DMARC quarantine vs reject: welke policy je kiest (en wanneer je overstapt)

Een DMARC-record zonder handhavende policy is als een beveiligingscamera die niet opneemt. Bij de tag p= begint DMARC je domein echt te beschermen, en de keuze tussen quarantine en reject maakt meer uit dan de meeste verzenders beseffen.

Deze gids legt uit wat elke policy doet, wanneer je welke gebruikt en wat de veiligste weg is van p=none naar handhaving.

De drie DMARC-policy's

DMARC kent drie waarden voor de tag p=:

Policy	Wat er gebeurt met mail die niet door DMARC komt	Wanneer gebruiken
p=none	Normaal bezorgd; aan jou gerapporteerd	Dag 1 (alleen zicht)
p=quarantine	Bezorgd in de spammap	Overgangsfase
p=reject	Geweigerd (niet bezorgd)	Eindstand: volledige bescherming

Met de tag pct= uit RFC 7489 kun je de policy op een percentage van de mail toepassen. Zo vraagt p=quarantine; pct=25 ontvangers om 25% van de mail die faalt in quarantaine te zetten en de rest door te laten. De huidige standaard, RFC 9989 (mei 2026), schrapt pct en houdt alleen het testgebruik ervan over als t=y, dus zie percentages als een verzoek dat veel ontvangers losjes toepassen.

Wat p=quarantine echt doet

Mail die niet door DMARC komt, wordt in de spammap van de ontvanger bezorgd. De ontvanger kan het bericht nog vinden en terughalen, wat handig is zolang je nog legitieme verzenders ontdekt die nog niet in alignment zijn.

Sterke punten:

• Houdt de meeste gespoofte mail uit de inbox.
• Brengt mislukte alignment aan het licht zonder echte mail te laten bouncen.
• Weinig risico op schade aan legitieme mail tijdens de overgang.

Zwakke punten:

• Sommige mailboxproviders gaan wisselend om met quarantine (Microsoft is strenger dan Gmail).
• Houdt de ontvanger niet tegen om gespoofte mail zelf terug te halen.
• Biedt maar gedeeltelijke bescherming van je merk.

Wat p=reject echt doet

Mail die niet door DMARC komt, wordt door de ontvangende server meteen geweigerd. Hij komt nergens terecht. De verzender krijgt een bounce.

Sterke punten:

• De sterkst mogelijke bescherming tegen spoofing.
• Je komt in aanmerking voor BIMI (je logo in mailclients die het ondersteunen).
• Je zit op één lijn met de aanbevelingen van Gmail/Yahoo voor bulkverzenders.

Zwakke punten:

• Elke legitieme verzender die niet goed in alignment is, verdwijnt geruisloos.
• Verkeerde instellingen laten echte klantmail bouncen.
• Elke verzender uit shadow IT moet eerst gevonden en in alignment gebracht worden.

Wanneer je welke kiest

Gebruik deze beslisboom:

• Je hebt DMARC net gepubliceerd → p=none met rapportage via rua. Blijf hier tot je aggregaatrapporten laten zien dat 99%+ van je legitieme mail in alignment is.
• Aggregaatrapporten tonen >99% alignment voor legitieme verzenders, met een paar onbekenden → p=quarantine; pct=10. Kijk wekelijks en verhoog pct geleidelijk.
• Aggregaatrapporten tonen 100% alignment van legitieme mail, geen zorgen over spoofing → p=quarantine; pct=100.
• Je wilt maximale bescherming EN van elke legitieme verzender is bevestigd dat hij in alignment is → p=reject; pct=100.
• Je bent een bank, zorgaanbieder, overheid of een ander merk dat vaak gespooft wordt → ga stevig door naar p=reject. Het risico op schade door spoofing is groter dan het risico op een verkeerde instelling.

De veilige weg van p=none naar p=reject

De standaardplanning die rampen voorkomt:

Week	Policy	Wat je doet
1-4	p=none	Publiceer het record, verwerk aggregaatrapporten, breng alle verzenders in kaart
5-6	p=none	Breng verzenders zonder alignment in alignment (eigen domeinen, CNAME's van ESP's)
7-8	p=quarantine; pct=10	Monitor, los nieuwe fouten op
9-10	p=quarantine; pct=50	Idem
11-12	p=quarantine; pct=100	Idem
13-16	p=reject; pct=10, daarna 50, daarna 100	Laatste opbouw

Totaal: ongeveer 4 maanden van het publiceren van DMARC tot volledige handhaving met p=reject. Sneller kan, maar dan wordt het risico groter dat je legitieme mail kwijtraakt.

Wat aggregaatrapporten je vertellen

De aggregaatrapporten van DMARC via rua komen dagelijks binnen als XML-bijlagen van elke ontvangende provider. Ze laten zien:

• Welke IP's mail verstuurden die beweerde van jouw domein te komen.
• Hoeveel berichten in alignment waren met SPF, DKIM, allebei of geen van beide.
• Welke behandeling de ontvanger toepaste (none/quarantine/reject).

Verwerk ze tot een dashboard, want ruwe XML is op schaal onleesbaar. De gratis DMARC report analyzer leest de rapporten die je opent, in je browser.

Veelgemaakte fouten die echte mail breken

• Meteen naar p=reject zonder aggregaatrapporten te verwerken. Bij het inventariseren vind je altijd legitieme verzenders die je vergeten was.
• Subdomeinen vergeten. Een p=reject op het hoofddomein geldt ook voor de subdomeinen, tenzij een tag sp= iets anders zegt, dus een achtergebleven sp=none zondert ongemerkt elk subdomein uit.
• ESP zonder alignment ingesteld. Je ESP ondertekent DKIM standaard met zijn eigen domein; voor alignment moet je een eigen DKIM-domein instellen.
• Tools voor marketingautomatisering. Veel SaaS-tools versturen "vanaf" jouw domein via SendGrid/Postmark enzovoort. Elk ervan moet apart in alignment gebracht worden.

p=quarantine vs quarantaine van het spamfilter

Een punt van verwarring: p=quarantine zegt de ontvangende server dat hij mail die faalt als verdacht moet behandelen. De ontvanger past daarbovenop nog zijn eigen spamfilter toe. Mail die onder p=quarantine niet door DMARC komt, kan dus in de spammap belanden of nog strenger worden afgehandeld. De twee filters versterken elkaar.

Veelgestelde vragen

Is p=reject veilig om te gebruiken? Ja, zodra je hebt gecontroleerd dat elke legitieme verzender in alignment is. Het risico zit in handhaven voordat je elke verzender kent.

Wat doet pct=0? In feite p=none voor nieuwe mail. Een ouderwetse truc om policywijzigingen te testen zonder de bezorging te raken. RFC 9989 vervangt het door t=y en merkt op dat ontvangers pct-waarden anders dan 0 en 100 onderling verschillend toepasten.

Heeft p=reject invloed op mail via mailinglijsten? Ja. Dit is de meest voorkomende oorzaak van verloren legitieme mail na handhaving. ARC (Authenticated Received Chain) helpt mailinglijsten om alignment te behouden. De meeste grote lijsten ondersteunen ARC inmiddels; controleer de jouwe.

Moet de policy voor subdomeinen gelijk zijn aan die van het hoofddomein? Meestal wel. Stel sp=reject expliciet in. Heb je subdomeinen zonder authenticatie, zet die dan tijdelijk op sp=quarantine en los ze op.

Heb ik DMARC nodig als ik SPF en DKIM heb? Ja. SPF en DKIM controleren elk een eigen mechanisme; alleen DMARC handhaaft alignment en geeft je rapportage. Gmail en Yahoo eisen DMARC voor bulkverzenders.

Kortom

p=none is om te leren. p=quarantine is voor de overgang. p=reject is voor bescherming. Meteen naar p=reject springen is de meest voorkomende manier om echte klantmail kwijt te raken. Neem die vier maanden. Deze bescherming is het waard om goed te doen.

👉 Lees verder: SPF, DKIM en DMARC repareren · De verzendersregels van Gmail en Yahoo · Probeer de DMARC-generator

Bronnen

• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC), de huidige DMARC-standaard: de policy's p, sp en np, de testvlag t, en waarom pct is geschrapt.
• RFC 7489: DMARC (2015 informational version), de versie uit 2015 die pct definieerde en de regel dat p voor subdomeinen geldt als sp ontbreekt.
• RFC 8617: The Authenticated Received Chain (ARC) Protocol, hoe tussenpersonen zoals mailinglijsten authenticatieresultaten doorgeven waarop DMARC anders zou falen.
• Set up DMARC (Google Workspace Help), het advies van Google om te beginnen met p=none en geleidelijk naar handhaving te gaan terwijl je de rapporten leest.