DMARC-rapport
Wat staat er in een DMARC-rapport?
Een DMARC-rapport is een melding die een ontvangende mailserver naar jou terugstuurt over mail die namens jouw domein is verstuurd. Het laat zien welke servers die mail hebben verstuurd, hoeveel berichten er waren en of ze slaagden voor SPF en DKIM. Je krijgt zo zicht op al het mail-verkeer dat met jouw domeinnaam wordt verstuurd, ook van diensten die je zelf bent vergeten.
Je krijgt zulke rapporten alleen als je dat instelt in je DMARC-record, met het veld rua waarin een adres staat. Niet elke ontvanger stuurt ze, en ze komen meestal als XML-bestand, vaak eens per dag per ontvanger. Het ontbreken van een rapport betekent dus niet dat er geen mail namens je domein is verstuurd. Je kunt de rapporten ook gebruiken om te zien of een nieuwe dienst die namens je mailt goed is ingesteld, bijvoorbeeld na een wijziging in je mailinstellingen.
Aggregate- en forensische rapporten
Er zijn twee soorten. Aggregate-rapporten worden ingesteld met rua en geven een samenvatting per bron: het aantal berichten, de afzender en of SPF en DKIM slaagden. Ze bevatten geen inhoud van berichten en zijn het gangbaarst.
Forensische rapporten, ingesteld met ruf, bevatten details over afzonderlijke mislukte berichten. Ze worden lang niet altijd verstuurd, omdat ze persoonsgegevens kunnen bevatten. Voor de meeste domeinen zijn de aggregate-rapporten daarom het belangrijkst.
Waar let je op in zo'n rapport?
Een aggregate-rapport is een XML-bestand en in ruwe vorm lastig te lezen. Meestal gebruik je een tool of dienst die het omzet in een overzicht. Let vooral op de bronnen: welke IP-adressen en diensten hebben mail namens je domein verstuurd? Een onbekende bron die veel mail verstuurt, is een reden om verder te kijken. Vaak blijkt het een dienst te zijn die je bent vergeten in te stellen, zoals een nieuwsbriefsysteem of een contactformulier. De uitlijning die in die rapporten terugkomt, heet DMARC-alignment.
Zie je veel mislukte berichten van bronnen die je niet kent, dan is e-mailspoofing een mogelijke oorzaak. Hoe het beleid zelf werkt, lees je in het artikel over DMARC.
Veelgestelde vragen
Kan ik met een DMARC-rapport zien wie mijn domein heeft nagebootst?
Niet direct. Het rapport toont bronnen en resultaten, niet de persoon achter een eventuele aanval. Een onbekende server die namens jouw domein mailt en faalt op SPF en DKIM, wijst wel op misbruik of spoofing. Verder onderzoek vraagt meestal hulp van je hoster of een specialist.
Hoe vaak krijg ik een DMARC-rapport?
Meestal eens per dag per ontvanger, maar dat hangt af van de ontvanger en het volume mail. Een klein domein krijgt soms weinig of niets. Ook dan zegt het ontbreken van rapporten niet alles over het mailverkeer van je domein. Zie je na een wijziging ineens veel mislukte berichten, dan is dat een reden om de rapporten vaker te bekijken.