DMARC-record checker

Zonder DMARC-record is er geen DMARC-beleid — ontvangende servers handhaven niets op basis van DMARC. Gespoofde e-mails die van je domein lijken te komen hebben geen extra barrière naast SPF en DKIM. Google en Yahoo eisen nu een DMARC-record (zelfs p=none) voor bulk senders. Elk domein dat e-mail verzendt moet minstens een monitoring-DMARC publiceren.

p=none betekent monitoringmodus — rapporten verzamelen, geen actie op falende berichten. p=quarantine instrueert ontvangende servers om falende berichten naar spam te sturen. p=reject blokkeert falende berichten volledig vóór de inbox. Begin met none, bekijk rapporten 2 tot 4 weken, ga dan naar quarantine en reject.

Alignment betekent dat het domein dat SPF of DKIM doorstaat moet matchen met het domein in de zichtbare From-header. Relaxed alignment staat subdomein-matches toe — mail.example.com aligneert met example.com. Strict alignment vereist exacte match. Gebruik relaxed voor de meeste setups om forwarding en ESP-mail niet te breken.

Wanneer je een rua-e-mailadres in je DMARC-record opneemt, sturen grote ISP’s je dagelijks XML-rapporten. Elk rapport bevat: welke IP’s mail van je domein stuurden, hoeveel berichten elk stuurde, en of SPF en DKIM slaagden of faalden. Gebruik deze rapporten om legitieme afzenders te vinden die authenticatie nodig hebben en spoofing te detecteren.

Het DMARC-beleid van je hoofddomein geldt voor subdomeinen tenzij je een sp=-tag zet. Voor subdomeinbescherming voeg sp=reject of sp=quarantine toe. Zonder sp= erven subdomeinen je p=-beleid onder relaxed alignment.

Ja. pct=25 betekent dat het DMARC-beleid slechts op 25% van de falende berichten van toepassing is. Handig voor geleidelijke uitrol — begin bij 10% of 25% bij eerste quarantine of reject om impact te beperken als legitieme mail verkeerd is geconfigureerd. Verhoog naar 100 zodra geen legitieme mail meer faalt.