Skip to main content

DMARC-check: test je DMARC-record

DMARC bepaalt wat ontvangers doen met mail die zich voordoet als jouw domein maar niet door SPF of DKIM wordt gedekt. Met deze DMARC-check lees je het record van je domein uit en zie je welk beleid je hebt, of je rapporten ontvangt en hoe ver je bent met het opbouwen naar een streng beleid.

Controleer je DMARC-record

Vul je domeinnaam in. De check zoekt het record op _dmarc.jouwdomein en leest alle tags uit.

Gratis, zonder account. De resultaatpagina is in het Engels.

Wat doet DMARC?

SPF en DKIM controleren een afzender, maar geen van beide beschermt het van-adres dat je ontvanger in zijn mailprogramma ziet. DMARC lost dat op. Een bericht slaagt voor DMARC als SPF of DKIM slaagt en het domein dat daarbij hoort overeenkomt (alignment) met het domein in het van-adres.

In het DMARC-record zet je ook een beleid: wat moet een ontvanger doen met berichten die falen? En je geeft een adres op waar ontvangers rapporten naartoe sturen. Zonder DMARC kan iedereen mail versturen waarin jouw domein in het van-adres staat.

De drie beleidsniveaus

  • p=none: alleen meten. Mislukte berichten worden gewoon afgeleverd, maar je ontvangt wel rapporten. Dit is een startpunt, geen bescherming.
  • p=quarantine: mislukte berichten gaan naar de spamfolder.
  • p=reject: mislukte berichten worden geweigerd. Dit is het doel voor elk domein waarmee je mailt.

Met pct=25 laat je het beleid maar voor een deel van de mislukte berichten gelden. Dat is bedoeld om stap voor stap op te bouwen, niet als blijvende instelling.

Zo bouw je DMARC veilig op

Spring niet in één keer naar p=reject. Je loopt dan het risico dat je eigen mail wordt geweigerd omdat een dienst die je was vergeten niet goed is ingesteld.

Startrecord, TXT op _dmarc.voorbeeld.nl

v=DMARC1; p=none; rua=mailto:dmarc-rapporten@voorbeeld.nl
  1. Publiceer een TXT-record op _dmarc.jouwdomein met p=none en een rua-adres voor de rapporten.
  2. Verzamel minimaal twee tot vier weken rapporten. Maak een lijst van alle afzenders die namens je domein mailen.
  3. Zorg dat elke rechtmatige afzender slaagt voor SPF of DKIM met alignment. Stel DKIM in bij je nieuwsbrief-, factuur- en helpdeskdienst.
  4. Ga naar p=quarantine, begin met een laag pct en verhoog dat zolang de rapporten schoon blijven.
  5. Ga naar p=reject. Houd het rua-adres en kijk bij elke nieuwe dienst of die slaagt.

Waarom nu? De eisen van Google, Yahoo en Microsoft

Sinds februari 2024 vragen Google en Yahoo van wie in bulk naar hun gebruikers mailt een geldig DMARC-record, minimaal p=none, naast SPF en DKIM. Microsoft heeft voor Outlook.com, Hotmail en Live vergelijkbare eisen ingevoerd voor afzenders met een hoog volume. Zonder DMARC loop je het risico dat je mail geweigerd wordt of in de spamfolder belandt.

p=none voldoet aan de ondergrens, maar beschermt je domein niet tegen misbruik. Zie het als de eerste stap van de opbouw hierboven.

Veelgemaakte DMARC-fouten

  • Het record op het hoofddomein zetten in plaats van op _dmarc.jouwdomein. Ontvangers vinden het daar niet.
  • Twee DMARC-records op dezelfde naam. Zo’n domein heeft geen geldig DMARC-record.
  • Geen rua-adres. Dan zie je niet welke afzenders falen en weet je niet wanneer het veilig is om strenger te worden.
  • Jarenlang op p=none blijven staan.
  • Een rua-adres op een ander domein zonder dat dat domein de rapporten toestaat. Ontvangers leveren ze dan niet af.
  • Vergeten dat subdomeinen het beleid van het hoofddomein erven, tenzij ze een eigen DMARC-record hebben of je sp= gebruikt.
  • Strikte alignment (aspf=s of adkim=s) zetten terwijl een dienst vanaf een subdomein mailt. Dat laat dan mislukken wat eigenlijk goed is.

Over IntoDNS.ai

IntoDNS.ai is een product van Cobytes, een Nederlandse IT-dienstverlener. De DMARC-check is gratis en vraagt geen account.

Veelgestelde vragen

Wat is het verschil tussen none, quarantine en reject?

Bij p=none gebeurt er niets met mislukte mail, je krijgt alleen rapporten. Bij p=quarantine gaat mislukte mail naar de spamfolder en bij p=reject wordt hij geweigerd. Reject is het doel, none is alleen een veilige start.

Waar zet ik mijn DMARC-record?

Als TXT-record op _dmarc.jouwdomein, bijvoorbeeld _dmarc.voorbeeld.nl. Een record op het hoofddomein zelf wordt niet gevonden.

Hoe lang blijf ik op p=none?

Minimaal twee tot vier weken, en tot de rapporten laten zien dat al je rechtmatige afzenders slagen voor SPF of DKIM met alignment. Daarna verhoog je stap voor stap.

Heb ik DMARC nodig als ik weinig mail verstuur?

Ja. Het gaat erom dat anderen jouw domein niet kunnen misbruiken. Ook voor domeinen waarmee je helemaal niet mailt is p=reject een goede keuze, samen met v=spf1 -all.

Hoe lees ik de DMARC-rapporten?

Ontvangers sturen rapporten als gecomprimeerde XML-bestanden. Handmatig lezen is lastig. Gebruik een DMARC-rapportanalyse, zoals onze DMARC report analyzer, om ze om te zetten naar een overzicht per afzender.

Meer lezen en proberen