Wat is DMARC? Uitleg in gewone taal
DMARC is een instelling voor je domeinnaam die ontvangers vertelt wat ze moeten doen met e-mail die zogenaamd van jouw domein komt, maar niet echt van jou is. Het beschermt jou en de mensen die je mailt tegen nep-e-mail uit jouw naam (spoofing en phishing) en zorgt dat je echte e-mail beter aankomt.
In het kort
- DMARC is een TXT-record in de DNS van je domein, met de naam
_dmarc. - Het bouwt voort op twee andere controles: SPF (welke servers mogen mailen namens je domein) en DKIM (een digitale handtekening op elke e-mail).
- In het DMARC-record kies je een beleid: niets doen, in de spam zetten of weigeren.
- Grote mailproviders zoals Gmail, Outlook en Yahoo verwachten tegenwoordig een DMARC-record. Zonder DMARC komt je e-mail vaker in de spam terecht.
Waarom is DMARC nodig?
Iedereen kan een e-mail versturen met een afzender die op jouw adres lijkt, bijvoorbeeld info@jouwdomein.nl. De ontvanger ziet dan niet meteen dat het nep is. Oplichters gebruiken dat om facturen te vervalsen of wachtwoorden te stelen. Met DMARC laat je zien welke e-mail echt van jou is en vraag je de ontvanger om nep-e-mail te weigeren of in de spam te zetten.
Hoe werkt het?
Komt er een e-mail binnen met jouw domein als afzender, dan controleert de ontvangende mailserver drie dingen:
- SPF: is de e-mail verstuurd vanaf een server die in het SPF-record van je domein staat?
- DKIM: klopt de digitale handtekening die jouw mailserver aan de e-mail heeft meegegeven?
- DMARC: hoort de goedgekeurde SPF- of DKIM-controle ook echt bij het domein in het afzenderadres? Zo ja, dan is de e-mail in orde. Zo nee, dan volgt de ontvanger het beleid uit jouw DMARC-record.
Hoe ziet een DMARC-record eruit?
Een DMARC-record is een TXT-record op _dmarc.jouwdomein.nl, bijvoorbeeld:
v=DMARC1; p=quarantine; rua=mailto:dmarc@jouwdomein.nl
| Onderdeel | Betekenis |
|---|---|
v=DMARC1 | Dit is een DMARC-record. Staat altijd vooraan. |
p=none | Beleid "niets doen": de ontvanger levert de e-mail gewoon af, maar je kunt wel rapporten ontvangen. Handig om mee te beginnen. |
p=quarantine | Beleid "in quarantaine": e-mail die niet klopt, komt in de spammap. Dit is wat wij standaard aanraden. |
p=reject | Beleid "weigeren": e-mail die niet klopt, wordt helemaal niet afgeleverd. De strengste en veiligste stand. |
rua=mailto:... | Optioneel: een e-mailadres waar je dagelijkse rapporten ontvangt over wie e-mail verstuurt namens je domein. |
Stap voor stap aan de slag
- Zorg dat SPF klopt. Mail je ook via een andere dienst, zoals een nieuwsbriefprogramma of Microsoft 365, zet die dan ook in je SPF-record. Lees SPF record toevoegen of wijzigen in DirectAdmin.
- Zorg dat DKIM aan staat. Bij een hostingpakket van WebOké staat DKIM standaard aan voor e-mail die via onze servers gaat.
- Maak het DMARC-record aan. Begin bij twijfel met
p=noneen een rapportadres, en ga na een paar weken naarp=quarantineofp=reject. Hoe je het record aanmaakt, lees je in DMARC record aanmaken in DirectAdmin. Je kunt het ook doen in Mijn WebOké, bij Mijn domeinen, onder DNS. - Controleer je instellingen. Met onze gratis e-mailcheck zie je direct of SPF, DKIM en DMARC goed staan. Ook de Internet.nl checklist helpt je verder.
Veelgestelde vragen
Wordt mijn eigen e-mail geweigerd als ik DMARC aanzet?
Niet als SPF en DKIM goed staan. Verstuur je e-mail via een dienst die niet in je SPF-record staat en die niet met jouw domein ondertekent, dan kan die e-mail met p=quarantine of p=reject in de spam belanden of geweigerd worden. Begin daarom bij twijfel met p=none en kijk in de rapporten wie er namens je domein mailt.
Moet ik een rapportadres invullen?
Dat hoeft niet. De rapporten zijn technisch en vooral handig als je wilt weten welke diensten namens je domein mailen. Gebruik er bij voorkeur een apart adres voor, want je kunt er dagelijks een paar ontvangen.
Ik gebruik Microsoft 365 of Google Workspace. Werkt DMARC dan ook?
Ja. Zet de dienst in je SPF-record, zet DKIM aan in die dienst en maak daarna het DMARC-record aan bij WebOké. De volgorde maakt het verschil: eerst SPF en DKIM, dan DMARC.
Hebben jullie een DMARC-record voor mij klaarstaan?
Ja. De e-mailcheck en Mijn WebOké stellen het record v=DMARC1; p=quarantine voor als er nog geen DMARC-record is. Kom je er niet uit, stuur ons dan een bericht: we helpen je graag.