DMARC instellen: van p=none naar reject
Kort antwoord: DMARC is een TXT-record op _dmarc.jouwdomein.nl dat ontvangers vertelt wat ze doen met mail die niet door SPF of DKIM komt, en waar ze rapporten heen sturen. Begin met v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl, lees een paar weken de rapporten, en ga daarna naar p=quarantine en uiteindelijk p=reject.
Waarom DMARC?
SPF en DKIM controleren elk een deel van een e-mail, maar zeggen niet wat een ontvanger moet doen als het misgaat. DMARC doet dat wel, en het eist dat het domein dat je ontvanger als afzender ziet, overeenkomt met het domein dat door SPF of DKIM is gecontroleerd ("alignment"). Daardoor kan iemand niet meer zomaar mailen als info@jouwdomein.nl.
Gmail en Yahoo vragen sinds 2024 een DMARC-record van wie grote aantallen mail verstuurt. Ook voor kleine verzenders verbetert het de kans dat je mail aankomt.
Het record
_dmarc.bakkerjansen.nl. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@bakkerjansen.nl"
p=het beleid:none(alleen rapporteren),quarantine(naar de spam) ofreject(weigeren).rua=het adres voor dagelijkse overzichtsrapporten.pct=optioneel: op welk percentage van de mail het beleid wordt toegepast, handig bij de overstap.sp=optioneel: een apart beleid voor subdomeinen.
Stap voor stap
1. Begin met p=none
Met p=none verandert er nog niets aan de bezorging, maar ontvangers sturen je rapporten. Zo zie je welke servers namens je domein mailen: je e-mailaanbieder, je nieuwsbrief, je boekhoudpakket, je webshop.
2. Lees de rapporten en repareer
Voor elke legitieme bron controleer je of SPF of DKIM slaagt én overeenkomt met je domein. Ontbreekt er een dienst, voeg die dan toe aan je SPF-record of zet de DKIM-records van die dienst. Neem hier een paar weken voor.
3. Ga naar quarantine
Klopt alles, zet dan p=quarantine. Wil je voorzichtig zijn, begin met pct=25 en verhoog stap voor stap naar 100.
"v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@bakkerjansen.nl"
4. Eindig met reject
Blijven de rapporten schoon, ga dan naar p=reject. Valse mail met jouw domein wordt dan geweigerd.
"v=DMARC1; p=reject; rua=mailto:dmarc@bakkerjansen.nl"
De rapporten lezen
De rapporten zijn XML-bestanden die grote ontvangers dagelijks sturen. Per bron (IP-adres) staat erin hoeveel berichten er kwamen en of SPF en DKIM slaagden en overeenkwamen. Lees ze niet met de hand: een DMARC-rapportagedienst maakt er overzichtelijke grafieken van. Let vooral op bronnen die je niet herkent (mogelijk misbruik) en bronnen die je wel herkent maar die falen (moet je repareren).
Domeinen zonder e-mail
Gebruik je een domein niet voor e-mail, zet dan meteen een strikt beleid, samen met een leeg SPF-record:
jansenbrood.nl. IN TXT "v=spf1 -all" _dmarc.jansenbrood.nl. IN TXT "v=DMARC1; p=reject"
Zo regel je het bij CloudVikings
Met het DMARC-recept in Mijn CloudVikings kies je het beleid en het adres voor de rapporten; je ziet vooraf wat er verandert. Voor domeinen zonder e-mail is er een apart recept dat SPF en DMARC strikt zet. Of vraag je AI-assistent de opdracht E-mail instellen op je domein. Zie e-mail instellen.
Veelgestelde vragen
Kan DMARC mijn eigen mail tegenhouden?
Ja, als je te snel naar quarantine of reject gaat terwijl een legitieme dienst nog niet goed is ingesteld. Daarom begin je met p=none en lees je eerst de rapporten.
Wat is alignment?
Het domein dat je ontvanger als afzender ziet, moet overeenkomen met het domein dat SPF of DKIM heeft gecontroleerd. Een nieuwsbriefdienst die met zijn eigen domein ondertekent, telt dus niet mee totdat je zijn DKIM-records op jouw domein zet.
Hoe lang duurt het voordat ik rapporten krijg?
Meestal binnen een of twee dagen nadat het record actief is.
Bronnen: RFC 7489 (DMARC); Google: richtlijnen voor afzenders.