Wat is DMARC?
DMARC is een DNS TXT-record op _dmarc.jouwdomein dat ontvangers vertelt wat ze moeten doen met mail die zich als jouw domein voordoet en niet door de authenticatie komt. Een bericht slaagt als SPF of DKIM slaagt voor een domein dat aligned is met het zichtbare From-adres. De policy is none, quarantine of reject, en RFC 7489 beschrijft het.
De uitkomst lezen
Je krijgt het gepubliceerde record, de policy (p=), een eventuele aparte policy voor subdomeinen (sp=), het deel van de mail dat eronder valt (pct=) en waar rapporten heen gaan: rua= voor geaggregeerde rapporten, ruf= voor foutrapporten. De tool geeft geen advies over de overstap naar handhaving. Die beslissing vraagt om rapportdata waaruit blijkt dat je echte verzenders slagen, en een anonieme lookup heeft die niet.
Beat draait op dezelfde engine, volgens een vast schema, over alle 41 checks en 25 blacklists. Wat Beat toevoegt: steeds opnieuw vragen, merken wanneer een antwoord verandert en je vertellen wat je eraan moet doen.
Veelvoorkomende problemen met DMARC-records
Een policy van p=none
Alleen rapporten. Mail die niet door DMARC komt, wordt gewoon afgeleverd, dus spoofing van je domein werkt nog steeds. Het is de juiste eerste stap terwijl je de rapporten leest, en de verkeerde plek om te blijven.
Geen rua=-adres
Zonder geaggregeerde rapporten zie je niet wie namens je domein verstuurt, en dus kun je ook niet veilig naar quarantine of reject.
pct onder de 100
De policy geldt dan alleen voor dat deel van de mail die faalt. RFC 7489 geeft de rest de eerstvolgende lichtere policy, dus pct=50 bij reject zet de andere helft in quarantaine.
Twee DMARC-records
Geeft _dmarc meer dan één record terug, dan passen ontvangers helemaal geen DMARC-policy toe. Pas het bestaande record aan in plaats van er een toe te voegen.