DMARC instellen — stapsgewijze gids

DMARC (Domain-based Message Authentication, Reporting & Conformance) vertelt ontvangende mailservers wat ze moeten doen als e-mail van jouw domein de authenticatie niet doorstaat. Het bouwt voort op SPF en DKIM en geeft je controle over en inzicht in je e-mail.

SPF controleert de verzendende server, DKIM controleert de handtekening en DMARC bepaalt wat er gebeurt als een van beide faalt.

Vereisten

Voordat je DMARC instelt, zou je het volgende moeten hebben:

SPF record ingesteld voor je domein
DKIM-ondertekening ingericht bij je e-mailprovider

DMARC controleert of minstens één van SPF of DKIM overeenkomt met het From:-domein.

Stap 1: een DMARC-record voor monitoring aanmaken

Start with p=none — hiermee monitor je zonder e-mail te weigeren. Voeg een TXT-record toe op _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

Hiermee vraag je ontvangende servers om samengevatte rapporten naar je e-mailadres te sturen.

Stap 2: de rapporten bekijken

Na een paar dagen ontvang je XML-rapporten die laten zien welke servers e-mail vanaf je domein versturen en of ze SPF/DKIM doorstaan. Bekijk ze om te controleren of je legitieme e-mail correct wordt geauthenticeerd.

Gebruik een DMARC-rapportanalyse (er zijn veel gratis opties) om het XML in leesbare vorm te zetten.

Stap 3: naar quarantaine overstappen

Zodra je legitieme e-mail consequent doorkomt, zet je het om naar p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

The pct=10 betekent dat het beleid alleen op 10% van de falende e-mail wordt toegepast. Verhoog dit geleidelijk naar 100% zodra je er vertrouwen in hebt.

Stap 4: handhaven met reject

Het strengste beleid — falende e-mails worden direct geweigerd:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parameters van een DMARC-record

Tag	Example	Description
`p`	`p=reject`	Beleid: none, quarantine of reject
`sp`	`sp=quarantine`	Beleid voor subdomeinen (neemt p over als het ontbreekt)
`pct`	`pct=50`	Percentage van de e-mail waarop het beleid geldt (1-100)
`rua`	`rua=mailto:[email protected]`	Bestemming voor samengevatte rapporten
`ruf`	`ruf=mailto:[email protected]`	Bestemming voor forensische (fout)rapporten
`adkim`	`adkim=s`	DKIM-uitlijning: s (streng) of r (ruim)
`aspf`	`aspf=r`	SPF-uitlijning: s (streng) of r (ruim)

DMARC-uitlijning uitgelegd

DMARC vereist "uitlijning": het domein in de From:-header van de e-mail moet overeenkomen met het domein dat bij de SPF- of DKIM-authenticatie is gebruikt:

Relaxed (r) — subdomeinen zijn toegestaan (standaard). mail.example.com aligns with example.com
Strict (s) — exacte overeenkomst vereist. mail.example.com komt NIET overeen met example.com

Veelgemaakte fouten

Direct naar p=reject gaan zonder eerst te monitoren — legitieme e-mail kan dan falen
Het record op de domeinroot plaatsen in plaats van op _dmarc.yourdomain.com
SPF en DKIM niet eerst instellen
Vergeten rua op te nemen — zonder rapporten kun je niet volgen wat er gebeurt

Controleer je DMARC-record

Gebruik de e-mailbeveiligingscontrole om te verifiëren dat je DMARC goed staat ingesteld:

Je DMARC controleren →← Wat is SPF?

Probeer het op je domein

Zie de theorie in de praktijk — voer E-mailbeveiligingscontrole uit voor je eigen domein.