Wat is DMARC-alignment?
DMARC-alignment is de regel dat een geslaagde SPF- of DKIM-check alleen voor DMARC telt als het domein ervan overeenkomt met het zichtbare From-adres. Relaxed alignment accepteert elk domein van dezelfde organisatie, zoals mail.example.com voor example.com. Strict alignment vereist precies hetzelfde domein. RFC 7489 §3.1 definieert beide.
De uitkomst lezen
Plak de headers van een bericht zoals het binnenkwam. De checker leest de Authentication-Results van de ontvangende server en toont het From-domein, het SPF-domein (de envelope-afzender) en elk DKIM-domein uit d=, elk met zijn resultaat en of het aligned is onder relaxed en strict alignment. Daarna geeft hij het DMARC-oordeel op beide manieren en zegt welk deel faalde. Niets wat je plakt, verlaat je browser.
Veelvoorkomende redenen waarom alignment faalt
SPF slaagt voor de verzenddienst
De meeste verzenddiensten gebruiken hun eigen bouncedomein, dus SPF slaagt voor dat van hen en niet voor het jouwe. SPF is pas aligned als de Return-Path op jouw domein staat, een instelling die diensten een custom return path of custom MAIL FROM-domein noemen.
DKIM ondertekend met het domein van het platform
Een handtekening met d= op het domein van het platform verifieert wel, maar kan DMARC voor jouw domein toch niet laten slagen. Publiceer het DKIM-record dat het platform je geeft, zodat het als jouw domein ondertekent.
Strict alignment en een subdomein
Met adkim=s of aspf=s is mail.example.com niet meer aligned met example.com. Laat beide tags uit het record, tenzij je strict nodig hebt: relaxed is de standaard (RFC 7489 §6.3).
Doorsturen breekt SPF
Een doorgestuurd bericht bereikt de laatste server vanaf het IP-adres van de doorstuurder, dus daar faalt SPF. Aligned DKIM overleeft doorsturen als de inhoud onaangeroerd blijft, en daarom moet DMARC niet alleen op SPF leunen.