DMARC: wat ontvangers moeten doen met nepmail

Module 4: Records voor e-mail · Leestijd: 10 minuten

Leerdoel: Na deze les kun je uitleggen hoe DMARC SPF en DKIM combineert, een geldig DMARC-record opstellen en het beleid stap voor stap aanscherpen.

Kernbegrippen: DMARC, _dmarc, v=DMARC1, beleid p=none / quarantine / reject, uitlijning (alignment), rua-rapporten, sp= en np=, testmodus t=, één DMARC-record

Het ontbrekende stuk

SPF (les 4.3) controleert van welke server een mail komt, maar kijkt naar het technische envelope-adres. DKIM (les 4.4) controleert een handtekening, maar die kan van elk domein zijn. Een oplichter kan dus een mail sturen met "Van: info@example.com" die netjes door SPF komt voor zijn eigen domein en netjes getekend is door zijn eigen domein.

DMARC (Domain-based Message Authentication, Reporting and Conformance) maakt die cirkel rond. Het stelt één vraag: hoort de geslaagde SPF- of DKIM-controle bij het domein dat de ontvanger in het "Van:"-adres ziet? Dat heet uitlijning (alignment). En je vertelt ontvangers wat ze moeten doen als het antwoord nee is.

DMARC is in 2015 beschreven in RFC 7489. In mei 2026 is de herziene versie verschenen als officiële internetstandaard: RFC 9989 (met RFC 9990 en 9991 voor de rapporten). Bestaande records met v=DMARC1 blijven geldig.

Hoe een ontvanger beslist

Komt er een mail binnen met afzender info@example.com, dan doet de ontvanger dit:

1. SPF: komt de mail van een toegestane server, en hoort het envelope-domein bij example.com?
2. DKIM: is er een geldige handtekening, en hoort het tekenende domein (d=) bij example.com?
3. DMARC: is minstens één van die twee geslaagd en uitgelijnd? Dan is de mail in orde. Zo niet, dan volgt de ontvanger jouw beleid.

Eén van de twee is genoeg. Daarom is DKIM zo belangrijk voor diensten die met een eigen envelope-adres versturen, zoals veel nieuwsbriefdiensten: daar slaagt SPF wel, maar niet voor jouw domein. Alleen een DKIM-handtekening met d=example.com maakt het dan in orde.

"Hoort bij" betekent standaard: hetzelfde organisatiedomein. nieuws.example.com hoort bij example.com. Dat heet relaxed uitlijning. Met adkim=s of aspf=s (strict) moet het exact hetzelfde domein zijn. Voor bijna iedereen is relaxed goed.

Hoe ziet een DMARC-record eruit?

Een DMARC-record is een TXT-record op de naam _dmarc van je domein:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Het bestaat uit onderdelen (tags) met een puntkomma ertussen.

Het beleid kiezen

Verstandige volgorde:

1. Eerst SPF en DKIM op orde, voor alle diensten die namens je mailen: je mailprovider, je website, je nieuwsbriefdienst, je boekhoudprogramma, je webwinkel.
2. Begin met p=none en een rua-adres. Kijk een paar weken in de rapporten welke diensten namens je domein mailen en of die slagen.
3. Ga naar p=quarantine, en als alles goed blijft gaan naar p=reject.

Twijfel je of al je diensten goed staan, ga dan niet meteen naar reject. Een vergeten dienst (bijvoorbeeld het programma dat je facturen verstuurt) komt dan niet meer aan.

Sommige hostingbedrijven zetten bij een nieuw pakket meteen een streng DMARC-record (p=reject). Dat is veilig zolang al je mail via hun servers loopt. Ga je ook via andere diensten mailen, controleer dan eerst SPF en DKIM van die diensten.

Rapporten

Met rua=mailto:dmarc@example.com krijg je van grote ontvangers dagelijks een overzicht (een XML-bestand) van wie er namens je domein mailde en of dat slaagde. Handig, maar technisch. Gebruik er een apart adres voor; je krijgt er al snel een paar per dag. Er zijn diensten die de rapporten leesbaar maken.

Stuur je rapporten naar een adres op een ander domein (bijvoorbeeld een rapportagedienst), dan moet dat andere domein in zijn DNS toestemming geven. De dienst regelt dat meestal zelf.

Veelgemaakte fouten

• Twee DMARC-records. Er mag er maar één zijn op _dmarc. Bij twee doet de ontvanger alsof je geen DMARC hebt. Pas het bestaande record aan.
• Op de verkeerde naam. Het record hoort op _dmarc.example.com, niet op example.com zelf.
• Tikfouten in de tags. p=reject werkt, p=rejected of policy=reject niet. Zonder geldige p= telt het record als p=none.
• DMARC aanzetten voordat SPF en DKIM kloppen. Dan weiger je je eigen mail.
• Vergeten na het verwijderen. Een DMARC-record heeft soms een lange TTL (bijvoorbeeld vier uur). Na een wijziging zie je het oude record dus nog even.

Waarom het ertoe doet

Sinds februari 2024 eisen Gmail en Yahoo van verzenders van grote hoeveelheden mail (meer dan zo'n 5.000 per dag) een DMARC-record, minimaal met p=none, en dat SPF of DKIM uitgelijnd slaagt. Microsoft eist hetzelfde sinds mei 2025 voor Outlook.com en Hotmail. Ook voor kleine afzenders verbetert DMARC de aflevering en beschermt het je klanten tegen nepfacturen uit jouw naam.

In de praktijk: zo ziet het eruit in een paneel

In dit voorbeeld gebruiken we DirectAdmin. In DNS Beheer klik je op het potlood achter het TXT-record _dmarc, of maak je een nieuw TXT-record met naam _dmarc en kies je bij TXT Record Type voor DMARC. Bij Domein beleid Type kies je Geen, Quarantaine of Weigeren; bij Geaggregeerde e-mail (RUA) vul je eventueel een rapportadres in. Mijn WebOké heeft een vergelijkbare DMARC-hulp op het tabblad DNS.

Heeft je paneel geen hulp, dan maak je een gewoon TXT-record op _dmarc en typ je de tekst zelf. Het resultaat is hetzelfde.

Samenvatting

• DMARC controleert of SPF of DKIM slaagt voor het domein in het "Van:"-adres (uitlijning).
• Het record staat op _dmarc.<domein>, begint met v=DMARC1 en heeft een beleid p=none, quarantine of reject.
• Eerst SPF en DKIM voor alle diensten, dan p=none met rapporten, dan aanscherpen.
• Precies één DMARC-record per domein.

Quiz

Opdracht

Opzoeken (Z4.5): Zoek het DMARC-record van sidn.nl op (of van je eigen domein). Plak het volledige record en vul in welk beleid (p=) er staat.

Zelf instellen (O4.5): In de oefenzone stuur je de rapporten naar een vast oefenadres; bij je echte domein gebruik je een adres van jezelf. Maak in je oefenzone <code>.dnspractice.eu een DMARC-record met beleid quarantine (of none als je wilt beginnen met monitoren) en rapporten naar dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).5 en O4.5.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; in andere panelen werkt het vergelijkbaar.

• Wat is DMARC? Uitleg in gewone taal
• DirectAdmin handleiding 5.9: DMARC instellen
• DMARC-record aanmaken in DirectAdmin
• WebOké handleiding 5.5: DNS-hulpjes: MX, SPF, DMARC, CAA en SRV
• Openbare e-mailcheck (SPF, DMARC, MX): https://www.weboke.nl/emailcheck, en de mailtest van internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (rapporten); historisch RFC 7489