Onderzoek
Bij hoeveel Vlaamse hotels kan iemand anders e-mails in hun naam sturen?
Gemeten op 28 september 2026. Volgende editie: januari 2027.
87,0%
84,4 tot 89,3%
Van de 732 e-maildomeinen van hotels die we konden controleren, geven er 637 ontvangende mailservers geen instructie om een vervalste e-mail met het exacte domein van het hotel te blokkeren. De 732 domeinen zijn samen goed voor 830 van de 867 actieve hotels in het register van Toerisme Vlaanderen.
De marges bij de hoofdcijfers zijn Wilson-intervallen van 95%. Deze editie telt bijna elk actief hotel in het register en is geen steekproef, dus is een marge geen foutmarge in de gebruikelijke zin. Ze toont hoeveel een cijfer van deze grootte tussen twee edities kan verschuiven om redenen die niets met een echte verandering te maken hebben.
Hebt u meerdere hotels? Vraag een gratis privérapport aan.Voor journalisten en sectororganisaties
Wat "kwetsbaar" in deze index betekent
Wanneer een mailserver een bericht ontvangt dat zich voordoet als reservaties@naamvanhethotel.be, kan hij een openbare DNS-instelling controleren die DMARC heet, om te zien wat er volgens de eigenaar van dat domein moet gebeuren met e-mail die de authenticatiecontrole niet doorstaat. De eigenaar kan vragen om niets te doen en alleen een rapport te sturen (p=none), om de e-mail als verdacht opzij te zetten (p=quarantine) of om ze meteen te weigeren (p=reject).
We beschouwen een domein als kwetsbaar wanneer het geen geldig DMARC-record heeft, wanneer het record op p=none staat, of wanneer een strengere instelling met de tag t=y als test gemarkeerd is. Zonder record of met p=none heeft de eigenaar van het domein ontvangende mailservers niet gevraagd om een vervalste e-mail met het exacte domein van het hotel te blokkeren of opzij te zetten. Geen enkel domein in deze editie gebruikt t=y, dus dat derde geval verandert geen enkel cijfer op deze pagina.
Deze definitie kijkt alleen naar de DMARC-instelling in de DNS. Andere manieren waarop de naam van een hotel misbruikt kan worden, staan verderop en worden niet meegeteld.
De DMARC-ladder
Aandeel van de 732 onderzochte e-maildomeinen van hotels per DMARC-instelling, met het interval van 95%. "Geen DMARC-record" omvat ook 2 domeinen die twee DMARC-records tegelijk publiceren; ontvangers moeten die negeren.
Van de 251 domeinen op p=none geven er 157 (62,5%) ook geen adres op voor rapporten. Die records vragen ontvangers niet om iets te blokkeren, en de eigenaar krijgt ook geen rapporten.
| De DMARC-ladder | Domeinen | Aandeel | 95%-interval |
|---|---|---|---|
| Geen DMARC-record | 386 | 52,7% | 49,1 tot 56,3% |
| p=none (enkel rapporteren) | 251 | 34,3% | 30,9 tot 37,8% |
| p=quarantine | 53 | 7,2% | 5,6 tot 9,3% |
| p=reject | 42 | 5,7% | 4,3 tot 7,7% |
SPF op zich beschermt het "Van"-adres niet
Van de 732 domeinen sluiten er 400 (54,6%) hun SPF-record af met "-all", de strenge instelling die mail afkeurt van een server die de eigenaar niet heeft opgegeven. Van die 400 hebben er 330 geen DMARC-beleid dat ontvangers vraagt om mail die de controle niet doorstaat te blokkeren of opzij te zetten.
SPF controleert een verborgen, technisch afzenderadres, niet de "Van"-regel die een gast in zijn inbox ziet. Een strikt SPF-record houdt op zich dus geen vervalste e-mail tegen die het exacte domein van het hotel in de "Van"-regel toont. DMARC is de instelling die SPF en DKIM aan dat "Van"-adres koppelt en ontvangers vertelt wat ze moeten doen als de controle mislukt.
Bijna alle onderzochte domeinen (724 van de 732) hebben een mailserver (MX-record) ingesteld. Een domein zonder mailserver kan nog steeds vervalst worden in de "Van"-regel van een e-mail, ook al ontvangt het zelf nooit mail.
Per grootte van het hotel
Deze tabel omvat de 703 domeinen die door één hotel gebruikt worden; domeinen die door twee of meer hotels gedeeld worden, hebben een eigen rij. Kleinere hotels zijn kwetsbaarder. Grotere hotels hebben vaker een DMARC-record, maar laten het ook vaker op p=none staan: 40,9% van de domeinen van hotels met 50 of meer kamers, tegenover 29,4% bij hotels met 1 tot 9 kamers.
| Kamers | Domeinen | Kwetsbaar | Geen DMARC-record | Beschermd |
|---|---|---|---|---|
| 1–9 kamers | 180 | 91,1% (86,0 tot 94,5%) | 61,7% | 8,9% |
| 10–49 kamers | 391 | 88,2% (84,7 tot 91,1%) | 56,0% | 11,8% |
| 50+ kamers | 132 | 77,3% (69,4 tot 83,6%) | 36,4% | 22,7% |
| Domeinen van hotelgroepen (gedeeld door 2 of meer hotels) | 29 (127 hotels) | 89,7% (73,6 tot 96,4%) | 27,6% | 10,3% |
Het hoofdcijfer en de DMARC-ladder tellen een domein dat door meerdere hotels gedeeld wordt één keer, omdat één DMARC-record voor elk hotel erachter geldt. Tellen we elk hotel apart, dan is 87,5% kwetsbaar (726 van de 830 hotels), een half procentpunt hoger dan het cijfer op domeinniveau. Het grootste gedeelde domein dekt 4,9% van de 830 hotels, dus beslist de instelling van geen enkele groep alleen over het resultaat.
Domeinen die hotelgroepen delen, zijn niet beter beschermd: 26 van de 29 zijn kwetsbaar (89,7%), tegenover 87,0% voor alle 732 domeinen.
Per provincie
Deze tabel omvat dezelfde 703 domeinen die door één hotel gebruikt worden. Geen enkele provincie springt eruit: de intervallen van alle vijf provincies overlappen elkaar, dus vallen de verschillen binnen wat toeval kan veroorzaken, en is er in deze editie geen verdedigbare "beste" of "slechtste" provincie.
| Provincie | Domeinen | Kwetsbaar | Geen DMARC-record | Beschermd |
|---|---|---|---|---|
| Antwerpen | 118 | 82,2% (74,3 tot 88,1%) | 44,1% | 17,8% |
| Limburg | 97 | 91,8% (84,6 tot 95,8%) | 53,6% | 8,2% |
| Oost-Vlaanderen | 93 | 91,4% (83,9 tot 95,6%) | 52,7% | 8,6% |
| Vlaams-Brabant | 70 | 84,3% (74,0 tot 91,0%) | 52,9% | 15,7% |
| West-Vlaanderen | 325 | 86,5% (82,3 tot 89,8%) | 57,8% | 13,5% |
Wat deze index niet meet
Deze index leest enkel openbare DNS-gegevens, op één datum. Ze zegt niets over:
- DKIM, de derde instelling voor e-mailauthenticatie. De sleutels ervan staan wel in de DNS, maar onder namen (selectors) die we van buitenaf niet kunnen achterhalen, dus werd DKIM niet gecontroleerd.
- Gelijkende domeinnamen, met bijvoorbeeld een extra koppelteken of een verwisselde letter. DMARC dekt enkel het exacte domein waarop het gepubliceerd staat; een gelijkende domeinnaam vraagt een eigen, aparte controle.
- Gehackte mailboxen. Een bericht verstuurd vanuit een echte, gestolen mailbox doorstaat SPF, DKIM en DMARC, omdat het werkelijk van het echte domein komt.
- Wat elke ontvangende mailserver werkelijk doet met een vervalst bericht. Veel providers passen daarbovenop hun eigen spamfilters toe, dus betekent een "kwetsbaar" domein niet dat elke vervalste e-mail in de inbox van een gast belandt; het betekent dat de eigenaar van het domein ontvangers niet gevraagd heeft ze te blokkeren.
- Trucs met de weergavenaam, zoals "Hotel Reservaties" boven een adres van een gratis mailprovider dat niets met het hotel te maken heeft. Geen enkele DNS-instelling houdt dat tegen; dat lukt alleen door het echte adres te lezen.
Hoe dit zich verhoudt tot andere gepubliceerde cijfers
Andere gepubliceerde DMARC-cijfers gebruiken andere populaties en methodes, dus is geen ervan rechtstreeks te vergelijken met deze index. Ze staan hier enkel als context, elk met een eigen bron.
Een Belgische hostingprovider (studie van een leverancier: Nomeo, gemeld door Emerce op 2 september 2024) vond dat ongeveer 23% van meer dan 450.000 .be-domeinen die voor mail zijn ingesteld, een DMARC-record had, en dat daarvan 73% op p=none stond, 16% op quarantine en 9% op reject. Zo stond in 2024 ongeveer 6% van alle .be-maildomeinen op quarantine of reject, tegenover 13,0% van de hoteldomeinen in deze index in 2026. De populaties en de jaren verschillen, dus toont dat verschil niet aan dat hotels het beter doen.
Volgens een rapport uit 2026 over de reis- en hotelsector (studie van een leverancier: Valimail, "2026 State of DMARC Report: Travel and Hospitality") staat bijna de helft van de domeinen in dat rapport op een afdwingende instelling. Valimail publiceert niet hoe groot de steekproef is, en zo'n studie steunt meestal op domeinen van grote merken, niet van kleine zelfstandige hotels, dus is de vergelijking niet gelijkwaardig. Een officieel Belgisch cijfer voor hotels of horeca vonden we niet.
Wat een hoteleigenaar kan doen
Uw webhost of IT-leverancier kan elk van deze stappen voor u uitvoeren.
- 1Controleer uw eigen domein. De controle leest dezelfde openbare DNS-gegevens en bewaart niets.
- 2Is er nog geen DMARC-record, vraag uw host dan om er een te publiceren op p=none met een adres voor rapporten, en lees een paar weken lang de rapporten die ontvangende mailservers naar dat adres sturen, voordat u nog iets anders wijzigt.
- 3Zodra uw eigen mail telkens door de controle komt, zet u de instelling op p=quarantine en daarna op p=reject. Een plan in vier weken, stap voor stap
- 4Bekijk welke weg een vervalste e-mail aflegt en waar een ontvanger ze dankzij DMARC kan tegenhouden. De uitleg stap voor stap staat bij dezelfde controle.
- 5DMARC beschermt enkel uw exacte domein. Ga ook na of een domeinnaam die op de uwe lijkt, al geregistreerd is. Gratis controle op gelijkende domeinnamen
Gratis privérapport voor hotelgroepen
Van de 29 e-maildomeinen die door meerdere hotels gedeeld worden, samen 127 hotels, zijn er 26 kwetsbaar. Hebt u meerdere hotels of domeinen? Dan controleren we elk van uw domeinen en sturen we u een rapport per domein: wat er nu ingesteld staat en wat uw webhost of IT-partner moet aanpassen.
- Gratis en vrijblijvend.
- We sturen het rapport enkel naar een e-mailadres op een van de domeinen die u opgeeft.
- We lezen enkel openbare DNS-gegevens, zoals voor de index. Uw resultaten komen nooit op deze site of in de index.
- U krijgt het rapport binnen vijf werkdagen, in het Nederlands, het Frans of het Engels.
Eén hotel en één domein? Doe de gratis controle meteen zelf.
Methode en dekking
Populatie: elk hotel met de status Erkend of Aangemeld in het register van Toerisme Vlaanderen op 28 september 2026: 867 actieve hotels. Voor elk hotel namen we het domein van het gepubliceerde e-mailadres; stond dat adres op een gedeelde dienst zoals Gmail of Telenet, dan gebruikten we in plaats daarvan het domein van de eigen website van het hotel. Er werd enkel het domeindeel van een adres gelezen; er werd geen mailboxnaam, telefoonnummer of persoonsnaam verzameld of bewaard.
Voor 26 hotels was er geen eigen domein om te controleren. Bij nog eens 11 hotels bestond het domein niet, stond het verkeerd gespeld in het register of gaf openbare DNS bij twee pogingen geen bruikbaar antwoord. Zo blijven er 830 hotels over (96% van het register), verspreid over 732 domeinen die we konden onderzoeken.
Een domein dat door meerdere hotels gedeeld wordt, zoals dat van een hotelgroep, telt één keer: één DMARC-record geldt voor elk hotel erachter. We zochten de openbare SPF-, DMARC- en MX-records van elk domein op via openbare DNS-resolvers, op 28 september 2026. Er werd geen enkele mailserver of website van een hotel gecontacteerd; er werd enkel openbare DNS gelezen. De records werden gelezen volgens RFC 9989, de huidige DMARC-standaard.
Dit is een telling van bijna elk actief hotel in het register, geen steekproef daaruit. We publiceren geen resultaten per hotel of per domein, en we rangschikken geen hotels, ketens of provincies ten opzichte van elkaar.
Bron: Toerisme Vlaanderen. Registergegevens hergebruikt onder de Modellicentie Gratis Hergebruik v1.0.
We herhalen deze meting elk kwartaal, in de eerste week van januari, april, juli en oktober, met dezelfde methode. Verandert de methode ooit, dan komt die wijziging op deze pagina te staan. Volgende editie: januari 2027.
Voor journalisten en sectororganisaties
U mag de cijfers en grafieken van deze pagina overnemen, met vermelding van de bron. Hieronder vindt u de kern in één zin, de bronvermelding en de downloads.
- De kern in één zin
- Op 28 september 2026 gaven 637 van de 732 e-maildomeinen van Vlaamse hotels (87,0%) ontvangende mailservers geen instructie om een vervalste e-mail met het exacte domein van het hotel te blokkeren. Bij domeinen die door meerdere hotels gedeeld worden, gaat het om 26 van de 29.
- Zo verwijst u naar dit onderzoek
- Fluxive, "Bij hoeveel Vlaamse hotels kan iemand anders e-mails in hun naam sturen?", editie van 28 september 2026, https://fluxive.be/nl/onderzoek/hotel-e-mail/
- Downloads
- Vragen over de methode of een interview
- Aman Yadav, oprichter van Fluxive: aman@fluxive.be of +32 472 92 57 41. Gesprekken in het Engels; schriftelijk ook in het Nederlands en het Frans.
Wat we niet delen: namen van hotels, domeinen of resultaten per hotel, ook niet op vraag.
De volgende editie verschijnt in januari 2027. Wilt u ze meteen ontvangen? Mail naar aman@fluxive.be.