# Cold email domeinen opzetten zonder je hoofddomein te verbranden > Hoe ik de domeinen voor B2B cold email inricht: aparte domeinen, SPF, DKIM en DMARC die echt kloppen, een daglimiet per domein, en de fouten waardoor mijn eigen domeinen op een blocklist kwamen. Source: https://sellsuccessfully.io/nl/blog/cold-email-domain-setup/ Published: 2026-10-20 Author: Wouter van de Velde, Sell Successfully Een goede setup voor cold email heeft vijf onderdelen: je verstuurt nooit vanaf je hoofddomein, elk verzenddomein heeft precies één SPF-record, een DKIM-sleutel en een DMARC-record, elk domein krijgt een maximum aantal cold emails per dag, het domein heeft eigen nameservers en een echte website, en je controleert dat allemaal vóór de eerste mail en niet pas als de reacties uitblijven. Dat is het recept. Hieronder lees je hoe je elk onderdeel inricht, met welke aantallen ik werk, en wat er in 2026 misging met mijn eigen domeinen. Aan de tekst lag het niet. Gecontroleerd tegen de documentatie van Google en Microsoft en de RFC's op 20 oktober 2026. ## Check eerst je domein Voordat je iets aanpast: haal het domein waarvandaan je mailt (of wilt gaan mailen) door de gratis cold email domain checker . Die leest de openbare DNS uit en controleert zes dingen: of het domein antwoorden kan ontvangen (MX), of er precies één SPF-record is en hoeveel DNS-lookups dat kost, of er een DKIM-sleutel op de gangbare selectors staat (of op een selector die jij invult), wat het DMARC-record ontvangers vraagt te doen, of de domeinextensie er een is die filters minder vertrouwen, en of je op het punt staat cold email te sturen vanaf het domein van je eigen bedrijf. Bij alles wat faalt staat de oplossing erbij. De check draait in je browser en slaat niets op. Kom daarna terug voor alles wat een DNS-check niet kan zien. ## Verstuur nooit cold email vanaf je hoofddomein Over je hoofddomein lopen je facturen, je offertes, je wachtwoordresets en elke reactie aan een betalende klant. Cold email is precies de activiteit waardoor een domein het snelst punten verliest: iemand klikt op "spam", een lijst bounct, een filter vindt dat je op alle anderen lijkt. Gebeurt dat op je hoofddomein, dan krijgt juist de mail die je niet kunt missen de klap. Dus cold email gaat via aparte domeinen. Microsoft geeft hetzelfde advies voor alle mail die je niet zelf in de hand hebt: de SPF-handleiding van Microsoft raadt een subdomein aan voor bulkmail, zodat problemen daarmee de reputatie van de mail van je medewerkers niet raken. Voor cold email ga ik een stap verder en gebruik ik losse geregistreerde domeinen, geen subdomeinen. Een subdomein deelt nog steeds de naam met het domein dat je wilt beschermen. Zo kies ik ze: - Zelfde merk, herkenbaar. getjouwmerk.com, jouwmerkhq.com, tryjouwmerk.nl. Wie je antwoord ziet, moet nog steeds snappen wie je bent. - .com of .nl. Goedkope extensies zoals .online, .xyz, .top of .click zijn waar wegwerpverzenders zitten, en filters wegen dat mee. Het is geen blokkade, wel een achterstand vanaf dag één. Een van mijn eigen domeinen was een .online, en dat was ook het domein met de slechtste aflevering (waarom lees je hieronder, en de extensie was niet het enige probleem). - Een echte website van één pagina erop. Geen kale doorverwijzing. Toen ik in augustus 2026 acht van mijn verzenddomeinen naliep, was elk domein met een eigen pagina schoon en stond elk domein dat dood was of alleen doorverwees op een lijst of presteerde slecht. Acht domeinen is weinig, en de domeinen op een lijst hadden ook andere problemen, dus zie het als patroon, niet als bewijs. Een pagina kost niks, dus dat risico neem ik niet. - Eigen nameservers. Daar schrok ik zelf van, zie de fouten hieronder. Lijkt-op-domeinen snijden aan twee kanten: Een verzenddomein dat één letter afwijkt van je merk kan op phishing lijken, voor een filter en voor een oplettende prospect. Kies een variant die bewust oogt (iets ervoor of erachter), geen tikfout van je echte domein. ## SPF, DKIM en DMARC in gewone taal Drie DNS-records, drie taken: - SPF zegt welke servers namens jouw domein mogen mailen. Het is één TXT-record dat begint met v=spf1 . De specificatie is RFC 7208 . - DKIM zet een handtekening op elk bericht, zodat de ontvanger kan nagaan dat het van jou komt en onderweg niet is aangepast. Je provider bewaart de privésleutel, jij publiceert de publieke sleutel in DNS onder een zogenaamde selector. De specificatie is RFC 6376 . - DMARC vertelt ontvangers wat ze moeten doen als een bericht niet door SPF en DKIM komt, en waar ze rapporten heen sturen. Het staat op dmarc.jouwdomein.nl . Sinds mei 2026 is DMARC een officiële IETF-standaard, RFC 9989 , die de oude RFC 7489 vervangt. p=none is nog steeds een geldige instelling en de RFC raadt zelf aan daarmee te beginnen. Zo zien de records eruit bij de twee providers die bijna elke B2B-verzender gebruikt. Vervang jouwdomein.nl door je verzenddomein. SPF (TXT op het domein) | v=spf1 include:spf.google.com ~all | v=spf1 include:spf.protection.outlook.com -all | DKIM | TXT op google.domainkey , aan te maken in de Admin-console onder Apps, Google Workspace, Gmail (in de Engelse versie: Authenticate email). Kies 2048 bits als je DNS-host dat ondersteunt. | Twee CNAME-records, selector1.domainkey en selector2.domainkey . Neem de waarden exact over uit de Defender-portal, ze zijn uniek per tenant. | DMARC (TXT op dmarc) | v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl | Bronnen: de handleidingen van Google voor SPF en DKIM , en die van Microsoft voor SPF en DKIM . Over het einde van het SPF-record zijn ze het oneens: Google raadt ~all aan (soft fail), Microsoft -all (hard fail) zodra DKIM en DMARC staan. Voor cold email werken ze allebei. Volg de provider waar je mee verstuurt. Ik begin met p=none plus een rua -adres, zodat de rapporten vanaf dag één binnenkomen. Na een paar weken rapporten waarin niets legitiems faalt, zet ik hem op p=quarantine . Microsoft adviseert in zijn eigen FAQ dezelfde volgorde: none, dan quarantine, dan reject. ## De twee SPF-fouten die er in je DNS-paneel prima uitzien Twee SPF-records. Iemand koppelt een nieuwe tool en de installatiewizard zet er een tweede v=spf1 -record naast. Twee is niet dubbel zo veilig. Volgens RFC 7208 mag een domein er maar één hebben, en bij meer dan één geeft de controle een permanente fout. Ontvangers doen dan alsof je helemaal geen SPF hebt. Voeg ze samen tot één record. Meer dan 10 lookups. RFC 7208, paragraaf 4.6.4: een SPF-controle stopt bij 10 DNS-lookups en geeft daarboven een permanente fout. Elke include: kost minstens één lookup, en de includes daarbinnen tellen mee. Vijf tools in één record kunnen al over de grens gaan zonder dat het record lang oogt. De checker telt ze voor je. ## Wat Google en Microsoft echt eisen De richtlijnen van Google voor verzenders gelden sinds februari 2024. Iedereen moet SPF of DKIM hebben, geldige forward en reverse DNS, TLS, en een spampercentage in Postmaster Tools onder de 0,3%. Wie meer dan 5.000 berichten per dag naar Gmail stuurt, heeft SPF én DKIM nodig, een DMARC-record ( none is genoeg), een From-domein dat overeenkomt met het SPF- of DKIM-domein, en afmelden met één klik in marketingmail. Google raadt aan onder de 0,1% spam te blijven. Microsoft kondigde in april 2025 dezelfde drie records aan voor domeinen die meer dan 5.000 mails per dag naar Outlook.com, Hotmail en Live sturen, met DMARC op minimaal p=none . Volgens het bericht gaat mail die niet voldoet eerst naar de map Ongewenst, en in een update staat dat die geweigerd wordt. Reken dus op allebei. Een cold email domein met 25 mails per dag komt nergens in de buurt van 5.000. Ik richt het toch in alsof dat wel zo is: de records kosten tien minuten, en onder de grens blijven betekent niet dat de filters niet meer kijken. ## Hoeveel mails per domein per dag - 25 cold emails per domein per dag: Mijn werklimiet, over alle mailboxen op dat domein samen - 5 per mailbox per dag: Vijf mailboxen per domein, elk 5 mails - 10 DNS-lookups: De harde SPF-grens uit RFC 7208 Ik hou maximaal 25 cold emails per domein per dag aan. Een vers domein begint daar ruim onder en gaat er elke week een paar per dag bij. Per mailbox is dat zo'n 5 per dag, met vijf mailboxen op een domein. Waarom per domein en niet per mailbox: filters houden reputatie bij per domein en per verzendend IP-adres. Google zegt het letterlijk in zijn richtlijnen: het volgt volume, feedback en limieten per domein en IP-adres. Tien mailboxen op één domein die elk 10 mails sturen zijn geen tien kleine verzenders. Het is één domein dat er 100 per dag stuurt. Meer mailboxen geven je alleen meer capaciteit als je er ook domeinen bij neemt. Waar die 25 vandaan komt: in mijn deliverability-audit van oktober 2026 vergeleek ik domeinen met dezelfde lijst, dezelfde tekst en dezelfde infrastructuur. De domeinen met zo'n 220 cold emails per week brandden op. De domeinen met 75 tot 140 per week bleven gezond. 25 per dag is hooguit 125 per week, en dat valt binnen wat standhield. Google en Microsoft publiceren geen limiet voor cold email, dus dit is mijn werkafspraak en geen norm. Noemt iemand je een hard getal als feit, vraag dan waar het vandaan komt. En wat het je oplevert: in mijn cold outreach benchmarks reageerde 4,2% van de mensen die we koud mailden, 2,07% per afgeleverde mail, en dat is vanaf domeinen die alles op deze pagina doorstonden. De setup zorgt dat je in de inbox een eerlijke kans krijgt. Wat je daar zegt, is een ander verhaal. ## De fouten waardoor mijn domeinen op een lijst kwamen In 2026 gingen een paar van mijn verzenddomeinen onderuit, en ik dacht wat iedereen denkt: het ligt aan de tekst. Ik herschreef hem. Er veranderde niks. Dus deed ik een echte audit en testte ik de tekst als eerste: de live mail scoorde 10/10 op mail-tester, en exact dezelfde mail kwam vanaf het ene domein prima aan en vanaf het andere slecht. Het lag dus niet aan de tekst. Dit was het wel: - Een domein zonder SPF, zonder DKIM en zonder DMARC. Er hingen 12 mailboxen aan. De warm-up-reputatie bleef hangen op 58 tot 75%, terwijl elk goed ingericht domein op 99 tot 100% stond. De DNS-host had een wildcard-record dat op elke vraag antwoord gaf, waardoor twee eerdere checks "DKIM aanwezig" opleverden. Kijk dus naar de echte TXT-waarde, niet alleen of er iets antwoordt. - Gedeelde nameservers. Van acht verzenddomeinen die ik in augustus 2026 naliep, waren de vier met een eigen groep nameservers schoon op SURBL. De vier op nameserverparen die ze deelden met andere cold email domeinen stonden alle vier op de lijst, wegens misbruik. Zelfde team, zelfde tekst. Koop je domeinen in bulk via een goedkope DNS-host, dan kunnen ze nameservers delen met wegwerpdomeinen van wildvreemden, en dat is een vingerafdruk. - Mailboxen die niet waren wat ik had gekocht. Een partij mailboxen die als Google-accounts werd verkocht, verstuurde in werkelijkheid via de eigen SMTP-servers van de leverancier. Ze haalden 31% spam in de warm-up voordat er één cold email was verstuurd. Bekijk de headers van een testmail en kijk via welke servers hij echt vertrok. - Te veel mails per domein. De 220 per week tegenover 75 tot 140, zie hierboven. - Opnieuw mailen naar mensen die al een hele reeks hadden gehad. Een "retarget"-campagne op leads die alle stappen al hadden ontvangen, liep sterk gelijk op met plaatsing in spam. Wie vier mails negeert, meldt de vijfde als spam. - Te veel catch-all-adressen. Een catch-all-domein accepteert mail voor elk adres, dus verificatie kan je niet vertellen of je contactpersoon bestaat. Lijsten die voor de helft uit catch-all bestonden deden het slechter dan lijsten die vrijwel volledig geverifieerd waren. Repareer in deze volgorde: Eerst weg van gedeelde nameservers, dan een echte pagina op het domein, dan SPF, DKIM en DMARC, en pas daarna een blocklist vragen om je eraf te halen. Andersom kom je er gewoon weer op. Delisten kan weken duren, dus bij een goedkoop verzenddomein is vervangen vaak sneller dan redden. ## Warm-up: wat het wel en niet oplost Een warm-up-tool stuurt mail van je nieuwe mailbox naar een netwerk van andere mailboxen, die de berichten openen, beantwoorden en uit spam halen. Zo krijgt een nieuw domein een geschiedenis van mail waar mensen iets mee doen. Daarom warm ik elke nieuwe mailbox een paar weken op voordat er één cold email vanaf gaat. Wat het niet doet: je cold email meten. Een warm-up-score vertelt je of je warm-up-mail aankomt. Drie van mijn domeinen stonden op 100% warm-up-reputatie terwijl ze op SURBL stonden. En warm-up repareert geen ontbrekend DMARC-record, geen gedeelde nameserver, geen slechte lijst en geen 200 mails per dag vanaf één domein. Kijk je alleen naar warm-up, dan hoor je het echte probleem pas via je reactiepercentage. Een bouncepercentage van 0% bewijst ook niks. Een blocklist verandert vooral wáár je mail landt, niet of hij terugkomt. ## Zo check je het zelf - DNS: de domain checker , voor SPF, DKIM, DMARC, MX en het aantal lookups. - Het echte oordeel over een echte mail: stuur een testmail naar een Gmail-adres, open hem, kies "Origineel weergeven" en zoek naar spf=pass , dkim=pass en dmarc=pass . Dat is wat de ontvanger echt concludeerde, en dat zegt meer dan elke DNS-check. - Blocklists: zoek het domein op bij Spamhaus en SURBL, via hun eigen sites. Check elk verzenddomein, niet alleen het domein dat raar doet. - Reputatie door de tijd: zet elk verzenddomein in Google Postmaster Tools . Daar zie je het spampercentage waar Google je op afrekent, zodra je genoeg verstuurt om er data te krijgen. - DMARC-rapporten: op het rua -adres komen dagelijks rapporten binnen over wie er namens jouw domein mailde en of dat goed ging. Lees ze voordat je de policy strenger zet. ## Checklist Maak er een screenshot van. - Cold email gaat nooit de deur uit vanaf het domein waar je bedrijf op draait. - Verzenddomeinen zijn .com of .nl, herkenbaar als je merk, geen tikfout ervan. - Elk verzenddomein heeft een eigen pagina, geen kale doorverwijzing. - Elk verzenddomein heeft eigen nameservers, geen paar dat het deelt met andere cold email domeinen. - Precies één SPF-record, onder de 10 DNS-lookups. - DKIM aan, op de selector die je provider geeft, waar mogelijk 2048 bits. - Eén DMARC-record met p=none en een rua -adres om mee te beginnen, quarantine zodra de rapporten schoon zijn. - Nieuwe mailboxen warmen een paar weken op voor de eerste cold email. - Maximaal 25 cold emails per domein per dag, zo'n 5 per mailbox, langzaam opgebouwd. - Een testmail laat spf, dkim en dmarc pass zien, en elk domein wordt elke week gecheckt op Spamhaus en SURBL. Mail je naar Nederlandse bedrijven, dan is de techniek maar de helft. Of je die mail überhaupt mag sturen, regelt de Telecommunicatiewet, en die is strenger dan de meeste founders denken. Ik zette het op een rij met de echte wetsartikelen in koude acquisitie per e-mail: wat mag wel en niet . Wil je dit liever helemaal niet zelf draaien, dan zit het in de outbound-machine die ik voor founders draai . Twijfel je of je setup veilig is? Ik neem gratis een video-audit van 10 minuten op over je domeinen, je verzendsetup en je outbound, met wat je als eerste moet repareren. Vraag je gratis video-audit aan . ## FAQ ### Heb ik SPF, DKIM en DMARC nodig voor cold email? Ja, alle drie, op elk domein waarvandaan je verstuurt. Google eist SPF of DKIM van iedereen die naar Gmail mailt, en SPF, DKIM en een DMARC-record van iedereen die meer dan 5.000 berichten per dag stuurt. Microsoft kondigde dezelfde drie aan voor wie meer dan 5.000 per dag naar Outlook.com, Hotmail en Live stuurt. Met cold email zit je per domein meestal ver onder die grens, maar een domein zonder die records begint met minder vertrouwen. Bij mij was het enige domein zonder alle drie ook het domein dat in spam bleef landen. ### Hoeveel cold emails per dag per domein? Ik hou 25 cold emails per domein per dag aan, verdeeld over meerdere mailboxen, en een nieuw domein begint lager en bouwt op. Google en Microsoft publiceren geen limiet voor cold email, dus dit is een werkafspraak, geen norm. In mijn audit van oktober 2026 brandden domeinen met zo'n 220 cold emails per week op, terwijl domeinen met 75 tot 140 per week, met dezelfde lijst en dezelfde tekst, gezond bleven. ### Hoeveel cold emails per dag per mailbox? Ongeveer 5 per mailbox per dag, met vijf mailboxen op een domein. Zo kom je op 25 per domein. Het domein telt zwaarder dan de mailbox: reputatie wordt vooral per domein bijgehouden, dus tien mailboxen die elk 10 mails sturen is nog steeds 100 per dag vanaf één domein. ### Moet ik een apart domein gebruiken voor cold email? Ja. Cold email gaat de deur uit vanaf domeinen die op je merk lijken maar niet het domein zijn waar je bedrijf op draait. Gaat er iets mis met de reputatie, dan blijft dat bij de campagne en raakt het je facturen, offertes en klantmail niet. Kies .com of .nl, zet er een echte pagina op en geef het eigen nameservers. ### Waarom komen mijn cold emails in spam terecht? Kijk eerst naar de saaie dingen, in deze volgorde: ontbrekende of dubbele SPF-, DKIM- of DMARC-records, te veel mails per domein per dag, mailboxen die niet bij de provider zitten waar je denkt dat ze zitten, een domein op een blocklist zoals SURBL of Spamhaus, en mensen opnieuw mailen die al een complete reeks hebben gehad. In mijn eigen audit lag het niet aan de tekst: dezelfde mail scoorde 10/10 op mail-tester en kwam vanaf gezonde domeinen gewoon aan.