DMARC instellen: van p=none naar p=reject in 3 stappen

Wat DMARC toevoegt aan SPF en DKIM

SPF en DKIM controleren op zichzelf alleen technische details: komt de verzendende server overeen met de lijst, en klopt de digitale handtekening. Geen van beide zegt iets over wat ontvangende mailservers moetendoen als die controle faalt. Dat is precies waar DMARC (Domain-based Message Authentication, Reporting and Conformance) voor dient: een beleid dat ontvangers vertelt hoe streng ze moeten zijn, plus een rapportagemechanisme zodat jij ziet wie er namens jouw domein mailt.

Geen DMARC-record betekent dat zelfs een correct ingesteld SPF-record niet wordt afgedwongen op het zichtbare "van"-adres: een aanvaller kan nog steeds e-mail sturen die er in een inbox uitziet alsof hij van jouw domein komt. Zie SPF-record instellen als je dat nog niet op orde hebt, want DMARC bouwt daarop voort.

Stap 1: begin met p=none

Zet eerst een DMARC-record met p=none als TXT-record op _dmarc.jouwdomein.nl:

v=DMARC1; p=none; rua=mailto:dmarc-rapporten@jouwdomein.nl

Met p=none gebeurt er nog niets met afwijkende e-mail: dit is puur monitoring. Hetrua-adres is waar grote mailproviders (Google, Microsoft) dagelijks geaggregeerde rapporten naartoe sturen over welke servers er namens jouw domein mailen, inclusief servers die je zelf misschien niet kende.

Stap 2: lees de rapporten en los onderliggende problemen op

De rua-rapporten komen als gecomprimeerde XML-bestanden binnen, niet bepaald leesbaar zonder tooling. Het doel van deze stap is simpel: voordat je gaat afdwingen, moet elke legitieme verzendende dienst slagen voor SPF of DKIM. Kom je een dienst tegen die faalt, dan ontbreekt die waarschijnlijk nog in je SPF-record of heeft hij geen DKIM-ondertekening. Dit is de fase waarin bedrijven vaak ontdekken dat een vergeten nieuwsbriefdienst of een oud CRM-systeem nog steeds namens hen mailt.

Stap 3: bouw op naar quarantine en uiteindelijk reject

Zodra de rapporten een paar weken lang geen legitieme mail meer laten falen, zet je het beleid strenger:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-rapporten@jouwdomein.nl

De pct-waarde bepaalt op welk percentage van de afwijkende mail het beleid wordt toegepast: begin laag (bijvoorbeeld 25) en verhoog die stapsgewijs naar 100 terwijl je blijft meekijken. Werkt alles naar behoren op p=quarantine; pct=100, dan is de laatste stap p=reject: mail die niet slaagt voor SPF of DKIM wordt dan actief geweigerd in plaats van in quarantaine of spam gezet.

Veelgemaakte valkuilen

• Meteen naar p=reject zonder monitoring. Zonder de rapportagefase loop je het risico dat je eigen legitieme e-mail (facturen, nieuwsbrieven) geweigerd wordt bij ontvangers.
• Geen rua-adres instellen. Zonder rapporten vlieg je blind: je weet niet wélke dienst er zou falen voordat je opschaalt.
• Subdomeinbeleid vergeten. Standaard geldt het DMARC-beleid van het hoofddomein ook voor subdomeinen, tenzij je met sp= een apart beleid instelt voor subdomeinen die geen mail versturen (die kun je dan direct op reject zetten).