DMARC
Afkorting van Domain-based Message Authentication, Reporting and Conformance
Wat betekent DMARC?
DMARC is een instelling in de DNS van je domein (de technische adresgegevens) die bepaalt wat mailservers doen met e-mails die niet door de SPF- of DKIM-controle komen. Het is een beveiligingsregel tegen nagemaakte e-mails en je krijgt rapporten over wie namens jouw domein mailt.
Veelgestelde vragen over DMARC
Hoe stel ik een DMARC-record in voor mijn domein?
Je maakt bij je domeinbeheerder of hostingpartij een TXT-record aan in de DNS. Zo werkt het:
- Log in bij het DNS-beheer van je domein.
- Maak een nieuw TXT-record aan met als naam _dmarc.
- Vul als waarde in: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl
- Sla op en wacht tot de wijziging actief is. Dat kan een paar uur duren.
- Controleer met een gratis DMARC-checker of het record goed staat.
Zorg dat SPF en DKIM al goed werken voordat je begint.
Welke DMARC-policy kies ik: none, quarantine of reject?
Begin altijd met p=none. Dan verandert er nog niets aan de bezorging, maar je ontvangt wel rapporten. Daarin zie je welke diensten namens jouw domein mailen, zoals je nieuwsbriefprogramma, boekhoudsoftware of webshop. Zet die eerst goed in SPF en DKIM. Daarna stap je over naar p=quarantine (verdachte mail gaat naar de spam) en uiteindelijk naar p=reject (verdachte mail wordt geweigerd). Hoe lang elke stap duurt, hangt af van het aantal systemen waarmee je mailt en hoe snel je rapporten schoon zijn. Let op: met alleen p=none ben je nog niet beschermd tegen nagemaakte mails.
Heb ik DMARC nog nodig als SPF en DKIM al werken?
Ja. SPF en DKIM controleren of een mail technisch klopt, maar vertellen de ontvangende server niet wat hij moet doen als die controle mislukt. Ook kijken ze niet altijd of het afzenderadres dat je ontvanger ziet overeenkomt met het gecontroleerde domein. Een oplichter kan daardoor toch jouw naam in het Van-veld zetten. DMARC koppelt die twee aan elkaar en geeft een duidelijke instructie. Bovendien eisen grote maildiensten zoals Gmail en Yahoo inmiddels een DMARC-record van afzenders die veel mailen. Zonder record lopen je mails meer kans om in de spam te belanden.
Hoe zorg ik dat mails van mijn WordPress-site door DMARC komen?
Laat WordPress niet via de standaard mailfunctie van je server mailen, want die mails komen vaak niet door SPF en DKIM. Contactformulieren en bestelbevestigingen belanden dan in de spam of worden geweigerd. Zo los je het op:
- Installeer de plugin WP Mail SMTP.
- Koppel een maildienst, zoals je eigen mailbox via SMTP, Google Workspace, Microsoft 365, Brevo of Mailgun.
- Gebruik als afzender een adres op je eigen domein.
- Voeg de SPF- en DKIM-gegevens van die dienst toe aan je DNS.
- Stuur een testmail vanuit de plugin.
Hoe lees ik de DMARC-rapporten die ik ontvang?
De rapporten komen als XML-bestanden binnen op het adres dat je bij rua hebt ingevuld. Die zijn lastig te lezen, dus gebruik een DMARC-analysetool die ze omzet naar overzichtelijke tabellen. Bekende diensten zijn dmarcian, EasyDMARC en Postmark DMARC Digests, sommige met een gratis versie voor kleine volumes. Let in de rapporten op:
- Welke servers namens jouw domein mailen.
- Of die slagen voor SPF en DKIM.
- Onbekende afzenders: dat kan een vergeten dienst zijn of iemand die je domein misbruikt.
Gebruik een apart mailadres voor de rapporten, want het kunnen er veel worden.
