DMARC stap voor stap: van p=none naar p=reject

Met SPF en DKIM kan een ontvanger controleren of een e-mail klopt. Maar wat moet er gebeuren als die controle mislukt? En hoe weet jij dat iemand anders namens jouw domein mailt? Daarvoor is DMARC. Het is het sluitstuk van je authenticatie, en het onderdeel waar de meeste mensen te lang mee wachten.

Dit artikel bouwt voort op SPF instellen en DKIM uitgelegd.

Wat doet DMARC?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het doet drie dingen:

Het controleert uitlijning. Het afzenderadres dat je lezer ziet, moet bij hetzelfde domein horen als het domein dat door SPF of DKIM is goedgekeurd.
Het geeft een instructie. Jij bepaalt wat ontvangers doen met mail die de controle niet doorstaat: niets, naar de spam, of weigeren.
Het stuurt rapporten. Je krijgt overzichten van alle servers die namens jouw domein mailen, en of dat goed ging.

Uitlijning: het deel dat vaak misgaat

Een e-mail slaagt voor DMARC als SPF óf DKIM slaagt, én het bijbehorende domein overeenkomt met het afzenderdomein.

Hier gaat het vaak mis. Je e-mailplatform kan SPF en DKIM allebei laten slagen met zijn eigen domein. In je testmail staat dan twee keer pass, en toch mislukt DMARC, omdat geen van beide op jouw domein staat. De oplossing is DKIM instellen op je eigen domein.

Zo ziet een DMARC-record eruit

DMARC is een TXT-record op _dmarc.jouwdomein.nl:

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl

De belangrijkste onderdelen:

p= is het beleid: none (alleen meekijken), quarantine (naar de spam) of reject (weigeren).
rua= is het adres waar de rapporten naartoe gaan.
sp= is het beleid voor subdomeinen, als je dat anders wilt dan voor het hoofddomein.
pct= is het percentage van de mail waarop het beleid geldt, handig om stapsgewijs op te bouwen.

DMARC invoeren in vijf stappen

1. Begin met p=none

Plaats het record met p=none en een adres voor rapporten. Er verandert niets aan hoe je mail wordt afgeleverd, maar je gaat rapporten ontvangen.

2. Lees de rapporten

De rapporten zijn bestanden in XML en niet prettig om te lezen. Gebruik een dienst die ze voor je omzet in een overzicht. Kijk een paar weken mee, zodat ook afzenders die maar één keer per maand mailen in beeld komen.

3. Los op wat niet klopt

In de rapporten zie je drie soorten afzenders:

Je eigen diensten die slagen. Niets aan doen.
Je eigen diensten die niet slagen. Stel daar SPF en DKIM op je eigen domein in.
Onbekende afzenders. Dat is misbruik, of een dienst die je bent vergeten.

4. Ga naar quarantine

Slagen al je eigen afzenders, zet het beleid dan op quarantine. Begin eventueel met een deel van de mail, bijvoorbeeld pct=25, en bouw dat op naar 100.

5. Eindig op reject

Blijven de rapporten schoon, ga dan naar p=reject. Vanaf dat moment wordt mail die zich voordoet als jouw domein geweigerd.

Veelgemaakte fouten

Te snel naar reject. Wie de rapporten overslaat, blokkeert zijn eigen facturen of orderbevestigingen.
Eeuwig op none blijven. Dan krijg je rapporten, maar is je domein niet beschermd.
Geen rapportadres. Zonder rua= heb je geen idee wat er gebeurt.
Subdomeinen vergeten. Het beleid van je hoofddomein geldt ook voor subdomeinen, tenzij je met sp= iets anders opgeeft.

Controleren

Met de domein-checker zie je in één keer hoe je SPF, DKIM en DMARC ervoor staan en welk beleid er nu geldt.

Samengevat

DMARC koppelt SPF en DKIM aan het afzenderadres dat je lezer ziet.
Het vertelt ontvangers wat ze met verdachte mail moeten doen, en stuurt jou rapporten.
Voer het in stappen in: eerst meekijken, dan naar de spam, dan weigeren.
Neem er de tijd voor. Een paar weken rapporten lezen voorkomt dat je je eigen mail blokkeert.