Wat DMARC bepaalt
SPF en DKIM bewijzen elk iets over een domein, maar geen van beide kijkt naar het adres in de From-regel, terwijl mensen juist dat adres lezen. DMARC koppelt ze eraan. Een bericht slaagt voor DMARC wanneer SPF of DKIM slaagt voor een domein dat overeenkomt met het From-domein. Het record vertelt ontvangers wat ze moeten doen met een bericht dat niet slaagt.
Het record staat in DNS als een TXT-record op _dmarc gevolgd door je domein. Als er voor die naam geen record bestaat, zoeken ontvangers in plaats daarvan het organisatiedomein op, het geregistreerde domein, bijvoorbeeld example.com voor news.example.com. Daardoor kan een subdomein worden beschermd zonder een eigen record.
Het DMARC-beleid lezen
p=none vraagt ontvangers niets te doen en alleen rapporten te versturen. Iedereen zou hiermee moeten beginnen, maar veel te veel domeinen blijven hier jarenlang op staan. Zolang dit beleid actief is, kan iedereen e-mail versturen met je domein in de From-regel en is de ontvanger geïnstrueerd om die door te laten.
p=quarantine stuurt e-mail die niet slaagt naar spam, p=reject weigert deze bij binnenkomst. Gmail en Yahoo verplichten bulkverzenders sinds februari 2024 om een DMARC-record te publiceren. Een record met p=none voldoet op papier aan die eis, maar de controle markeert het nog steeds als waarschuwing.
DMARC-rapporten die nooit aankomen
De rua-adressen ontvangen van elke ontvanger die je e-mail ziet een aggregatierapport, standaard eenmaal per dag. Als een adres op een ander domein staat dan het domein waarvoor het record geldt, vereist RFC 7489 dat dit andere domein een autorisatierecord publiceert waarin staat dat het rapporten voor jouw domein accepteert. De controle zoekt dit record voor elk extern adres op. Zonder dit record verwijderen ontvangers de rapporten.
Vragen
Hoe voeg ik een DMARC-record toe?
Publiceer een TXT-record op _dmarc gevolgd door je domein, met v=DMARC1 en een beleid, bijvoorbeeld v=DMARC1; p=none; rua=mailto:dmarc@example.com. Begin met p=none, lees de rapporten een paar weken en ga daarna over op quarantine en later op reject. Controleer het record hier zodra DNS het heeft verwerkt.
Is p=none slecht?
Als eerste stap doet p=none wat het moet doen: rapporten verzamelen zonder de bezorging te beïnvloeden. Zo vind je de diensten die namens je verzenden maar nog niet zijn geauthenticeerd. Het wordt een probleem als p=none blijft staan, want de rapporten zijn bedoeld om over te stappen op quarantaine en daarna op afwijzen.
Heb ik voor elk subdomein een apart record nodig?
Een subdomein zonder eigen record valt terug op het record van het organisatiedomein. De tag sp in dat record bepaalt het beleid voor subdomeinen. Eén record dekt ze daarom meestal allemaal.
Relaxed of strict alignment?
Relaxed, tenzij je een reden hebt om strict te gebruiken. Bij relaxed alignment telt een DKIM-handtekening van mail.example.com voor From-adressen op example.com. Strict alignment verbreekt dit, en daarmee ook veel configuraties waarbij een provider met een subdomein ondertekent.
Wat betekent "DMARC policy not enabled"?
Dit betekent dat het DMARC-record van het domein p=none vermeldt, of dat het domein helemaal geen DMARC-record heeft. Met p=none leveren ontvangers mail die de controle niet doorstaat gewoon af en sturen ze alleen rapporten naar het rua-adres. Er wordt dus nog niemand tegengehouden die uit naam van je domein verzendt.
Volledige handleiding: DMARC policy not enabled
Kan een domein meer dan één DMARC-record hebben?
Nee. Als _dmarc twee TXT-records bevat die met v=DMARC1 beginnen, negeren ontvangers beide en behandelen ze het domein alsof het geen DMARC-record heeft. Behoud één record en voeg daaraan de tags toe die je uit het andere record nodig hebt.
Quarantaine of weigeren?
Begin met quarantine. Ontvangers behandelen mail die de controle niet doorstaat als verdacht en plaatsen die meestal in spam. Zo belandt mail van een legitieme dienst die je over het hoofd hebt gezien in een map, in plaats van dat het bericht verloren gaat. Stap over op reject wanneer uit de rapporten enkele weken lang blijkt dat geen van je berichten faalt.