mailserver heeft, zodat een bericht ernaartoe meteen mislukt in plaats van dagenlang opnieuw te worden geprobeerd. De lijst met defensieve extensies van Wardmint staat in [welke domeinnamen een cryptoproject moet registreren](https://wardmint.com/nl/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Zodra u ze bezit, zijn deze drie records het eerste wat u toevoegt. ## Wat doet een null MX-record (RFC 7505)? **Een null MX is één MX-record met voorkeur 0 en een root-punt als doel, en het betekent dat de domeinnaam geen e-mail accepteert.** RFC 7505 definieert het. De exchange is een label van lengte nul, in zonebestanden geschreven als een punt, en omdat een punt geen geldige hostnaam is, kan het record niet voor een echte mailserver worden aangezien. Er gelden twee regels. Een domeinnaam die een null MX publiceert, mag geen ander MX-record publiceren. En het record is alleen een null MX in precies deze vorm: voorkeur 0, doel punt. Afzenders die het zien, falen direct met een permanente fout, wat maillussen voorkomt en de herhaalwachtrijen spaart van eerlijke afzenders die uw domeinnaam verkeerd hebben getypt. Zonder dit valt een afzender die geen MX vindt terug op het A-record van de domeinnaam en probeert daar te bezorgen, wat trager en minder duidelijk is. Een null MX haalt dat giswerk weg. ## Wat betekent SPF v=spf1 -all? **Het is een TXT-record dat geen enkele afzender autoriseert, en het minteken laat elke controle falen.** RFC 7208 definieert het: `v=spf1` is de versietag, en `-all` is één directive waarin het mechanisme all altijd overeenkomt en de qualifier min fail teruggeeft. Samen stellen ze dat geen enkele host mail mag verzenden voor de naam. RFC 7208 stelt deze aanpak voor bij namen die niet in adressen worden gebruikt en van wie niet wordt verwacht dat ze mail verzenden. Publiceer het op de apex van elke defensieve domeinnaam. SPF wordt gecontroleerd voor de domeinnaam in de envelope-afzender of de HELO-naam, dus een spoofer kan ook een subdomein proberen dat u nooit hebt geconfigureerd. Een wildcard-TXT-record, dat geldt voor namen onder de domeinnaam die geen eigen records hebben, kan die afdekken. *De mailloze set voor een defensieve domeinnaam* ```dns example.com. 3600 IN MX 0 . example.com. 3600 IN TXT "v=spf1 -all" _dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s" ``` ## Wat voegt DMARC p=reject toe? **DMARC voegt het beleid en de rapportage toe: het zegt ontvangers mislukte mail te weigeren en laat u zien wie het probeert.** RFC 7489 plaatst het beleid als TXT-record op de naam _dmarc van de domeinnaam. De tag v moet vooraan staan en DMARC1 luiden, en p stelt het beleid in op none, quarantine of reject. De tag sp stelt het beleid voor subdomeinen in en, als die ontbreekt, geldt p ook voor hen. De tags adkim en aspf stellen strikte of ruime uitlijning in, en rua geeft adressen voor geaggregeerde rapporten. De RFC is voorzichtig over de kracht van p=reject: de eigenaar vraagt ontvangers te weigeren, en van ontvangers wordt verwacht dat ze hun best doen, maar ze zijn er niet strikt toe verplicht. Grote mailboxproviders volgen het in de praktijk, en daarom loont het om het record te publiceren. Om pogingen te zien, voegt u een meldadres toe, bijvoorbeeld `rua=mailto:dmarc@example.com`, op een mailbox die u leest. Voor een project met meerdere defensieve domeinnamen volstaat één meldmailbox voor allemaal. Houd een domeinnaam die wel mail verstuurt, zoals uw hoofddomein, op een beleid dat past bij de echte afzenders, en lees de geaggregeerde rapporten voordat u hem op reject zet. ## Wat kost het om een defensieve set te beschermen? **De drie records kosten bij Wardmint niets extra; de domeinen zijn de kosten.** Wardmint biedt een DNS-sjabloon "geen e-mail" (null MX, SPF -all, DMARC p=reject) zodat een defensief domein niet kan worden gebruikt om uw e-mail te vervalsen, gratis URL-doorverwijzing om elke variant naar uw hoofdsite te sturen en automatische verlenging vanaf uw saldo zodat geen enkele variant verloopt. Volgens het onderzoek van Wardmint van 12 november 2026 kosten de negen extensies in de phishing-set (.xyz, .pro, .info, .shop, .online, .icu, .click, .live en .support) samen $212.41 per jaar, of $637.23 over drie jaar, en kan elk de sjabloon zonder e-mail dragen. De kernset van .com, .net, .org, .io, .xyz, .app kost $128.94 per jaar. De sets zijn suggesties, geen pakketten: de namen gaan via de bulkzoekfunctie in het winkelmandje, tot 50 tegelijk. Pas de sjabloon toe op elk defensief domein dat geen webverkeer doorstuurt, en combineer het met [URL-doorstuurregels voor de domeinen die dat wel doen](https://wardmint.com/nl/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). De methode om de namen te kiezen staat in [hoe u een lijst van defensieve domeinen voor uw merk opstelt](https://wardmint.com/nl/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). ## Zo stopt u spoofing op een ongebruikte domeinnaam in vijf stappen 1. **Bevestig dat de domeinnaam geen mail verstuurt** — Controleer dat geen enkele dienst, nieuwsbrieftool of applicatie vanaf deze domeinnaam verstuurt. Doet er een dat wel, gebruik dit sjabloon dan niet. 2. **Publiceer de null MX** — Voeg een MX-record toe met voorkeur 0 en als doel één enkele punt, en verwijder elk ander MX-record. 3. **Publiceer het SPF-record** — Voeg een TXT-record toe op de apex met de waarde v=spf1 -all, en houd het als enige SPF-record. 4. **Publiceer het DMARC-record** — Voeg een TXT-record toe op _dmarc met v=DMARC1; p=reject, en een meldadres in rua als u rapporten wilt. 5. **Controleer de records** — Voer dig MX, dig TXT en dig TXT _dmarc uit op de domeinnaam en vergelijk de antwoorden met het sjabloon. *Controleer de drie records* ```bash dig MX example.com +short dig TXT example.com +short dig TXT _dmarc.example.com +short ``` ## Vragen over spoofing en ongebruikte domeinnamen ### Kan ik p=reject gebruiken zonder meldadres? Ja. De tag rua is optioneel, en zonder die tag sturen ontvangers geen geaggregeerde rapporten. Voeg er een toe als u pogingen wilt zien. ### Stopt een null MX spoofing op zichzelf? Nee. Hij voorkomt dat mail naar de domeinnaam wordt bezorgd. SPF en DMARC zijn wat ontvangers vertelt mail te wantrouwen die beweert ervan te komen. ### Moet mijn hoofddomein dezelfde records gebruiken? Nee. Een domeinnaam die mail verstuurt, heeft SPF en DKIM nodig voor zijn echte afzenders. Gebruik daar p=reject pas nadat u DMARC-rapporten hebt gelezen en elke afzender hebt uitgelijnd. ### Heb ik alle drie de records nodig op elke defensieve domeinnaam? Ja, op elke domeinnaam die geen mail verstuurt of ontvangt. Elk record dekt een ander deel van de controle, en het sjabloon van Wardmint publiceert ze samen. ### Kost het sjabloon extra? Nee. Het hoort bij de defensieve tools die bij de registratie zijn inbegrepen, naast gratis URL-doorverwijzing en automatische verlenging vanaf uw saldo. **Samengevat** - Een defensieve domeinnaam die geen mail verstuurt, heeft drie DNS-records nodig. - Null MX: voorkeur 0, doel een punt (RFC 7505), en geen ander MX-record. - SPF: v=spf1 -all, dat geen enkele afzender autoriseert (RFC 7208). - DMARC: v=DMARC1; p=reject op _dmarc, wat ontvangers vraagt mislukte mail te weigeren (RFC 7489). - Het e-mailloze sjabloon van Wardmint publiceert de drie records met één klik. - De negen extensies van de phisherset kosten $212.41 per jaar; het sjabloon is gratis. - Gebruik het sjabloon niet op een domeinnaam die echte mail verstuurt. ## Bronnen 1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (gelezen 2026-11-12) 2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (gelezen 2026-11-12) 3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (gelezen 2026-11-12) --- Wardmint: Wardmint registreert de defensieve domeinen die een cryptoproject nodig heeft — de eigen naam onder de extensies die phishers gebruiken, de eigen typfout- en look-alikevarianten — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Wardmint wordt beheerd door DomaineGoat LLC, een bedrijf dat in Panama is geregistreerd; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.