Wat voegt DMARC toe?
DMARC verbindt SPF en DKIM met het afzenderadres dat de ontvanger ziet. Een bericht slaagt alleen als SPF of DKIM slaagt én het gecontroleerde domein overeenkomt met het zichtbare afzenderdomein. Dat heet alignment. Daarnaast vertelt u ontvangers wat ze moeten doen met berichten die niet slagen, en ontvangt u rapporten over alle mail die namens uw domein wordt verstuurd.
Fase 1: monitoren met p=none
Begin met een record bij _dmarc.uwdomein.nl, bijvoorbeeld v=DMARC1; p=none; rua=mailto:dmarc@uwdomein.nl. Ontvangers ondernemen dan nog geen actie, maar sturen wel geaggregeerde rapporten. Die rapporten zijn XML-bestanden. Een rapportagedienst maakt ze leesbaar en laat per verzendbron zien of SPF en DKIM slagen.
Gebruik deze fase om alle legitieme verzenders te vinden: Microsoft 365, maar ook het boekhoudpakket, de webshop of de printer die scans mailt. Zorg dat elke bron met uw domein ondertekent of in SPF staat.
Fase 2: quarantine
Wanneer de rapporten laten zien dat vrijwel alle legitieme mail slaagt, gaat u naar p=quarantine. Mail die niet slaagt, komt dan bij de ontvanger in de map met ongewenste e-mail terecht. Blijf de rapporten volgen. Een vergeten verzender valt nu op doordat klanten zijn mail niet meer in hun inbox zien.
Fase 3: reject
Met p=reject weigeren ontvangers mail die niet slaagt. Pas dan wordt spoofing van uw domein effectief tegengehouden. Vergeet subdomeinen niet: met de parameter sp stelt u het beleid voor subdomeinen in. Domeinen die niet mailen, kunnen direct op p=reject, samen met een SPF-record v=spf1 -all.
Waarom dit nu belangrijk is
Grote mailproviders zoals Google, Yahoo en Microsoft stellen eisen aan afzenders die veel mail versturen, waaronder een geldig DMARC-record. Ook voor kleinere afzenders verbetert een correcte inrichting de bezorging. In Nederland staan SPF, DKIM en DMARC op de lijst met verplichte open standaarden voor de overheid. Met de test op internet.nl ziet u snel hoe uw domein ervoor staat.