MTA-STS, TLS-RPT en BIMI: de volgende stappen na DMARC

Expert⏱ 4 min leestijdBijgewerkt op 13 oktober 2026

SPF, DKIM en DMARC bewijzen wie een bericht verstuurde. Ze zeggen niets over of het versleuteld onderweg was, en niets over hoe het eruitziet in de inbox. Drie nieuwere standaarden vullen die gaten: MTA-STS laat andere servers alleen via gecontroleerde TLS bij je afleveren, TLS-RPT meldt wanneer dat misgaat, en BIMI zet je logo naast geauthenticeerde mail. Elk is een TXT-record plus één ander onderdeel.

MTA-STS: versleuteld afleveren of niet

Mailservers versleutelen met STARTTLS als beide kanten het ondersteunen, maar vallen terug op platte tekst als het aanbod ontbreekt — en een aanvaller onderweg kan het weghalen. MTA-STS (RFC 8461) publiceert een belofte: „mijn MX-hosts hebben altijd geldige certificaten; lever niet af zonder TLS”. Daarvoor zijn een DNS-record en een klein tekstbestand op een webserver nodig:

; announces the policy; change id whenever the policy file changes
_mta-sts.example.com.  3600 IN TXT   "v=STSv1; id=20261013T1200"
; the web host that serves the policy file over HTTPS
mta-sts.example.com.   3600 IN CNAME static-host.example.

# https://mta-sts.example.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: aspmx.l.google.com
mx: *.aspmx.l.google.com
max_age: 604800

mode: testing meldt fouten maar levert toch af; enforce weigert af te leveren zonder geldige TLS; none trekt het beleid in.
mx: één regel per MX-host, precies zoals in je MX-records. Een *. vooraan matcht één label, voor providers met veel hosts.
max_age: hoe lang afzenders het beleid in de cache houden, in seconden. Een week (604800) tijdens het testen; enkele maanden zodra het stabiel is.

Zorg voor een geldig certificaat voor mta-sts.example.com en publiceer het bestand op /.well-known/mta-sts.txt — elke statische hosting volstaat.
Publiceer _mta-sts met een nieuwe id (een tijdstempel is handig).
Voeg het TLS-RPT-record uit de volgende sectie toe en draai twee tot vier weken in testing.
Zijn de rapporten schoon, zet mode dan op enforce en werk de id bij.

Pas op: Afzenders bewaren het beleid gedurende max_age. Wissel je onder een enforce-beleid van MX-hosts zonder eerst het bestand en de id bij te werken, dan weigeren servers met het beleid in de cache af te leveren bij de nieuwe hosts. Werk het beleid bij vóór de MX-records, niet erna.

TLS-RPT: rapporten over mislukte versleuteling

TLS-RPT (RFC 8460) vraagt verzendende servers om je dagelijks een samenvatting te sturen van hun TLS-verbindingen met je mailservers: hoeveel er lukten en waarom de rest mislukte — verlopen certificaat, verkeerde naam, geen STARTTLS, fout bij het ophalen van het beleid.

_smtp._tls.example.com. 3600 IN TXT "v=TLSRPTv1; rua=mailto:[email protected]"

Google, Microsoft en andere grote providers sturen deze rapporten als JSON-bestanden. Het record alleen verandert niets aan de aflevering, dus je kunt het veilig als eerste publiceren. Met MTA-STS in testing zie je hieraan of enforce iets zou breken.

BIMI: je logo in de inbox

BIMI (Brand Indicators for Message Identification) laat ondersteunende mailboxen je logo tonen in plaats van een beginletter naast berichten die voor DMARC slagen. Het record verwijst naar het logo en meestal naar een certificaat dat bewijst dat je het mag gebruiken:

default._bimi.example.com. 3600 IN TXT "v=BIMI1; l=https://example.com/bimi/logo.svg; a=https://example.com/bimi/vmc.pem"

DMARC moet worden gehandhaafd: p=quarantine of p=reject op het domein, zonder pct onder 100 en zonder sp=none.
Het logo is een vierkante SVG in het beperkte profiel „SVG Tiny Portable/Secure”, geserveerd via HTTPS. Een gewone SVG-export wordt meestal geweigerd.
Gmail toont het logo alleen met een certificaat: een VMC (Verified Mark Certificate), waarvoor een geregistreerd merk nodig is, of een CMC (Common Mark Certificate), waarvoor het logo minstens een jaar in gebruik moet zijn. Yahoo kan het ook zonder tonen.

Let op: De certificaten worden door een paar certificaatautoriteiten uitgegeven en kosten van enkele honderden tot ruim duizend dollar per jaar. BIMI is een brandingfunctie — het verbetert de aflevering niet vanzelf, en DMARC-handhaving levert de beveiligingswinst met of zonder BIMI.

In welke volgorde

SPF, DKIM en DMARC met p=none en rapporten (zie DMARC instellen).
TLS-RPT — gratis, onschadelijk en vanaf dag één leerzaam.
MTA-STS in testing, daarna enforce zodra de TLS-rapporten schoon zijn.
DMARC naar p=quarantine en daarna naar p=reject.
BIMI, als een logo in de inbox je het certificaat waard is.

Tip: Is je domein met DNSSEC ondertekend en ondersteunt je mailprovider het, dan geeft DANE (TLSA-records, RFC 7672) dezelfde bescherming als MTA-STS zonder webserver, en veel Europese providers controleren het. Beide kunnen naast elkaar draaien.

De e-mailbeveiliging van je domein controleren →Verder: DMARC instellen →

Veelgestelde vragen

Heb ik MTA-STS nodig als ik Google Workspace of Microsoft 365 gebruik?

Die versleutelen standaard, maar MTA-STS houdt een afzender tegen die terugvalt op platte tekst als een aanvaller STARTTLS weghaalt. Jij publiceert het voor je domein; de certificaten van de provider voldoen al aan de eis.

Waarom wordt mijn MTA-STS-beleid niet toegepast?

Meestal is het beleidsbestand niet bereikbaar via HTTPS met een geldig certificaat voor mta-sts.<jouw domein>, passen de mx-regels niet bij de MX-records, of is de id na een wijziging niet aangepast.

Heeft TLS-RPT zin zonder MTA-STS?

Ja. Het toont TLS-fouten op verbindingen met je mailservers, of je nu een beleid publiceert of niet, en het is de veilige eerste stap.

Kan ik BIMI gebruiken zonder VMC?

Het record werkt zonder certificaat, maar Gmail toont het logo dan niet. Zonder geregistreerd merk is een CMC het goedkopere alternatief.

Probeer het op je domein

Zie de theorie in de praktijk — voer E-mailbeveiligingscontrole uit voor je eigen domein.

Bijgewerkt op 13 oktober 2026

Bronnen