Microsoft 365 DNS-records instellen
Kort antwoord: voor e-mail van Microsoft 365 op je eigen domein zet je een TXT-record om het domein te verifiëren, een MX-record dat naar Microsoft wijst, een CNAME voor autodiscover, één SPF-record met include:spf.protection.outlook.com, twee CNAME-records voor DKIM en een DMARC-record. De MX- en DKIM-waarden verschillen per organisatie: neem ze over uit het Microsoft 365-beheercentrum en de Defender-portal, en bouw ze niet zelf na.
Hoe staat jouw domein ervoor? Doe de gratis e-mailcheck: SPF, DKIM en DMARC in een paar seconden gecontroleerd.
De records op een rij
| Record | Naam | Waarde (voorbeeld) | Waarvoor |
|---|---|---|---|
| TXT | @ | MS=ms12345678 | Bewijst dat het domein van jou is. Mag weg na de verificatie. |
| MX | @ | bakkerjansen-nl.mail.protection.outlook.com, prioriteit 0 | Mail aan je domein gaat naar Microsoft. |
| CNAME | autodiscover | autodiscover.outlook.com | Outlook vindt je instellingen vanzelf. |
| TXT | @ | v=spf1 include:spf.protection.outlook.com -all | Alleen Microsoft mag namens je domein mailen (SPF). |
| CNAME | selector1._domainkey | zie DKIM | Handtekening onder je mail. |
| CNAME | selector2._domainkey | zie DKIM | Tweede sleutel, voor vernieuwen zonder onderbreking. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@bakkerjansen.nl | Wat ontvangers doen met valse mail (DMARC). |
Stap voor stap
1. Domein toevoegen en verifiëren
Voeg in het Microsoft 365-beheercentrum je domein toe (Instellingen → Domeinen). Microsoft toont een TXT-record dat begint met MS=. Zet dat in je DNS en klik op verifiëren.
2. MX en autodiscover
Daarna toont Microsoft de records voor e-mail. Het MX-record heeft bij de meeste organisaties de vorm jouwdomein-nl.mail.protection.outlook.com. Microsoft heeft aangekondigd dat nieuwe domeinen een MX-record krijgen dat eindigt op mx.microsoft, met DNSSEC-ondersteuning; neem dus altijd over wat het beheercentrum je laat zien. Haal oude MX-records van een vorige aanbieder weg.
3. SPF
Er mag maar één SPF-record zijn. Mailt alleen Microsoft 365 namens je domein, gebruik dan v=spf1 include:spf.protection.outlook.com -all. Gebruik je ook een nieuwsbrief- of factuurdienst, voeg die dan aan hetzelfde record toe.
4. DKIM
Open in de Microsoft Defender-portal de DKIM-instellingen van je domein. Daar staan twee CNAME-records. Voor domeinen die sinds mei 2025 zijn toegevoegd zien ze er zo uit (de letter voor -v1 kiest Microsoft):
selector1._domainkey CNAME selector1-bakkerjansen-nl._domainkey.bakkerjansen.n-v1.dkim.mail.microsoft. selector2._domainkey CNAME selector2-bakkerjansen-nl._domainkey.bakkerjansen.n-v1.dkim.mail.microsoft.
Oudere domeinen wijzen naar …._domainkey.bakkerjansen.onmicrosoft.com. Zet de records en schakel DKIM daarna in de portal in. Meer in DKIM instellen.
5. DMARC
Begin met p=none en een adres voor rapporten, en ga na een paar weken naar quarantine en reject. Zie DMARC instellen.
En Teams?
Voor Teams noemt Microsoft nog één SRV-record, _sipfederationtls._tcp naar sipfed.online.lync.com op poort 5061, voor contact met andere organisaties. Oudere handleidingen noemen ook sip, lyncdiscover en _sip._tls; die zijn voor Teams zelden nog nodig. Voor Intune zijn er optionele records (enterpriseregistration en enterpriseenrollment), alleen als je die functie gebruikt.
Zo regel je het bij CloudVikings
Het recept Microsoft 365 in Mijn CloudVikings zet MX, autodiscover, SPF en (als je de waarden invult) DKIM in één keer, en vraagt alleen om de waarden die per organisatie verschillen. Een bestaand SPF-record wordt samengevoegd in plaats van verdubbeld, en je ziet vooraf wat er verandert. DMARC zet je daarna met het recept DMARC. Of vraag het je AI-assistent: die vraagt om je MX- en DKIM-waarde in plaats van ze te raden. Zie e-mail instellen.
Veelgestelde vragen
Waarom kan ik de MX-waarde niet zelf invullen?
Bij de meeste organisaties volgt hij uit je domeinnaam, maar Microsoft geeft nieuwe domeinen een ander formaat. Neem daarom precies over wat het beheercentrum toont.
Hoe lang duurt het voordat mail aankomt?
Meestal binnen een uur nadat het MX-record staat, afhankelijk van de TTL van het oude record.
Moet ik het MS=-record laten staan?
Nee, het is alleen nodig voor de verificatie. Laten staan kan geen kwaad.
Bronnen (geraadpleegd 24 oktober 2026): Microsoft Learn: externe DNS-records voor Microsoft 365; Microsoft Learn: DNS-records bij elke DNS-aanbieder; Microsoft Learn: DKIM configureren.