Wat is DMARC?
Wat is DMARC en waarvoor gebruik je het?
DMARC is een e-mailstandaard waarmee je aangeeft wat ontvangende mailservers moeten doen met berichten die namens jouw domein zijn verstuurd maar niet door de controles komen. Het bouwt voort op SPF en DKIM: DMARC kijkt of die controles kloppen en vertelt de ontvanger wat er dan moet gebeuren.
Zonder DMARC bepaalt elke ontvanger zelf hoe streng hij is bij twijfelachtige mail. Met DMARC bepaal jij dat, en krijg je bovendien rapporten terug over mail die namens jouw domein wordt verstuurd. Dat helpt om misbruik van je domein te herkennen, bijvoorbeeld bij e-mailspoofing.
De drie beleidsniveaus: none, quarantine en reject
Een DMARC-record is een TXT-record in je DNS, op de naam _dmarc van je domein. Het belangrijkste onderdeel is het beleid, het veld p=. Er zijn drie waarden:
- none: er gebeurt niets met mail die niet slaagt. Je ontvangt wel rapporten, en dat is de logische start.
- quarantine: mail die niet slaagt wordt als verdacht behandeld en vaak in de spammap geplaatst.
- reject: mail die niet slaagt wordt geweigerd. Dit is het strengste niveau.
Bij quarantine en reject kan legitieme mail geweigerd worden, bijvoorbeeld van een dienst die je vergeten bent op te nemen in je SPF-record. Daarom begin je meestal met none en bouw je het beleid later op.
Hoe DMARC samenwerkt met SPF en DKIM
DMARC werkt alleen als het domein dat SPF of DKIM controleert overeenkomt met het domein in het zichtbare afzenderadres. Dat heet alignment, uitlijning. Slaagt SPF maar is het domein niet hetzelfde als het afzenderadres, dan telt het niet mee voor DMARC. Hetzelfde geldt voor DKIM.
Voor DMARC hoeft één van de twee te slagen én uitgelijnd te zijn. Het is wel aan te raden om beide in te stellen. Het overzicht van hoe de drie elkaar aanvullen, lees je in het artikel over SPF, DKIM en DMARC.
Welk beleid kies je en hoe bouw je het op?
Begin met none en laat de rapporten een paar weken lopen. Je ziet dan welke diensten namens je domein mailen, zoals je mailserver, een nieuwsbriefdienst of een webformulier. Hoe je die rapporten leest, staat in het artikel over DMARC-rapporten.
Slagen alle legitieme diensten, dan kun je naar quarantine en daarna eventueel naar reject. Is er een dienst die niet slaagt, los dat eerst op. Vraag je hoster ook welke servers zij gebruiken om mail van jouw domein te versturen, zodat je er niets over vergeet.
Veelgestelde vragen
Heb ik DMARC nodig als ik weinig mail verstuur?
Ja, ook dan is het nuttig. Een domein dat weinig mail verstuurt, kan net zo goed gebruikt worden om namens jou te mailen. Met het beleid op none kost het weinig moeite en krijg je inzicht. Zorg wel dat SPF en DKIM kloppen, anders zegt DMARC weinig.
Wat gebeurt er als ik DMARC op reject zet en er iets misgaat?
Dan kan mail die wel van jou komt door ontvangers geweigerd worden. Dat merk je vaak pas als er klachten komen of als een dienst ineens geen mail meer kan versturen. Zet het beleid dan tijdelijk terug naar none of quarantine, los het probleem op en bouw het daarna weer op.
Maakt DMARC mijn domein volledig veilig?
Nee. DMARC maakt misbruik van je domein moeilijker, maar garandeert niet dat niemand ooit namens je mailt. Het werkt alleen zolang ontvangers de standaard ondersteunen. Een gekaapt mailaccount kan DMARC wel doorstaan, dus goed beheer van je accounts blijft nodig.