DMARC van none naar reject in stappen

Veel domeinen hebben een DMARC-record met p=none. Dat is een goed begin, maar het beschermt nog niets: mail die zich als jou voordoet, wordt gewoon afgeleverd. Pas met quarantine of reject houdt DMARC nagemaakte mail tegen. Ga je daar te snel naartoe, dan kan ook je eigen mail tegengehouden worden. Zo pak je het veilig aan.

Stap 1: meten met rapporten

Zet in je DMARC-record een adres voor rapporten: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl;. Grote mailproviders sturen je dan dagelijks een rapport met welke servers mail namens jouw domein hebben verstuurd en of die door SPF en DKIM kwamen. Laat dit een paar weken lopen, zodat ook de mail die maar eens per maand gaat (facturen, nieuwsbrieven) erin zit.

Stap 2: alle verzenders op een rij

Haal uit de rapporten welke diensten namens jou mailen: je eigen mailserver of Microsoft 365, maar ook je nieuwsbriefdienst, boekhoudpakket, webshop, CRM of het contactformulier op je website. Herken je een bron niet, zoek dan uit wat het is voordat je verder gaat.

Stap 3: SPF en DKIM per verzender

Zorg dat elke echte verzender in je SPF-record staat en met DKIM ondertekent met je eigen domein. Let op de grens van tien DNS-opvragingen in SPF: met veel diensten loop je daar snel tegenaan. Met de SPF-check zie je hoeveel je er gebruikt, en met de SPF-generator stel je een nieuw record samen.

Stap 4: quarantine

Komen in de rapporten alleen nog onbekende of nagemaakte bronnen door de controle heen? Zet het beleid dan op p=quarantine. Mail die niet slaagt, gaat naar de spammap in plaats van de inbox. Blijf de rapporten een paar weken volgen: duikt er toch een eigen dienst op die faalt, dan los je die op voordat je verder gaat.

Stap 5: reject

Als quarantine een tijd zonder verrassingen draait, zet je het beleid op p=reject. Nagemaakte mail wordt dan geweigerd voordat hij een inbox bereikt. Houd de rapporten aan: een nieuwe dienst die namens jou gaat mailen, moet je eerst in SPF en DKIM opnemen.

Tips

• Gebruik een apart adres of een gedeelde mailbox voor de rapporten: het zijn er al snel veel.
• Vergeet subdomeinen niet. Met sp= stel je een apart beleid voor subdomeinen in.
• Domeinen die nooit mailen, kun je meteen op p=reject zetten, met een SPF-record v=spf1 -all.

Controleer je huidige record met de DMARC-check. Twijfel je over de stappen of de rapporten? Neem contact op, dan kijken we met je mee.