Geen of een fout DMARC-record? Lees hoe je _dmarc instelt, wat p=none, quarantine en reject betekenen, hoe alignment werkt en hoe je veilig naar reject gaat.
DMARC (Domain-based Message Authentication, Reporting and Conformance) bouwt voort op SPF en DKIM. Het vertelt ontvangers wat ze moeten doen met mail die zegt van jouw domein te komen maar de controle niet doorstaat, en waar ze rapporten over die controles naartoe kunnen sturen. Het record is een TXT-record op de naam _dmarc.voorbeeld.nl en begint met v=DMARC1.
Het belangrijkste onderdeel is het beleid p=. Met p=none verandert er niets aan de aflevering, maar krijg je wel rapporten. Met p=quarantine vraag je ontvangers om mail die faalt als verdacht te behandelen, meestal in de spammap. Met p=reject vraag je ze die mail te weigeren. De melding ‘DMARC policy not enabled’ van controletools betekent dat er geen record is, of dat het beleid op none staat en je domein dus nog niet beschermd is tegen misbruik.
DMARC slaagt alleen als SPF of DKIM slaagt én ‘aligned’ is: het domein dat SPF of DKIM controleerde moet overeenkomen met het afzenderdomein dat de ontvanger in zijn mailprogramma ziet (het From-adres). Een nieuwsbriefdienst die SPF en DKIM op zijn eigen domein doet, levert dus wel ‘spf=pass’ op maar geen geslaagde DMARC voor jouw domein. Dat is de meest voorkomende reden voor dmarc=fail.
dmarc=fail, ook al staat er spf=pass: dan is er geen alignment.Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Vraag het TXT-record op _dmarc op. Er mag er maar één zijn. Krijg je niets terug, dan heb je nog geen DMARC. Controleer ook direct SPF en DKIM, want zonder die twee kan DMARC niet slagen. De Mail-DNS-check laat alle drie tegelijk zien.
dig _dmarc.voorbeeld.nl TXT +short
# Windows
nslookup -type=txt _dmarc.voorbeeld.nlMaak een lijst van alle diensten die met je domein als afzender mailen en zorg dat elk daarvan SPF of, liever nog, DKIM met jouw domein doet. Zie SPF-record fout en DKIM-fout. DKIM is het belangrijkste, omdat SPF bij doorsturen vaak breekt en DKIM meestal niet.
Zet een record met p=none en een rua-adres waar de dagelijkse overzichtsrapporten heen gaan. Dat zijn XML-bestanden waarin ontvangers laten zien welke servers mail met jouw domein verstuurden en of SPF, DKIM en DMARC slaagden. Gebruik een apart mailadres of een dienst die de rapporten leesbaar maakt; het kunnen er veel zijn. Valt het rua-adres onder een ander domein, dan moet dat domein met een eigen DNS-record toestemming geven.
_dmarc.voorbeeld.nl. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@voorbeeld.nl"Bekijk een paar weken de rapporten. Zie je een legitieme dienst (je website, factuurpakket, nieuwsbrief) die faalt, stel dan voor die dienst DKIM met je eigen domein in, of zet hem in je SPF-record met een afzenderdomein dat bij het jouwe past. Zie je onbekende servers die met jouw domein mailen, dan is dat waarschijnlijk misbruik: precies wat DMARC straks tegenhoudt.
Standaard staat alignment op ‘relaxed’ (adkim=r en aspf=r): dan telt een subdomein als passend, bijvoorbeeld DKIM met d=nieuwsbrief.voorbeeld.nl bij afzender info@voorbeeld.nl. Met s (strict) moet het domein exact gelijk zijn. Laat het op relaxed tenzij je een goede reden hebt.
Slagen alle legitieme verzenders, zet het beleid dan op quarantine. Met pct= kun je het beleid eerst op een deel van de mail toepassen, maar niet alle ontvangers houden zich daaraan. Blijft alles goed gaan, ga dan naar reject. Met sp= stel je apart een beleid in voor subdomeinen.
# stap 1
v=DMARC1; p=none; rua=mailto:dmarc@voorbeeld.nl
# stap 2
v=DMARC1; p=quarantine; rua=mailto:dmarc@voorbeeld.nl
# stap 3
v=DMARC1; p=reject; rua=mailto:dmarc@voorbeeld.nlBegin altijd met v=DMARC1, scheid de onderdelen met een puntkomma, en zet het record op _dmarc, niet op het hoofddomein. Een tweede DMARC-record, een tikfout als p=rejected of een rua zonder mailto: maakt het record ongeldig of laat een deel ervan negeren. Controleer na het opslaan het resultaat en stuur een testmail naar een externe mailbox: in de kopregels hoort dmarc=pass te staan.
Let op: Zet je domein niet meteen op p=reject. Een vergeten verzender, zoals het contactformulier van je website of je boekhoudpakket, wordt dan door ontvangers geweigerd, en dat merk je vaak pas als klanten zeggen dat ze niets ontvangen.
Een DMARC-record bestaat uit onderdelen in de vorm naam=waarde, gescheiden door puntkomma’s.
v=DMARC1: verplicht en altijd als eerste.p=: het beleid voor je domein: none, quarantine of reject.sp=: het beleid voor subdomeinen; zonder deze tag geldt p.rua=: adres voor de dagelijkse overzichtsrapporten, met mailto: ervoor.adkim= en aspf=: alignment voor DKIM en SPF, r (relaxed, standaard) of s (strict).Gebruik je een domein helemaal niet om te mailen, dan kun je meteen p=reject zetten, samen met v=spf1 -all.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Er is geen DMARC-record, of het beleid staat op p=none. Ontvangers krijgen dan geen opdracht om vervalste mail met jouw domein tegen te houden.
Als eerste stap wel, omdat je dan rapporten krijgt zonder dat er iets verandert. Om misbruik echt tegen te gaan heb je quarantine of reject nodig.
Waarschijnlijk is er geen alignment: SPF slaagt voor het domein van een dienst, niet voor jouw afzenderdomein. Stel bij die dienst DKIM met je eigen domein in.
Tot de rapporten laten zien dat al je legitieme verzenders slagen. Een paar weken rapporten lezen is gebruikelijk; daarna kun je stap voor stap strenger.
Hulp nodig van een mens? Gratis Mail-DNS-check · Zakelijke e-mail in jouw plaats · Microsoft 365-hulp · Alle oplossingen