Cold email domeinen opzetten zonder je hoofddomein te verbranden

Een goede setup voor cold email heeft vijf onderdelen: je verstuurt nooit vanaf je hoofddomein, elk verzenddomein heeft precies één SPF-record, een DKIM-sleutel en een DMARC-record, elk domein krijgt een maximum aantal cold emails per dag, het domein heeft eigen nameservers en een echte website, en je controleert dat allemaal vóór de eerste mail en niet pas als de reacties uitblijven. Dat is het recept. Hieronder lees je hoe je elk onderdeel inricht, met welke aantallen ik werk, en wat er in 2026 misging met mijn eigen domeinen. Aan de tekst lag het niet.

Gecontroleerd tegen de documentatie van Google en Microsoft en de RFC’s op 20 oktober 2026.

Check eerst je domein

Voordat je iets aanpast: haal het domein waarvandaan je mailt (of wilt gaan mailen) door de gratis cold email domain checker. Die leest de openbare DNS uit en controleert zes dingen: of het domein antwoorden kan ontvangen (MX), of er precies één SPF-record is en hoeveel DNS-lookups dat kost, of er een DKIM-sleutel op de gangbare selectors staat (of op een selector die jij invult), wat het DMARC-record ontvangers vraagt te doen, of de domeinextensie er een is die filters minder vertrouwen, en of je op het punt staat cold email te sturen vanaf het domein van je eigen bedrijf. Bij alles wat faalt staat de oplossing erbij. De check draait in je browser en slaat niets op.

Kom daarna terug voor alles wat een DNS-check niet kan zien.

Verstuur nooit cold email vanaf je hoofddomein

Over je hoofddomein lopen je facturen, je offertes, je wachtwoordresets en elke reactie aan een betalende klant. Cold email is precies de activiteit waardoor een domein het snelst punten verliest: iemand klikt op “spam”, een lijst bounct, een filter vindt dat je op alle anderen lijkt. Gebeurt dat op je hoofddomein, dan krijgt juist de mail die je niet kunt missen de klap.

Dus cold email gaat via aparte domeinen. Microsoft geeft hetzelfde advies voor alle mail die je niet zelf in de hand hebt: de SPF-handleiding van Microsoft raadt een subdomein aan voor bulkmail, zodat problemen daarmee de reputatie van de mail van je medewerkers niet raken. Voor cold email ga ik een stap verder en gebruik ik losse geregistreerde domeinen, geen subdomeinen. Een subdomein deelt nog steeds de naam met het domein dat je wilt beschermen.

Zo kies ik ze:

• Zelfde merk, herkenbaar. getjouwmerk.com, jouwmerkhq.com, tryjouwmerk.nl. Wie je antwoord ziet, moet nog steeds snappen wie je bent.
• .com of .nl. Goedkope extensies zoals .online, .xyz, .top of .click zijn waar wegwerpverzenders zitten, en filters wegen dat mee. Het is geen blokkade, wel een achterstand vanaf dag één. Een van mijn eigen domeinen was een .online, en dat was ook het domein met de slechtste aflevering (waarom lees je hieronder, en de extensie was niet het enige probleem).
• Een echte website van één pagina erop. Geen kale doorverwijzing. Toen ik in augustus 2026 acht van mijn verzenddomeinen naliep, was elk domein met een eigen pagina schoon en stond elk domein dat dood was of alleen doorverwees op een lijst of presteerde slecht. Acht domeinen is weinig, en de domeinen op een lijst hadden ook andere problemen, dus zie het als patroon, niet als bewijs. Een pagina kost niks, dus dat risico neem ik niet.
• Eigen nameservers. Daar schrok ik zelf van, zie de fouten hieronder.

SPF, DKIM en DMARC in gewone taal

Drie DNS-records, drie taken:

• SPF zegt welke servers namens jouw domein mogen mailen. Het is één TXT-record dat begint met v=spf1. De specificatie is RFC 7208.
• DKIM zet een handtekening op elk bericht, zodat de ontvanger kan nagaan dat het van jou komt en onderweg niet is aangepast. Je provider bewaart de privésleutel, jij publiceert de publieke sleutel in DNS onder een zogenaamde selector. De specificatie is RFC 6376.
• DMARC vertelt ontvangers wat ze moeten doen als een bericht niet door SPF en DKIM komt, en waar ze rapporten heen sturen. Het staat op _dmarc.jouwdomein.nl. Sinds mei 2026 is DMARC een officiële IETF-standaard, RFC 9989, die de oude RFC 7489 vervangt. p=none is nog steeds een geldige instelling en de RFC raadt zelf aan daarmee te beginnen.

Zo zien de records eruit bij de twee providers die bijna elke B2B-verzender gebruikt. Vervang jouwdomein.nl door je verzenddomein.

Bronnen: de handleidingen van Google voor SPF en DKIM, en die van Microsoft voor SPF en DKIM. Over het einde van het SPF-record zijn ze het oneens: Google raadt ~all aan (soft fail), Microsoft -all (hard fail) zodra DKIM en DMARC staan. Voor cold email werken ze allebei. Volg de provider waar je mee verstuurt.

Ik begin met p=none plus een rua-adres, zodat de rapporten vanaf dag één binnenkomen. Na een paar weken rapporten waarin niets legitiems faalt, zet ik hem op p=quarantine. Microsoft adviseert in zijn eigen FAQ dezelfde volgorde: none, dan quarantine, dan reject.

De twee SPF-fouten die er in je DNS-paneel prima uitzien

Twee SPF-records. Iemand koppelt een nieuwe tool en de installatiewizard zet er een tweede v=spf1-record naast. Twee is niet dubbel zo veilig. Volgens RFC 7208 mag een domein er maar één hebben, en bij meer dan één geeft de controle een permanente fout. Ontvangers doen dan alsof je helemaal geen SPF hebt. Voeg ze samen tot één record.

Meer dan 10 lookups. RFC 7208, paragraaf 4.6.4: een SPF-controle stopt bij 10 DNS-lookups en geeft daarboven een permanente fout. Elke include: kost minstens één lookup, en de includes daarbinnen tellen mee. Vijf tools in één record kunnen al over de grens gaan zonder dat het record lang oogt. De checker telt ze voor je.

Wat Google en Microsoft echt eisen

De richtlijnen van Google voor verzenders gelden sinds februari 2024. Iedereen moet SPF of DKIM hebben, geldige forward en reverse DNS, TLS, en een spampercentage in Postmaster Tools onder de 0,3%. Wie meer dan 5.000 berichten per dag naar Gmail stuurt, heeft SPF én DKIM nodig, een DMARC-record (none is genoeg), een From-domein dat overeenkomt met het SPF- of DKIM-domein, en afmelden met één klik in marketingmail. Google raadt aan onder de 0,1% spam te blijven.

Microsoft kondigde in april 2025 dezelfde drie records aan voor domeinen die meer dan 5.000 mails per dag naar Outlook.com, Hotmail en Live sturen, met DMARC op minimaal p=none. Volgens het bericht gaat mail die niet voldoet eerst naar de map Ongewenst, en in een update staat dat die geweigerd wordt. Reken dus op allebei.

Een cold email domein met 25 mails per dag komt nergens in de buurt van 5.000. Ik richt het toch in alsof dat wel zo is: de records kosten tien minuten, en onder de grens blijven betekent niet dat de filters niet meer kijken.

Hoeveel mails per domein per dag

Ik hou maximaal 25 cold emails per domein per dag aan. Een vers domein begint daar ruim onder en gaat er elke week een paar per dag bij. Per mailbox is dat zo’n 5 per dag, met vijf mailboxen op een domein.

Waarom per domein en niet per mailbox: filters houden reputatie bij per domein en per verzendend IP-adres. Google zegt het letterlijk in zijn richtlijnen: het volgt volume, feedback en limieten per domein en IP-adres. Tien mailboxen op één domein die elk 10 mails sturen zijn geen tien kleine verzenders. Het is één domein dat er 100 per dag stuurt. Meer mailboxen geven je alleen meer capaciteit als je er ook domeinen bij neemt.

Waar die 25 vandaan komt: in mijn deliverability-audit van oktober 2026 vergeleek ik domeinen met dezelfde lijst, dezelfde tekst en dezelfde infrastructuur. De domeinen met zo’n 220 cold emails per week brandden op. De domeinen met 75 tot 140 per week bleven gezond. 25 per dag is hooguit 125 per week, en dat valt binnen wat standhield. Google en Microsoft publiceren geen limiet voor cold email, dus dit is mijn werkafspraak en geen norm. Noemt iemand je een hard getal als feit, vraag dan waar het vandaan komt.

En wat het je oplevert: in mijn cold outreach benchmarks reageerde 4,2% van de mensen die we koud mailden, 2,07% per afgeleverde mail, en dat is vanaf domeinen die alles op deze pagina doorstonden. De setup zorgt dat je in de inbox een eerlijke kans krijgt. Wat je daar zegt, is een ander verhaal.

De fouten waardoor mijn domeinen op een lijst kwamen

In 2026 gingen een paar van mijn verzenddomeinen onderuit, en ik dacht wat iedereen denkt: het ligt aan de tekst. Ik herschreef hem. Er veranderde niks. Dus deed ik een echte audit en testte ik de tekst als eerste: de live mail scoorde 10/10 op mail-tester, en exact dezelfde mail kwam vanaf het ene domein prima aan en vanaf het andere slecht. Het lag dus niet aan de tekst. Dit was het wel:

Warm-up: wat het wel en niet oplost

Een warm-up-tool stuurt mail van je nieuwe mailbox naar een netwerk van andere mailboxen, die de berichten openen, beantwoorden en uit spam halen. Zo krijgt een nieuw domein een geschiedenis van mail waar mensen iets mee doen. Daarom warm ik elke nieuwe mailbox een paar weken op voordat er één cold email vanaf gaat.

Wat het niet doet: je cold email meten. Een warm-up-score vertelt je of je warm-up-mail aankomt. Drie van mijn domeinen stonden op 100% warm-up-reputatie terwijl ze op SURBL stonden. En warm-up repareert geen ontbrekend DMARC-record, geen gedeelde nameserver, geen slechte lijst en geen 200 mails per dag vanaf één domein. Kijk je alleen naar warm-up, dan hoor je het echte probleem pas via je reactiepercentage.

Een bouncepercentage van 0% bewijst ook niks. Een blocklist verandert vooral wáár je mail landt, niet of hij terugkomt.

Zo check je het zelf

• DNS: de domain checker, voor SPF, DKIM, DMARC, MX en het aantal lookups.
• Het echte oordeel over een echte mail: stuur een testmail naar een Gmail-adres, open hem, kies “Origineel weergeven” en zoek naar spf=pass, dkim=pass en dmarc=pass. Dat is wat de ontvanger echt concludeerde, en dat zegt meer dan elke DNS-check.
• Blocklists: zoek het domein op bij Spamhaus en SURBL, via hun eigen sites. Check elk verzenddomein, niet alleen het domein dat raar doet.
• Reputatie door de tijd: zet elk verzenddomein in Google Postmaster Tools. Daar zie je het spampercentage waar Google je op afrekent, zodra je genoeg verstuurt om er data te krijgen.
• DMARC-rapporten: op het rua-adres komen dagelijks rapporten binnen over wie er namens jouw domein mailde en of dat goed ging. Lees ze voordat je de policy strenger zet.

Checklist

Maak er een screenshot van.

1. Cold email gaat nooit de deur uit vanaf het domein waar je bedrijf op draait.
2. Verzenddomeinen zijn .com of .nl, herkenbaar als je merk, geen tikfout ervan.
3. Elk verzenddomein heeft een eigen pagina, geen kale doorverwijzing.
4. Elk verzenddomein heeft eigen nameservers, geen paar dat het deelt met andere cold email domeinen.
5. Precies één SPF-record, onder de 10 DNS-lookups.
6. DKIM aan, op de selector die je provider geeft, waar mogelijk 2048 bits.
7. Eén DMARC-record met p=none en een rua-adres om mee te beginnen, quarantine zodra de rapporten schoon zijn.
8. Nieuwe mailboxen warmen een paar weken op voor de eerste cold email.
9. Maximaal 25 cold emails per domein per dag, zo’n 5 per mailbox, langzaam opgebouwd.
10. Een testmail laat spf, dkim en dmarc pass zien, en elk domein wordt elke week gecheckt op Spamhaus en SURBL.

Mail je naar Nederlandse bedrijven, dan is de techniek maar de helft. Of je die mail überhaupt mag sturen, regelt de Telecommunicatiewet, en die is strenger dan de meeste founders denken. Ik zette het op een rij met de echte wetsartikelen in koude acquisitie per e-mail: wat mag wel en niet. Wil je dit liever helemaal niet zelf draaien, dan zit het in de outbound-machine die ik voor founders draai.

Twijfel je of je setup veilig is? Ik neem gratis een video-audit van 10 minuten op over je domeinen, je verzendsetup en je outbound, met wat je als eerste moet repareren. Vraag je gratis video-audit aan.

Wouter van de Velde

Oprichter van Sell Successfully. 14 jaar in sales, waarvan 8 in B2B SaaS, en €4M+ omzet gegenereerd als operator en adviseur. Nu bouw ik salessystemen voor Nederlandse en Europese SaaS-founders die liever product bouwen. Meer over mij · LinkedIn