Wat daar wel bij moet: SPF, DKIM en DMARC voorkomen wel spoofing van een DOMEIN maar niet van een BEDRIJF. Dwz je kunt wel voorkomen dat iemand valse mail kan versturen met een afzender @sidn.nl (uit dat voorbeeld), maar als iemand dan een domein @sidn-mail.nl of @sidn.eu of whatever registreert en dan mailt uit naam van SIDN dan wordt dat gewoon geaccepteerd. Het is dan aan de ontvanger om te checken of dit domein ook hoort bij het bedrijf wat geclaimd wordt de afzender te zijn. Je zou denken: dat is toch triviaal. Ieder bedrijf in Nederland heeft 1 domain met de naam bedrijfsnaam.nl en dat kun je dus makkelijk checken. Maar zo simpel is dat helaas niet, vooral ook omdat vele bedrijven aparte domeinen registreren voor ieder wissewasje wat in ze opkomt, vaak ook zelfs apart voor mail. Dus als je een site www.bedrijf.nl bezocht hebt en als gevolg daarvan een mailtje krijgt, moet je helemaal niet raar opkijken als dat niet van iemand@bedrijf.nl komt maar van iemand@bedrijf-mail.nl ofzo. Onder die ...