Hoe lees je DMARC-verzamelrapporten
Een DMARC-record met een rua-adres vraagt elke ontvangende mailserver om een periodiek rapport van wat die heeft gezien. Deze rapporten zijn de enige manier om te weten welke verzendbronnen voor je domein bestaan, voordat je beslist of het veilig is om alles wat faalt te weigeren.
Wat een DMARC-rapport is
Ontvangende mailservers die je rua-adres in DNS zien, sturen meestal dagelijks een XML-rapport terug dat elk verwerkt bericht samenvat dat beweert van je domein te komen — een doorlopende telling van wie er precies als jou verstuurt.
Waarom ze ertoe doen
Zonder rapporten is overstappen naar p=reject giswerk. Rapporten tonen elke verzendbron die voor je domein wordt gebruikt — de legitieme die je hebt geconfigureerd, de legitieme die je bent vergeten, en alles wat niet geautoriseerd is — zodat je SPF/DKIM-dekking kunt herstellen of toevoegen voordat handhaving echte mail blokkeert.
Wat er werkelijk in zit
Elk rapport identificeert de rapporterende organisatie en bevat één record per bron-IP: hoeveel berichten het verstuurde, welke dispositie DMARC toepaste, en de SPF- en DKIM-resultaten samen met de domeinen waartegen die controles werden beoordeeld.
Het ruwe bestand lezen
Rapporten komen binnen als gzip- of zip-gecomprimeerde XML-bijlagen, en daarom leest bijna niemand ze met de hand — een parser of dashboard die de XML omzet in een leesbare tabel is de praktische manier om met een reëel volume aan rapporten te werken.
Waar je op moet letten
- Een bron die je herkent als legitiem maar die faalt op SPF of DKIM — meestal een ontbrekende SPF-include of een niet-geconfigureerde DKIM-selector die hersteld moet worden
- Een bron die je helemaal niet herkent en die als je domein verstuurt — een mogelijke spoofingpoging of ongeautoriseerd gebruik dat het waard is om te onderzoeken voordat het zomaar wordt geblokkeerd
Analyseer een DMARC-rapport
Zie de theorie in de praktijk — voer DMARC-rapportanalyse uit voor je eigen domein.