Tab & Tap
Nederlands

Handleiding

DMARC check: een DMARC-record tag voor tag lezen

DMARC vertelt ontvangende mailservers wat ze moeten doen met berichten die van jouw domein lijken te komen maar SPF en DKIM niet doorstaan. Een fout record laat vervalste mail door, of stuurt je eigen mail naar spam. Zo controleer je het.

Waar het DMARC-record staat

DMARC is een TXT-record op _dmarc. vóór je domein. Voor example.com zoek je het TXT-record van _dmarc.example.com op:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"

Er moet precies één zo'n record zijn. Bij twee DMARC-records negeren ontvangers ze allebei.

De tags die ertoe doen

TagBetekenisVoorbeeld
vVersie. Moet als eerste staan en moet DMARC1 zijn.v=DMARC1
pBeleid voor het domein: none (alleen rapporteren), quarantine (als verdacht behandelen, meestal de spammap) of reject (het bericht weigeren).p=reject
spBeleid voor subdomeinen. Standaard gelijk aan p.sp=quarantine
pctAandeel van de afgekeurde berichten waarop het beleid van toepassing is, 0–100. Standaard 100.pct=25
ruaWaar de geaggregeerde rapporten heen gaan.rua=mailto:dmarc@example.com
rufWaar de foutrapporten heen gaan. Veel providers sturen ze niet.ruf=mailto:forensic@example.com
adkim, aspfAlignmentmodus voor DKIM en SPF: r relaxed (subdomeinen tellen mee, standaard) of s strict.adkim=s

p=none, quarantine of reject?

  • p=none beschermt niets; ontvangers sturen alleen rapporten. Gebruik het een paar weken om te zien wie er mail verstuurt namens je domein.
  • p=quarantine stuurt afgekeurde mail naar spam. Een veilige stap zodra al je diensten slagen.
  • p=reject blokkeert vervalste mail volledig. Het doel voor de meeste domeinen.

Een record met p=none en zonder rua geeft je bescherming noch rapporten, en doet dus helemaal niets.

Hoe DMARC beslist: alignment

Een bericht slaagt voor DMARC als SPF of DKIM slaagt en het gecontroleerde domein overeenkomt met het domein in de From-header. SPF controleert de envelope sender (Return-Path); DKIM controleert het d=-domein in de handtekening. Een nieuwsbriefdienst die met een eigen domein ondertekent, slaagt voor DKIM maar faalt op DMARC-alignment totdat je bij die dienst DKIM voor jouw domein instelt.

Veelgemaakte fouten

  • Het record staat op het domein zelf in plaats van op _dmarc.
  • Twee DMARC-records, of een DMARC-record binnen een SPF-record.
  • pct na het testen onder 100 laten staan, waardoor de meeste vervalste mail nog steeds wordt afgeleverd.
  • Overstappen op p=reject voordat elke verzendende dienst (CRM, helpdesk, nieuwsbrieven) met alignment voor SPF of DKIM slaagt.
  • Rapporten naar een adres op een ander domein sturen zonder het toestemmingsrecord van dat domein.

Controleer ook SPF en DKIM

DMARC hangt af van de andere twee. Een SPF-record moet binnen 10 DNS-lookups blijven, inclusief geneste includes, anders faalt het met een permanente fout. DKIM-sleutels staan onder een selectornaam (bijvoorbeeld google._domainkey) die DNS niet kan opsommen, dus je moet weten welke selector je provider gebruikt.

Bronnen