Wat is DMARC?

DMARC toetst of een bericht zich mag voordoen als jullie From-domein (via SPF of DKIM) en zegt ontvangers wat te doen als dat niet klopt.

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het is een afspraak tussen verzenders en ontvangers over één vraag: mag dit bericht zich voordoen als dit domein?

Iedereen kan in een mailprogramma de afzender factuur@julliedomein.nl invullen. Zonder DMARC heeft de ontvangende mailbox weinig houvast om dat tegen te houden. Met DMARC publiceer je in DNS een regel: kijk of SPF of DKIM het bericht bij dit From-domein horen, stuur mij rapporten, en pas dit beleid toe als dat niet klopt.

Authenticatie

Ontvangers kijken of SPF en/of DKIM het bericht aan jullie From-domein koppelen.

Rapportage

Grote mailboxen sturen aggregaatrapporten: wie mailde, hoeveel, en of de checks slaagden.

Beleid

Jullie zeggen wat er mag gebeuren als de checks falen: meekijken, in spam zetten, of weigeren.

Wat DMARC precies controleert

DMARC kijkt naar het From-domein dat de ontvanger ziet (RFC 5322), niet naar de weergavenaam (“Directeur | Bedrijf”). Een bericht slaagt voor DMARC als minstens één van deze twee klopt én bij dat From-domein hoort (alignment):

  • SPF — het verzendende IP mag mailen namens het envelope-domein, en dat domein hoort bij From.
  • DKIM — de cryptografische handtekening is geldig, en het ondertekende domein hoort bij From.

SPF of DKIM alleen is dus niet genoeg. Ze moeten aligned zijn met het adres dat de gebruiker ziet. Het verschil tussen dat From-adres (header_from) en het bounce-adres (envelope_from) staat in envelope_from en header_from. Het samenspel van de checks staat in Hoe SPF, DKIM en DMARC samenwerken.

Het DMARC-record

Het beleid staat in een TXT-record op _dmarc.julliedomein.nl. Een startrecord ziet er ongeveer zo uit:

Voorbeeld
TypeTXT
Naam_dmarc
Waardev=DMARC1; p=none; rua=mailto:dmarc+…@reports.dmarcs.nl; fo=1;

De belangrijkste tags:

  • v=DMARC1 — versie; verplicht.
  • p= — hoofdpolicy: none (alleen kijken), quarantine (spam/quarantaine) of reject (weigeren).
  • sp= — optioneel ander beleid voor subdomeinen, zoals mail.julliedomein.nl.
  • pct= — op welk percentage van de falende mail het beleid geldt (standaard 100).
  • rua= — waar aggregaatrapporten naartoe mogen.
  • adkim / aspf — relaxed of strict alignment (standaard relaxed: subdomeinen mogen meedoen).

Het pad naar handhaving

  1. Monitoren (p=none) — ontvangers sturen rapporten, maar laten alles door. Niemands inbox verandert.
  2. Bronnen herstellen — Microsoft 365, nieuwsbrieven, ticketsystemen: SPF en DKIM aligned maken.
  3. Quarantaine — verdachte mail mag in spam. Eigen mail moet dan al grotendeels in orde zijn.
  4. Weigeren (p=reject) — ontvangers die DMARC toepassen, weigeren nepmail op jullie exacte domein.

Te vroeg op slot zetten blokkeert eigen mail. Facturen, HR-berichten of campagnes die nog niet aligned zijn, vallen dan ook af. Daarom begint een DMARC-implementatie altijd met meekijken. In dmarcs scherpt de advisor pas aan als jullie echte verkeer dat toelaat.

Wat DMARC wél en niet kan

Wel

  • Voorkomen dat derden het exacte From-domein misbruiken, zodra p=quarantine of p=reject actief is.
  • Laten zien welke systemen namens jullie mailen, via aggregaatrapporten.
  • Voldoen aan wat Google, Yahoo en Microsoft van serieuze verzenders verwachten.

Niet

  • Look-alikes (jullied0mein.nl) of alleen een valse weergavenaam.
  • Een gehackt maar legitiem mailboxaccount: die mail passeert SPF en DKIM.
  • Inboxplaatsing garanderen. Correcte DMARC is nodig, niet voldoende.

Op p=none handhaaft DMARC niets. Jullie zien dan alleen wat er gebeurt. Handhaving begint pas bij quarantaine of weigeren.

Rapporten

Ontvangers zoals Google en Microsoft sturen meestal dagelijks een XML-aggregaatrapport (RUA). Daarin staan volumes, bron-IP’s, SPF/DKIM-resultaten en wat de ontvanger met de mail deed. Failure reports (RUF) gaan over losse fouten; de meeste grote partijen sturen die nauwelijks.

Eerste rapporten komen vaak 24 tot 48 uur na een correct DMARC-record. Kleinere ontvangers sturen soms niets. Het overzicht is een goed beeld van het merendeel van het verkeer, geen volledige telling van elke mailbox.

In dmarcs komen die rapporten binnen op een uniek adres per domein. Hoe je het beleid vanuit de portal laat bijhouden, staat in Managed DMARC.