Wat is DMARC en hoe werkt het? Uitleg en instellen

DMARC is een DNS-instelling waarmee je voorkomt dat criminelen e-mail versturen die lijkt te komen van jouw domein. Het bouwt voort op SPF en DKIM en vertelt ontvangende mailservers wat ze moeten doen met berichten die de controle niet doorstaan: niets, in de spam plaatsen of weigeren. In dit artikel lees je wat DMARC is, hoe het samenwerkt met SPF en DKIM, hoe je een DMARC-record instelt en welke policy (none, quarantine of reject) bij jouw situatie past.

Wat is DMARC?

DMARC staat voor Domain-based Message Authentication, Reporting and Conformance. Het is een TXT-record in je DNS dat twee dingen regelt. Ten eerste een beleid: wat moet een ontvangende server doen als een bericht dat zogenaamd van jouw domein komt de controle niet doorstaat? Ten tweede rapportage: je ontvangt overzichten van wie er e-mail verstuurt namens jouw domein.

Waar je MX-record bepaalt welke server jouw inkomende e-mail ontvangt, en SPF en DKIM aangeven wie namens jouw domein mag verzenden, voegt DMARC de sluitsteen toe. Zonder DMARC controleren ontvangers wel SPF en DKIM, maar kijken ze niet naar het afzenderadres dat de lezer echt ziet. Juist dat gat gebruiken oplichters bij phishing en spoofing.

Hoe werkt DMARC samen met SPF en DKIM?

DMARC werkt nooit alleen. Het leunt op twee bestaande technieken die je eerst op orde moet hebben.

• Een SPF-record vertelt welke servers namens jouw domein mogen verzenden. De ontvanger controleert daarbij het envelopadres (de Return-Path), niet het zichtbare afzenderadres.
• DKIM zet een digitale handtekening op je uitgaande e-mail. De ontvanger controleert die handtekening met een publieke sleutel in je DNS.

Geen van beide kijkt naar het From-adres dat je lezer in zijn mailprogramma ziet. Een spammer kan SPF en DKIM prima laten slagen voor zijn eigen domein en tegelijk jouw domein in het From-veld zetten. DMARC dicht dat gat met uitlijning.

Uitlijning: de kern van DMARC

Uitlijning (alignment) betekent dat het domein in het zichtbare From-adres moet overeenkomen met het domein dat SPF of DKIM heeft gecontroleerd. DMARC slaagt zodra minstens één van beide slaagt en is uitgelijnd met jouw From-domein. Slagen ze allebei niet, of horen ze bij een ander domein, dan grijpt je DMARC-policy in.

Er zijn twee modi. Bij relaxed (de standaard) telt ook een subdomein bij het hoofddomein als match, bijvoorbeeld mail.jouwdomein.nl bij jouwdomein.nl. Bij strict moet het domein exact gelijk zijn. Je stelt dit in met de tags aspf (voor SPF) en adkim (voor DKIM). DKIM is de sterkste pijler, omdat een DKIM-handtekening blijft kloppen als je e-mail wordt doorgestuurd, terwijl SPF dan juist breekt.

Een DMARC-record instellen

Een DMARC-record is een gewone TXT-regel in je DNS. Bij LJPc hosting beheer je het in de DNS-instellingen van je domein. Ga stap voor stap te werk.

1. Zorg eerst dat SPF en DKIM werken voor al je verzendende diensten (je mailserver, maar ook nieuwsbrieftools, je boekhoudpakket of je CRM). DMARC heeft die basis nodig.
2. Maak een TXT-record aan met als naam _dmarc. De volledige naam wordt dan _dmarc.jouwdomein.nl.
3. Zet als waarde in elk geval de versie en een policy. Begin met een policy die niets blokkeert.
4. Voeg een rua-adres toe zodat je rapporten ontvangt. Zonder dat adres zie je niet of alles goed gaat.
5. Publiceer precies één DMARC-record per domein en wacht tot de wijziging is verspreid. Dat kan 24 tot 48 uur duren, afhankelijk van de TTL.

Een veilige startwaarde ziet er zo uit:

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl;

Deze regel zegt: dit is een DMARC-record (v=DMARC1), onderneem voorlopig geen actie (p=none) en stuur de overzichtsrapporten naar dmarc@jouwdomein.nl. Je e-mail blijft gewoon werken, je verzamelt alleen gegevens.

De policy-opties: none, quarantine en reject

De p-tag bepaalt wat een ontvanger doet met e-mail die de DMARC-controle niet doorstaat. Er zijn drie waarden, die je in deze volgorde uitrolt.

Blijf minstens enkele weken op none staan en lees je rapporten. Stap pas over op quarantine, en later op reject, als al je legitieme afzenders slagen en uitgelijnd zijn. Zo voorkom je dat je eigen e-mail wordt tegengehouden. Sinds de vernieuwde DMARC-standaard uit 2026 (RFC 9989) is de oude pct-tag, waarmee je de policy op een percentage van de e-mail kon toepassen, vervallen. Je doorloopt de drie policy's nu stap voor stap terwijl je de rapporten in de gaten houdt.

Belangrijke DMARC-tags

Een DMARC-record bestaat uit tags, gescheiden door puntkomma's. Deze kom je het vaakst tegen.

DMARC-rapporten: zo weet je of het werkt

Rapporten zijn het nuttigste onderdeel van DMARC. Ontvangers als Google en Microsoft sturen dagelijks een aggregate-rapport naar je rua-adres. Daarin staat welke servers e-mail verstuurden namens jouw domein en of SPF en DKIM slaagden en uitgelijnd waren.

Die rapporten zijn XML-bestanden die lastig met de hand te lezen zijn. Gebruik een DMARC-rapportagedienst of -tool die de gegevens voor je omzet in een overzicht. Zo ontdek je legitieme afzenders die je nog moet regelen, en zie je meteen of iemand jouw domein misbruikt.

Veelvoorkomende problemen oplossen

Met een goed ingesteld DMARC-record bescherm je je domein tegen misbruik en verbeter je de aflevering van je eigen e-mail. Bouw rustig op van none naar reject en houd je rapporten in de gaten. Kom je er niet uit? Neem contact op met support.