SURBL verklaart cold e-mail de oorlog: 90% van de geteste domeinen staat al op de blacklist

Cold e-mail heeft een nieuwe vijand, en die komt uit een onverwachte hoek: een blacklist die vroeger rustig op de achtergrond draaide en vooral bekend was om het vangen van phishinglinks. In 2026 is SURBL uitgegroeid tot een van de grootste bedreigingen voor cold outreach, en bijna niemand die cold e-mail verstuurt, houdt hem goed genoeg in de gaten.

We wilden hier niet over speculeren. Dus haalden we live data op van 2.679 actieve verzenddomeinen voor cold e-mail en controleerden we ze stuk voor stuk rechtstreeks tegen de Multi-blacklist van SURBL (multi.surbl.org). We verifieerden de resultaten met het permanente testdomein van SURBL zelf, om zeker te weten dat ze echt waren en niet het gevolg van een rate limit. Dit is wat we vonden.

90% van de geteste domeinen staat al gelist

Van de 2.679 gecontroleerde actieve verzenddomeinen voor cold e-mail stonden er 2.419 (90,3%) gelist op SURBL Multi. Slechts 260 domeinen, net onder de 10%, waren schoon.

Verstuur je in 2026 cold outreach en heb je je domeinen de laatste tijd niet tegen SURBL gecontroleerd, dan zegt het basispercentage dat je ervan uit moet gaan dat je al geraakt bent, totdat je echt hebt gekeken.

Geen phishing, geen malware: elke keer misbruik

SURBL Multi is eigenlijk een gecombineerde feed van meerdere sublijsten: onder meer phishing (PH), malware (MW), gecompromitteerde of gekraakte sites (CR) en misbruik (AB). Elke sublijst markeert een ander soort probleem.

We hebben voor alle 2.419 gevonden listings de sublijst ontcijferd. Allemaal, 100%, stonden ze op de AB-sublijst (abuse). Nul phishing-hits. Nul malware-hits.

Dat is belangrijk, want het sluit de verklaring uit waar veel verzenders als eerste naar grijpen ("SURBL denkt dat mijn domein op een phishing-lookalike lijkt"). Dit gaat over misbruikmeldingen: het soort signaal dat voortkomt uit spamklachten en spamtrap-hits, niet uit iets wat op een oplichterspagina lijkt.

De echte voorspeller is niet de inhoud, maar de infrastructuur

Dit is de bevinding die het patroon echt verklaart. We verdeelden de domeinen in twee groepen op basis van hun verzendinfrastructuur: domeinen op een gedeelde, gepoolde verzendopzet (dezelfde uitgaande mailservers die tegelijk door veel verschillende klanten en domeinen worden gebruikt) tegenover domeinen op aparte, dedicated of anderszins niet-gepoolde infrastructuur.

Dat is bijna een factor 4 verschil, en het cijfer voor gepoolde infrastructuur zit tegen het plafond aan: 99,6 tot 100% gelist, hoe we het ook opdeelden. We vonden ook iets waardoor het mechanisme op zijn plek viel: het domein van de gedeelde mailinfrastructuur zelf stond rechtstreeks gelist op SURBL Multi, onder dezelfde abuse-sublijst, los van welk klantdomein dan ook.

De waarschijnlijke verklaring: als veel verschillende verzenddomeinen dezelfde uitgaande mailservers delen, hoeft maar een klein deel van die gedeelde pool spamklachten op te leveren of in spamtraps te lopen, en de reputatie van de hele pool gaat achteruit. Elk domein op die infrastructuur krijgt dan de klap mee, of het zelf iets fout heeft gedaan of niet. Dit is een probleem van gedeelde reputatie, geen inhoudsprobleem per domein.

Twee populaire theorieën die we testten en ontkrachtten

Er doen in cold-e-mailcommunity's op dit moment voortdurend twee verklaringen de ronde. We hadden de data om ze allebei echt te toetsen.

"Het komt doordat iedereen domeinen in bulk op dezelfde dag koopt." We groepeerden domeinen op hoeveel er op dezelfde dag samen waren opgezet, als benadering van bulkaankopen, en vergeleken de listingpercentages. Zodra je corrigeert voor de vraag of een domein op gedeelde infrastructuur staat, maakt de batchgrootte niet meer uit: domeinen op gedeelde infrastructuur staan al voor ~100% gelist, of ze nu los of in een batch van 50 zijn gekocht. Bulkaankopen voorspellen op zichzelf geen listing; ze hangen alleen samen met het feit dat zo'n domein überhaupt op gedeelde infrastructuur staat.

"Het komt door aliasdomeinen in de stijl get-/try-/use-." Deze theorie horen we het vaakst: dat SURBL het specifiek gemunt heeft op secundaire domeinen in aliasstijl. We labelden elk domein op veelgebruikte aliasprefixen en vergeleken de listingpercentages. Op gedeelde infrastructuur stonden domeinen met een aliasprefix voor 99,4% gelist, tegenover 99,9% voor domeinen zonder alias, en dat is in feite geen verschil. Buiten gedeelde infrastructuur stonden domeinen met een aliasprefix juist minder vaak gelist dan domeinen zonder alias (18,4% tegenover 31,5%), precies de andere kant op dan de theorie voorspelt. In de data vinden we geen steun voor deze theorie.

En redirects dan?

We hebben ook getest of domeinen die doorverwijzen naar een andere bestemming vaker gelist stonden. Die theorie past bij de zorg die SURBL zelf heeft gepubliceerd over redirectsites die worden gebruikt om al geblokkeerde bestemmingen "wit te wassen" en te verhullen. Onze steekproef was hier klein en een aantal domeinen had helemaal geen live website om te testen, dus we doen geen uitspraak, de ene kant noch de andere op. Test je je eigen domeinen, controleer dit dan per domein in plaats van aan te nemen dat het wel of juist niet uitmaakt.

Wat dit betekent als je in 2026 cold e-mail verstuurt

De data wijst naar één overheersende conclusie waar je iets mee kunt: je eigen lijsthygiëne en inhoud doen er hier minder toe dan met wie je je verzendinfrastructuur deelt. Een domein met perfecte SPF, DKIM en DMARC en nul links in de e-mail kan nog steeds in een abuse-listing terechtkomen als het op infrastructuur draait die gedeeld wordt met verzenders die klachten opleveren.

Een paar dingen die het waard zijn om te doen:

Controleer elk actief verzenddomein rechtstreeks tegen SURBL in plaats van aan te nemen dat je het wel zou merken. De meeste verzenders komen er pas achter als hun inbox placement ongemerkt is ingestort. Zit je op een gedeelde of gepoolde verzendopzet, vraag dan expliciet welke scheiding er is tussen jouw reputatie en die van alle anderen in die pool. En jaag niet op de theorie over aliasnamen of die over bulkaankopen als oplossing voor de kern van het probleem, want de data steunt geen van beide als de echte oorzaak.

SURBL beantwoordt geen queries meer via publieke DNS-resolvers, dus onze gratis blacklist checker kan SURBL niet bevragen; op onze wikipagina over SURBL lees je wel het volledige overzicht van wat SURBL is en hoe delisting werkt.

Veelgestelde vragen

Wat is SURBL Multi? SURBL Multi (multi.surbl.org) is een gecombineerde DNS-blacklist die meerdere sublijsten (feeds voor misbruik, phishing, malware en gecompromitteerde sites) bundelt in één lookup. Een domein kan door elk van die sublijsten gemarkeerd worden en verschijnt dan als "gelist" op Multi.

Hoe controleer ik of mijn domein op SURBL staat? Haal het door een blacklist checker die multi.surbl.org rechtstreeks bevraagt, zoals onze gratis blacklist checker, of bevraag zelf yourdomain.com.multi.surbl.org en kijk of het resolvet.

Hoe word ik gedelist bij SURBL? Los eerst de onderliggende oorzaak op. De beoordelaars van SURBL zoeken naar bewijs dat het probleem is aangepakt, niet alleen naar een verzoek waarin staat dat de listing onterecht is. Dien daarna een verwijderverzoek in via de lookup- en verwijderpagina van SURBL zelf. Ligt de oorzaak bij de reputatie van gedeelde infrastructuur, dan houdt het delisten van een los domein misschien geen stand zolang die gedeelde infrastructuur niet is aangepakt.

Heeft SURBL op Gmail en Outlook hetzelfde effect? Beide gebruiken SURBL-data als een van de vele signalen in hun spamfilter, maar ze wegen die niet precies even zwaar. Een SURBL-listing is bij beide providers een sterk negatief signaal, maar het is geen gegarandeerde blokkade overal. Behandel een listing als urgent, ongeacht voor welke provider je aan het troubleshooten bent.

Is een SURBL-listing hetzelfde als een phishingmarkering? Niet per se. SURBL Multi combineert meerdere sublijsten (misbruik, phishing, malware, gecompromitteerde sites). In onze dataset stond elke gevonden listing specifiek op de abuse-sublijst en niet op die voor phishing, dus kijk altijd op welke sublijst een domein echt staat voordat je een oorzaak aanneemt.

Conclusie

SURBL draait niet meer rustig op de achtergrond. In 2026 is het een van de blacklists met de grootste gevolgen voor verzenders van cold e-mail, en 9 van de 10 domeinen in onze eigen onafhankelijke test zitten er al in. De data zegt dat dit overwegend een probleem van infrastructuurreputatie is, geen probleem van inhoud of naamgeving. Verstuur je cold e-mail en heb je je domeinen deze maand niet tegen SURBL gecontroleerd, dan is dat het eerste wat je moet oplossen.

👉 Lees verder: Hoe weet ik of ik op een blacklist sta? · IP- vs. domeinblacklists · Inbox placement verbeteren voor cold e-mail

Bronnen

• SURBL reputation lists, de sublijsten binnen multi.surbl.org (ABUSE, PH, MW, CR, CT, DM), het bitmasker dat ze codeert, en de route voor verwijdering.
• RFC 5782: DNS Blacklists and Whitelists, hoe domeinblocklists zoals SURBL via DNS worden bevraagd.
• Email sender guidelines (Gmail Help), het punt van Google dat de reputatie van een gedeeld IP-adres gedeeld wordt door elke verzender die erop zit.