Steeds meer organisaties gebruiken Microsoft 365, een CRM, een nieuwsbriefplatform en facturatiesoftware om e-mail te versturen. Al die systemen kunnen je domeinnaam gebruiken. DMARC (Domain-based Message Authentication, Reporting and Conformance) helpt ontvangende mailservers om te beoordelen of een bericht namens het zichtbare afzenderdomein hoort te worden geaccepteerd, en geeft je via rapportages zicht op de resultaten.

Hoe werkt DMARC?

DMARC bouwt voort op twee controles: SPF (welke servers mogen namens een envelope-domein verzenden?) en DKIM (is er een geldige digitale handtekening namens een domein?). DMARC vraagt daarnaast of ten minste één van die geslaagde controles ook aansluit bij het domein dat de ontvanger in het zichtbare afzenderadres ziet. Dat heet alignment.

Een bericht kan een geldige DKIM-handtekening hebben van een nieuwsbriefleverancier en alsnog DMARC missen, wanneer de ondertekende domeinnaam niet voldoende overeenkomt met het domein achter From:. Bij SPF geldt hetzelfde onderscheid tussen het envelope-domein en het zichtbare afzenderadres.

Praktijkvoorbeeld: je medewerkers versturen met Microsoft 365. De facturatiesoftware stuurt eveneens vanaf facturen@bedrijf.nl, maar gebruikt de ondertekening van de softwareleverancier. De DMARC-rapporten laten zien dat de factuurmails een verkeerde alignment hebben. Je kunt dat met de leverancier herstellen vóór je het DMARC-beleid aanscherpt.

Wat betekent p=none, quarantine of reject?

DMARC wordt in DNS gepubliceerd, doorgaans onder _dmarc.voorbeeld.nl. Een eenvoudig voorbeeld:

_dmarc.voorbeeld.nl TXT "v=DMARC1; p=none; rua=mailto:rapporten@voorbeeld.nl"
  • p=none: ontvangers worden gevraagd geen DMARC-gebaseerde afhandeling op te leggen; dit is geschikt om eerst rapportage op te bouwen.
  • p=quarantine: ontvangers worden gevraagd berichten die DMARC niet halen als verdacht te behandelen, bijvoorbeeld in spam.
  • p=reject: ontvangers worden gevraagd zulke berichten af te wijzen.

De uiteindelijke verwerking is aan de ontvangende mailprovider. De beleidsinstelling garandeert niet dat iedere ontvanger hetzelfde handelt.

Het rua=-adres vertelt rapporterende ontvangende partijen waar geaggregeerde statistieken mogen worden afgeleverd. Bij een rapportbestemming buiten het eigen domein kan een aanvullende DNS-autorisatie nodig zijn.

Waarom is DMARC-monitoring nuttig?

Het DNS-record vertelt welk beleid je publiceert. DMARC-monitoring helpt zichtbaar maken wat rapporterende ontvangers daadwerkelijk zien: aantallen, bron-IP's, het gerapporteerde SPF- en DKIM-resultaat en de alignment voor je domein. Daaruit kun je afleiden welke bekende maildiensten goed zijn ingesteld en welke nieuwe of onbekende bronnen onderzoek verdienen.

Rapporten zijn doorgaans geaggregeerd, bevatten meestal geen berichtinhoud en komen niet van iedere ontvangende mailprovider. De getoonde aantallen zijn daarom een relevant maar onvolledig beeld van het totale e-mailverkeer. Een onbekend IP-adres is een aanleiding voor verificatie, geen automatisch bewijs van misbruik.

Lees verder: Hoe werkt DMARC-monitoring? en DMARC-rapporten analyseren.

Hoe voert je DMARC verantwoord in?

  1. Maak een overzicht van alle diensten die namens je domein mail versturen: werknemers, systemen, CRM, facturatie en nieuwsbrieven.
  2. Controleer SPF en DKIM per verzenddienst en toets de alignment in echte testmails.
  3. Begin met p=none en ontvang rapportages gedurende een representatieve periode.
  4. Onderzoek afwijkingen en betrek de verantwoordelijke leveranciers bij herstel.
  5. Scherp beleid zorgvuldig aan naar quarantine en daarna reject wanneer je heeft bevestigd dat essentiële legitieme verzendstromen blijven werken.
  6. Blijf monitoren. Nieuwe leveranciers en wijzigingen in e-mailplatformen beïnvloeden de resultaten.

Veelgestelde vragen

Is DMARC verplicht? Dat hangt af van het toepasselijke beleid, de eisen van je organisatie en eventuele contracten of sectorverplichtingen. Los van een formele verplichting helpt DMARC bij het beheersen van misbruik van je domeinnaam.

Betekent p=reject dat phishing is opgelost? Nee. DMARC helpt tegen een specifieke vorm van domeinmisbruik. Lookalike-domeinen, gecompromitteerde accounts en frauduleuze inhoud vragen aanvullende maatregelen.

Kan Kynexis het DMARC-record voor ons wijzigen? Met Kynexis Domeinmonitoring krijgt je inzicht en signalen. Concrete wijzigingen aan DNS en e-mailvoorzieningen voert je bevoegde beheerder uit of worden op basis van afzonderlijke afspraken begeleid.

Samenvatting

DMARC verbindt SPF, DKIM en domeinuitlijning aan beleid voor ontvangende mailservers. Periodieke rapportanalyse laat zien welke verzendstromen aandacht verdienen en helpt je het beleid met meer zekerheid aan te scherpen. Bekijk Kynexis Domeinmonitoring.

Externe naslag voor redactie: RFC 7489 en opvolgende actuele DMARC-rapportage-RFC; Internet.nl e-mailtest. Bouw een toegankelijk stappenplaatje: ontvanger controleert SPF/DKIM → alignment → resultaat + rapportage.