Een DMARC check vertelt u in een paar seconden of uw domein beschermd is, maar de echte keuze zit in de policy die u instelt.
Kort antwoord
U doet een DMARC check door het TXT-record op _dmarc.uwdomein.nl op te vragen, met een online DMARC-checker of met nslookup. Daarin staat uw DMARC policy: p=none (alleen meten), p=quarantine (verdachte mail naar de spam) of p=reject (verdachte mail weigeren). Begin met none, lees een paar weken de rapporten, en schuif pas op als al uw eigen mail netjes slaagt.
Zo controleert u uw DMARC-record
De achtergrond van DMARC leg ik uit in "SPF, DKIM en DMARC uitgelegd in gewone taal". Hier gaat het om controleren en kiezen.
Online: zoek op "DMARC checker", vul uw domein in en u ziet het record en eventuele fouten.
Zelf: typ in de opdrachtprompt nslookup -type=txt _dmarc.uwdomein.nl.
Een record ziet er bijvoorbeeld zo uit: v=DMARC1; p=none; rua=mailto:dmarc@uwdomein.nl
Wat de onderdelen betekenen:
v=DMARC1 moet vooraan staan, anders telt het niet.
p= is de policy voor uw hoofddomein.
rua= is het adres waar ontvangers zoals Google en Microsoft dagelijkse rapporten naartoe sturen.
sp= is een aparte policy voor subdomeinen. Staat hij er niet, dan geldt p= ook voor subdomeinen.
pct= laat de policy op een deel van de mail gelden, bijvoorbeeld 25 procent. Handig bij een voorzichtige overstap.
Ziet de checker niets, dan heeft u geen DMARC. Dat is geen ramp voor de bezorging van een gewone mailbox, maar Google en Yahoo eisen sinds 2024 wel een DMARC-record van partijen die grote aantallen mails versturen, en zonder DMARC kan iedereen makkelijker uw domein misbruiken.
Wanneer slaagt een mail voor DMARC?
Een mail slaagt als SPF of DKIM slaagt en het domein daarvan overeenkomt met het afzenderadres dat de ontvanger ziet. Dat laatste heet uitlijning. Een nieuwsbriefprogramma dat mailt met uw adres als afzender, maar SPF en DKIM op een eigen domein regelt, faalt dus voor DMARC, ook al is SPF op zich in orde. Dit is de meest voorkomende reden dat bonafide mail in de rapporten als fout verschijnt.
De drie policies naast elkaar
p=none: er gebeurt niets met de mail, u krijgt alleen rapporten. Dit is de veilige startstand. Het nadeel: oplichters kunnen nog steeds namens u mailen.
p=quarantine: mail die faalt gaat bij de ontvanger naar de spam. Dit is een goede tussenstap.
p=reject: mail die faalt wordt geweigerd. Dit geeft de beste bescherming, maar een vergeten verzender, zoals uw boekhoudpakket, wordt dan ook geweigerd.
Zo schuift u veilig op
Zet p=none met een rua-adres en wacht twee tot vier weken.
Lees de rapporten. Ze komen als XML-bestandjes binnen; die zijn niet prettig om te lezen, dus gebruik een gratis rapportdienst die ze omzet naar een overzicht.
Zoek in het overzicht naar uw eigen diensten die falen: webshop, factuurprogramma, nieuwsbrief, contactformulier. Regel voor elk SPF en vooral DKIM op uw eigen domein.
Ga naar p=quarantine, eventueel eerst met pct=25.
Zijn er een paar weken geen verrassingen, dan kunt u naar p=reject.
Bij veel kleine ondernemers die alleen via Microsoft 365 of Google Workspace mailen, is dit traject kort. Wie vijf verschillende systemen laat mailen, heeft er meer werk aan.
Veelgestelde vragen
Is p=none dan nutteloos?
Nee. Het levert u inzicht en het voldoet aan de minimumeis van de grote mailpartijen. Maar het beschermt uw domein niet tegen misbruik, dus zie het als een begin.
Kan mijn eigen mail kwijtraken door p=reject?
Ja, als een dienst die namens u mailt niet goed is ingesteld. Daarom eerst rapporten lezen. Doorgestuurde mail kan ook soms falen; DKIM overleeft doorsturen meestal beter dan SPF.
Moet ik een apart mailadres maken voor de rapporten?
Het is wel zo prettig. Er kunnen dagelijks meerdere rapporten binnenkomen, en die wilt u niet tussen uw klantmail hebben.
Hulp nodig?
Wilt u dat ik uw DMARC-rapporten doorneem en de stap naar quarantine of reject begeleid? Dat valt onder hosting en onderhoud.
