DMARC-record maken en controleren
Stel een DMARC-record samen met een veilig traject van monitoring naar handhaving, en controleer het beleid dat een domein vandaag publiceert.
1Beleid
Wat ontvangers moeten doen met mail die beweert van jouw domein te komen maar zowel SPF- als DKIM-uitlijning niet doorstaat.
Laat op overerven staan, tenzij subdomeinen een andere regel nodig hebben.
Onder 100 valt de rest terug op het zwakkere beleid. Handig bij een geleidelijke uitrol.
2Rapportage
Geaggregeerde rapporten zijn het hele punt van beginnen met DMARC: ze laten elke bron zien die als jouw domein verstuurt.
Dagelijkse XML-samenvattingen. Als dit adres op een ander domein staat, moet dat domein een autorisatierecord publiceren.
Kopieën per mislukt bericht. Optioneel: de meeste ontvangers sturen deze niet meer.
3Uitlijning
Hoe nauw het SPF- of DKIM-domein moet overeenkomen met het zichtbare From-domein. Ontspannen past bij de meeste opstellingen.
- Recordtype
- TXT
- Naam / host
- _dmarc
- TTL
- 3600
Spring nooit direct naar reject: je blokkeert dan je eigen nieuwsbrieven, facturen en helpdesk. Ga stap voor stap, en lees telkens je rapporten.
-
Weken 1-4: kijken
p=none; pct=100Publiceer met alleen monitoring en lees de geaggregeerde rapporten. Vind elke legitieme afzender en zorg dat SPF of DKIM voor elk is uitgelijnd. -
Weken 5-6: kwart in quarantaine
p=quarantine; pct=25Zet quarantaine aan voor een deel van de mail. Let op klachten en op alles legitiems dat in de spam belandt. -
Weken 7-8: alles in quarantaine
p=quarantine; pct=100Verhoog naar alle mail. De rapporten moeten nu alleen nog mislukkingen tonen van bronnen die je niet herkent. -
Vanaf week 9: weigeren
p=reject; pct=100Schakel over naar volledige handhaving en blijf de rapporten lezen: nieuwe afzenders duiken op zodra een team zich aanmeldt voor een nieuwe tool.
Stel links een beleid samen met een traject van monitoring naar handhaving, of ga naar de checker om het DMARC-record van een domein tag voor tag te lezen.
| Tag | Waarde | Wat het betekent |
|---|
| Doeldomein | Autorisatierecord | Status |
|---|
Over DMARC-record maken en controleren
De DMARC Record Generator & Checker bouwt het `_dmarc` TXT-record dat ontvangers vertelt wat te doen wanneer mail die beweert van uw domein te komen zowel SPF- als DKIM-uitlijning faalt, en, minstens zo belangrijk, waar de rapporten naartoe moeten die laten zien wie namens u verstuurt. Sinds februari 2024 vereisen Gmail en Yahoo een DMARC record van iedereen die bulkmail naar hun gebruikers stuurt.
De generator behandelt het beleid, het subdomeinbeleid, het percentage, de rapportadressen, de uitlijningsmodi, de foutopties en het rapportage-interval, en beschrijft de uitrol die de meeste domeinen zouden moeten volgen: eerst monitoren, dan een deel in quarantaine, dan alles in quarantaine, dan afwijzen. Direct naar afwijzen springen is hoe organisaties hun eigen facturen, nieuwsbrieven en helpdeskantwoorden blokkeren.
De checker leest het record dat een domein publiceert, legt elke tag uit in gewone taal en valideert deze tegen RFC 7489. De tool meldt een ontbrekend record, meerdere records (die ontvangers behandelen als geen beleid), een verkeerd geplaatste versietag, misvormde of onbekende tags, een `p=none` dat al maanden staat, een `pct` onder de 100, en, een subtiele die uw rapporten stilzwijgend verliest, een `rua`-adres op een ander domein dat het externe-bestemmingsautorisatierecord dat RFC 7489 §7.1 vereist niet heeft gepubliceerd. De tool volgt ook de fallback naar het organisatiedomein, zodat het controleren van een subdomein het beleid toont dat er daadwerkelijk op van toepassing is.
Hoe gebruik je DMARC-record maken en controleren
- Begin op het tabblad Generator met het beleid op alleen monitoren, en voer een adres in voor geaggregeerde rapporten.
- Laat de uitlijning op ontspannen staan, tenzij u weet dat een afzender strikte overeenkomst nodig heeft, en laat pct op 100.
- Publiceer het record als TXT-record met de naam _dmarc op uw domein.
- Lees de geaggregeerde rapporten een paar weken lang en zorg dat SPF of DKIM is uitgelijnd voor elke legitieme afzender die daaruit blijkt.
- Ga naar quarantaine, en vervolgens naar afwijzen, en controleer de rapporten tussen elke stap.
- Gebruik het tabblad Checker bij elke fase om te bevestigen dat het record correct wordt geparsed en dat uw rapportbestemmingen zijn geautoriseerd.