Wat is DMARC?
DMARC (Domain-based Message Authentication, Reporting & Conformance) is een e-mailauthenticatieprotocol dat controleert of een met SPF of DKIM geauthenticeerd domein in overeenstemming is met het domein in het From-adres van een bericht. Een domeineigenaar kan een gewenste afhandelingsvoorkeur publiceren voor berichten die de DMARC-validatie niet doorstaan en vragen om samenvattende of berichtspecifieke foutrapporten.
Waarom DMARC essentieel is
SPF en DKIM authenticeren verzendidentificatoren. Op zichzelf controleren ze niet of een geauthenticeerde identificator overeenkomt met het domein in het From-adres en geven ze ook niet aan hoe de domeineigenaar mislukte berichten wil laten afhandelen.
DMARC lost dit op door:
- Een afhandelingsvoorkeur op te geven: none, quarantine of reject voor berichten die DMARC niet doorstaan
- Overeenstemming te controleren: ten minste één geauthenticeerde SPF- of DKIM-identificator moet overeenkomen met het From-domein
- Om rapporten te vragen: samenvattende en berichtspecifieke foutrapporten geven inzicht in waargenomen authenticatieresultaten
Hoe DMARC werkt
1. De afzender publiceert DMARC-beleid in DNS (TXT-record op _dmarc.domain.com)
2. De e-mail wordt verzonden met From: [email protected]
3. De ontvanger controleert SPF en DKIM
4. De ontvanger controleert de overeenstemming: komt het geauthenticeerde domein overeen met de From-header?
5. De afhandelingsbeslissing: de ontvanger houdt rekening met het gevraagde beleid en andere signalen
6. Er kunnen rapporten worden verzonden: deelnemende ontvangers kunnen de gevraagde samenvattende of berichtspecifieke foutrapporten verzenden
DMARC-overeenstemming
DMARC vereist overeenstemming: het domein in de From-header moet volgens de versoepelde of strikte modus van het record overeenkomen met ten minste één geauthenticeerde identificator:
- SPF-overeenstemming: het door SPF gevalideerde MAIL FROM-domein, of het HELO-domein wanneer MAIL FROM leeg is
- DKIM-overeenstemming: het d=-domein in een geldige DKIM-handtekening
Zonder overeenstemming kunnen SPF of DKIM slagen terwijl DMARC mislukt. DMARC pakt specifieke vormen van spoofing aan waarbij het exacte From-domein wordt gebruikt. Het detecteert geen visueel vergelijkbare domeinen en voorkomt ook geen misbruik van de weergegeven naam van de afzender.
Indeling van een DMARC-record
DMARC-records zijn TXT-records op _dmarc.yourdomain.com:
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"DMARC-tags
| Tag | Verplicht | Beschrijving | Voorbeeld |
|---|---|---|---|
| v | Ja | Versie | v=DMARC1 |
| p | Aanbevolen (optioneel) | Gewenste afhandelingsvoorkeur voor e-mail die de DMARC-validatie niet doorstaat | p=none/quarantine/reject |
| rua | Nee | URI voor samenvattend rapport | rua=mailto:[email protected] |
| ruf | Nee | URI voor berichtspecifiek foutrapport | ruf=mailto:[email protected] |
| t | Nee | Testmodus voor beleid | t=y or t=n |
| sp | Nee | Gewenst beleid voor bestaande subdomeinen | sp=reject |
| np | Nee | Gewenst beleid voor niet-bestaande subdomeinen | np=reject |
| adkim | Nee | DKIM-modus voor overeenstemming | adkim=s (strict) or adkim=r (relaxed) |
| aspf | Nee | SPF-modus voor overeenstemming | aspf=s or aspf=r |
De tag pct is historisch. De huidige DMARC-standaard gebruikt deze niet langer om een beleid toe te passen op een percentage van de berichten die mislukken. De tag p wordt aanbevolen maar is optioneel; een verder geldig record zonder deze tag wordt behandeld als p=none.
DMARC-beleidsregels
p=none: geef geen afhandelingsvoorkeur voor mislukte berichten. Domeineigenaren gebruiken dit vaak tijdens het beoordelen van rapporten.v=DMARC1; p=none; rua=mailto:[email protected]v=DMARC1; p=quarantine; rua=mailto:[email protected]v=DMARC1; p=reject; rua=mailto:[email protected]Implementatiepad voor DMARC
Fase 1: Monitoren (p=none)
Begin met monitoren om inzicht te krijgen in uw e-mailecosysteem:
v=DMARC1; p=none; rua=mailto:[email protected]Analyseer rapporten om het volgende te identificeren:
- Legitieme verzenddiensten waarvoor SPF/DKIM ontbreekt
- Ongeautoriseerde afzenders (spoofing)
- Problemen met overeenstemming
Fase 2: Quarantaine (p=quarantine)
Zodra legitieme bronnen zijn geauthenticeerd:
v=DMARC1; p=quarantine; rua=mailto:[email protected]Bekijk de rapporten en bevestig dat legitieme e-mail is geauthenticeerd voordat u een strenger beleid kiest. De huidige DMARC-standaard definieert geen uitrol op basis van een percentage.
Fase 3: Weigeren (p=reject)
Vraag om weigering van berichten die DMARC niet doorstaan:
v=DMARC1; p=reject; rua=mailto:[email protected]DMARC-rapporten
Samenvattende rapporten (rua)
Het wordt aanbevolen dat ontvangers dagelijks of vaker samenvattende XML-rapporten verzenden. Rapporten vatten waargenomen berichtenstromen samen, dus beschikbaarheid en dekking zijn afhankelijk van de rapporterende ontvangers:
- E-mailvolume
- Slagings- en mislukkingspercentages voor SPF, DKIM en DMARC
- Verzendende IP-adressen
- Organisaties van ontvangers
Foutrapporten (ruf)
Berichtspecifieke rapporten kunnen berichtheaders of inhoud bevatten. Niet alle ontvangers verzenden deze, vaak vanwege privacybezwaren:
- Details over authenticatiefouten
Rapportverwerking
Samenvattende DMARC-rapporten zijn XML en kunnen moeilijk leesbaar zijn. Gebruik diensten zoals:
- DMARC Analyzer
- Dmarcian
- Valimail
- Postmark DMARC
DMARC controleren
De geauthenticeerde DomScan Email Authentication API kost 3 credits per domein en retourneert het DMARC-record en de geparseerde tags.
dig _dmarc.example.com TXTcurl -H "X-API-Key: $DOMSCAN_API_KEY" "https://domscan.net/v1/email-auth?domain=example.com"
# Controleer dmarc.record en dmarc.tags in het JSON-antwoord
Veelvoorkomende DMARC-problemen
Geen rapporten ontvangen: zorg dat het rua-adres grote e-mails kan ontvangen; sommige providers filteren deze. Legitieme e-mail mislukt: controleer de SPF/DKIM-configuratie voor alle verzenddiensten en controleer de overeenstemming. Problemen met diensten van derden: voor veel diensten is een aangepaste DKIM-configuratie nodig voor DMARC-overeenstemming.DMARC voegt overeenstemming, een gewenste afhandelingsvoorkeur en rapportage toe aan SPF en DKIM. Controleer uw verzendbronnen en rapporten voordat u om strengere afhandeling vraagt.