Moet mijn bedrijf elke controle hier doorstaan onder NIS2?

NIS2 (richtlijn (EU) 2022/2555, art. 21(2) [11]) noemt SPF, DMARC of DNSSEC niet specifiek. Ze vereist risicogebaseerde cyberbeveiligingsmaatregelen, en de meeste CyFun-maatregelensets van het CCB verwachten versleuteling in transit (gedekt door HTTPS, HSTS, MTA-STS en CAA) en een kanaal voor kwetsbaarheidsmelding (waarvoor security.txt dient).

Is dit een volledige beveiligingsaudit?

Nee. Het controleert een specifieke set publieke DNS- en HTTPS-records en -headers, een klein deel van een CyFun- of NIS2-conformiteitsbeoordeling, niet het geheel. Slagen op elke controle hier betekent niet dat het domein, of de organisatie erachter, compliant is.

Waarom zegt DKIM "mislukt" terwijl mail een werkende handtekening heeft?

De DKIM-controle kijkt enkel onder vijf gangbare selectornamen (google, selector1, selector2, default, k1). Een mailprovider met een andere selector toont hier een mislukte controle ook al is DKIM correct ingesteld. Dat staat rechtstreeks bij het resultaat.

Bewaart dit de domeinen die mensen controleren?

Nee. Het resultaat wordt kort gecachet om dezelfde opzoekingen niet opnieuw te doen, en elke oproep wordt enkel voor ratelimiting gelogd tegen het IP-adres van de aanvrager. Geen domein, e-mailadres of resultaat wordt daarna bewaard.

Mag ik iemand anders’ domein controleren, zoals dat van een prospect?

Ja. Elke controle hier leest enkel publieke DNS- en HTTP-antwoorden, dezelfde informatie die elke browser of mailserver al ziet, dus er is niets te machtigen.

Wat als het CCB de CyFun-catalogus wijzigt of NIS2 wordt aangepast?

De CyFun-maatregel-id’s hier worden gecontroleerd tegen de eigen catalogus van het CCB (packages/api/src/frameworks/cyfun/controls.yaml) en de NIS2-art.-21(2)-letters tegen richtlijn (EU) 2022/2555 [11] rechtstreeks, beide herverifieerd telkens een van de bronnen wijzigt, niet eenmalig overgetypt.

← Gratis tools

GRATIS TOOL

Is dit domein beveiligd tegen e-mailvervalsing?

Deze gratis tool controleert in ongeveer tien seconden de SPF-, DMARC-, DKIM-, DNSSEC-, CAA-, MTA-STS-, TLS-RPT-, MX- en HTTPS/HSTS-records van een domein, zonder registratie. Ze toont of het domein vervalst kan worden in e-mail, of zijn DNS vervalst kan worden, en of het versleutelde verbindingen afdwingt, elk gekoppeld aan een CyFun-maatregel en een NIS2-plicht.

Door Tom Janssens · Oprichter, Easy Cyber Protection · Laatst nagekeken 3 november 2026 · Hoe wij dit schrijven

Wat controleert deze domein security check?

SPF: Vermeldt welke mailservers e-mail mogen versturen namens dit domein.; Ontbrekende of foutieve SPF betekent dat iedereen e-mail kan versturen die van dit domein lijkt te komen. RFC 7208 [1] beperkt SPF ook tot 10 DNS-opzoekingen; daarboven passeren ontvangers de controle sowieso niet.
DMARC: Zegt aan ontvangende mailservers wat te doen met e-mail die authenticatie niet doorstaat.; Geen DMARC-beleid (RFC 7489 [2]) betekent dat vervalste e-mail toch de inbox bereikt, ook als SPF of DKIM bestaan.
DKIM: Een cryptografische handtekening (RFC 6376 [3]) op uitgaande mail, gecontroleerd onder vijf gangbare providernamen.; Dit sluit alleen de meest gangbare selectors uit, niet elke DKIM-opstelling. Een andere selectornaam is een vals alarm, geen echt probleem.
DNSSEC: Ondertekent DNS-antwoorden voor het domein cryptografisch (RFC 4035 [4]).; Zonder DNSSEC kan een aanvaller op netwerkniveau vervalste DNS-antwoorden aan bezoekers tonen.
CAA: Beperkt welke certificaatautoriteiten een TLS-certificaat voor dit domein mogen uitgeven (RFC 8659 [5]).; Zonder CAA kan elke publieke certificaatautoriteit een certificaat voor het domein uitgeven.
MTA-STS: Zegt aan andere mailservers een versleutelde, geauthenticeerde verbinding te eisen bij het afleveren van mail hier (RFC 8461 [6]).; Zonder MTA-STS kan binnenkomende mail stilzwijgend worden teruggeschakeld naar platte tekst.
TLS-RPT: Vraagt een rapport telkens een andere mailserver geen TLS kan onderhandelen naar dit domein (RFC 8460 [7]).; Zonder TLS-RPT kan een kapotte mailversleutelingsopstelling onopgemerkt blijven.
MX: De mailservers die e-mail voor dit domein verwerken.; Ontbrekende MX betekent dat het domein helemaal geen mail kan ontvangen. Dat is normaal voor een domein dat enkel via een ander domein verstuurt.
HTTPS (apex en www): Of de site veilig antwoordt op zowel het kale domein als het www.-adres.; Een domein dat niet via HTTPS antwoordt, kan niet veilig bereikt worden door bezoekers.
HTTP → HTTPS-redirect en HSTS: Of gewoon http:// wordt doorgestuurd naar https://, en of de site een voldoende lange Strict-Transport-Security-header stuurt (RFC 6797 [8]).; Zonder beide kan een bezoeker op een onversleutelde verbinding blijven, of ernaar worden terugverwezen.
security.txt: Een standaardbestand (RFC 9116 [9]) dat beveiligingsonderzoekers zegt hoe ze een kwetsbaarheid kunnen melden.; Zonder dit bestand heeft wie een lek vindt geen officieel kanaal om dit verantwoord te melden.

Geen enkele CyFun-maatregel dekt SPF, DMARC of DKIM, en geen enkele dekt DNSSEC [10]. Gepubliceerde SPF-, DMARC- en DKIM-records zijn ondersteunend bewijs voor PR.PS-05.1 (web- en e-mailfilters geïnstalleerd en gebruikt). De controles voor versleuteling in transit (HTTPS, HSTS, MTA-STS, TLS-RPT, CAA) koppelen aan GV.PO-01.2, waarvan het beleid cryptografie en versleuteling moet dekken.

De volledige maatregelencatalogus staat op de pagina over CyFun-maatregelen, en wat de wet precies vraagt op de pagina over NIS2-vereisten.

Hoe ziet een typisch resultaat eruit?

Een domein dat nieuwsbrieven verstuurt via een marketingplatform maar zijn DNS nooit heeft aangeraakt buiten het oorspronkelijke MX-record, faalt doorgaans rechtstreeks op SPF, DMARC en DKIM (er is nooit iets gepubliceerd), slaagt op MX (mail komt nog aan), en slaagt vaak op HTTPS omdat het hostingplatform dit standaard afdwingt. Die combinatie, moderne hosting zonder e-mailauthenticatierecords, is het meest voorkomende patroon dat deze tool blootlegt.

Voor MSP’s: elke bevinding hier kan je op het scherm tonen aan een prospect, in minder dan een minuut, zonder tool aan hun kant: een manier om een NIS2- of CyFun-gesprek te openen, of een snelle check voor een beheerde-mail- of beheerde-DNS-opdracht.

Dit draaien voor het hele klantenbestand van een MSP?

ECP voert de volledige CyFun-beoordeling uit, onder toezicht van een conformiteitsbeoordelingsinstantie, voor elke klant die een MSP beheert, waarvan deze domeincheck een klein deel is.

Bekijk hoe ECP werkt voor MSP’s →

Kan ik dit op mijn eigen site plaatsen?

Een insluitbare, chromeloze versie van deze tool is beschikbaar voor MSP’s om op hun eigen website te plaatsen, zodat een bezoeker de controle uitvoert zonder de pagina te verlaten.

Kopieer dit in je pagina:

<iframe src="https://easycyberprotection.com/embed/domain-check?lang=nl" style="width:100%;max-width:640px;height:720px;border:0" loading="lazy" title="Controle van e-mail- en websitebeveiliging voor je domein (SPF, DMARC, DKIM, DNSSEC, HTTPS)"></iframe>

Zo ziet het eruit op je website (een live voorbeeld, probeer het):

jouwbedrijf.be/beveiligingscheck

Jouw bedrijf

Veelgestelde vragen

Moet mijn bedrijf elke controle hier doorstaan onder NIS2?: NIS2 (richtlijn (EU) 2022/2555, art. 21(2) [11]) noemt SPF, DMARC of DNSSEC niet specifiek. Ze vereist risicogebaseerde cyberbeveiligingsmaatregelen, en de meeste CyFun-maatregelensets van het CCB verwachten versleuteling in transit (gedekt door HTTPS, HSTS, MTA-STS en CAA) en een kanaal voor kwetsbaarheidsmelding (waarvoor security.txt dient).
Is dit een volledige beveiligingsaudit?: Nee. Het controleert een specifieke set publieke DNS- en HTTPS-records en -headers, een klein deel van een CyFun- of NIS2-conformiteitsbeoordeling, niet het geheel. Slagen op elke controle hier betekent niet dat het domein, of de organisatie erachter, compliant is.
Waarom zegt DKIM "mislukt" terwijl mail een werkende handtekening heeft?: De DKIM-controle kijkt enkel onder vijf gangbare selectornamen (google, selector1, selector2, default, k1). Een mailprovider met een andere selector toont hier een mislukte controle ook al is DKIM correct ingesteld. Dat staat rechtstreeks bij het resultaat.
Bewaart dit de domeinen die mensen controleren?: Nee. Het resultaat wordt kort gecachet om dezelfde opzoekingen niet opnieuw te doen, en elke oproep wordt enkel voor ratelimiting gelogd tegen het IP-adres van de aanvrager. Geen domein, e-mailadres of resultaat wordt daarna bewaard.
Mag ik iemand anders’ domein controleren, zoals dat van een prospect?: Ja. Elke controle hier leest enkel publieke DNS- en HTTP-antwoorden, dezelfde informatie die elke browser of mailserver al ziet, dus er is niets te machtigen.
Wat als het CCB de CyFun-catalogus wijzigt of NIS2 wordt aangepast?: De CyFun-maatregel-id’s hier worden gecontroleerd tegen de eigen catalogus van het CCB (packages/api/src/frameworks/cyfun/controls.yaml) en de NIS2-art.-21(2)-letters tegen richtlijn (EU) 2022/2555 [11] rechtstreeks, beide herverifieerd telkens een van de bronnen wijzigt, niet eenmalig overgetypt.

Andere gratis tools

CyFun-maatregelencatalogus · Wat NIS2 art. 21(2) vereist · Basis van e-mailbeveiliging

Gebruik dit bij je klanten

#CYBERLEARN

Train het team: Basis

Bekijk de opleiding →