Hoe Managed DMARC werkt

Je zet één CNAME op _dmarc. Daarna pas je policy en rapportadressen aan in DMARC Beheer, zonder telkens een nieuwe TXT bij de registrar.

Met Managed DMARC publiceert dmarcs het DMARC-beleid voor je. Jij zet één CNAME; wij houden de TXT bij. Ontvangers volgen die CNAME en zien de actuele policy (na hun DNS-cache / TTL).

DNS-verwijzing

In DMARC Beheer kies je Managed DMARC. Het platform toont daarna het record dat bij jullie DNS moet:

Bij jullie DNS
TypeCNAME
Naam_dmarc
Waarde_dmarc.julliedomein.nl.dmarcpolicy.nl

Op onze zone staat de echte TXT, bijvoorbeeld:

v=DMARC1; p=none; rua=mailto:dmarc+TOKEN@reports.dmarcs.nl; ruf=mailto:ruf+TOKEN@reports.dmarcs.nl; fo=1;

Verwijder een bestaand TXT-record op _dmarc voordat je de CNAME zet. TXT en CNAME op dezelfde naam botsen.

Wat je in de portal instelt

  • Hoofdpolicy — monitoren, quarantaine of weigeren.
  • Subdomeinen — dezelfde regel, of een eigen sp.
  • Percentage — geleidelijke uitrol (pct), als je niet in één keer 100% wilt handhaven.
  • Extra rapportadres — naast dmarcs ook naar bijvoorbeeld security@jullie-organisatie.
  • Geavanceerd — alignment (relaxed/strict), failure-opties (fo), extra RUF-adres.

Opslaan schrijft de TXT op onze zone bij. Ontvangers met een korte TTL zien de nieuwe policy snel; reken anders op de TTL van de CNAME (vaak minuten tot een uur).

Rapportadressen

Elk domein in dmarcs krijgt een eigen token. Aggregaatrapporten (RUA) gaan naar dmarc+TOKEN@reports.dmarcs.nl, failure reports (RUF) naar ruf+TOKEN@reports.dmarcs.nl. Die adressen zet dmarcs automatisch in het record. Je hoeft ze niet zelf in DNS te typen.

Zonder geldig rua= blijven de grafieken leeg, ook als de policy al live is. Eerste rapporten: meestal 24–48 uur.

Advisor en rollout

De advisor kijkt naar jullie echte verkeer en zegt wanneer de volgende policy-stap veilig is. In DMARC Beheer staat die volgende stap klaar als knop — jij bevestigt. dmarcs zet p=reject niet uit zichzelf aan.

Start met monitoren. Scherp pas aan als de hoofdsystemen aligned zijn. Een te vroege reject is de snelste manier om eigen facturen of wachtwoordmails te blokkeren.

Als de CNAME wegvalt

Dan zien ontvangers geen (of een oud) beleid. We controleren de koppeling dagelijks. Onder Notificaties → Managed DNS zet je wie daar een mail over krijgt. Zelf beheren kan altijd terug: we tonen dan weer de TXT die jij bij de DNS van het domein moet zetten.