DMARC-beleid
Het DMARC-beleid - de p=-tag - vertelt ontvangers wat ze moeten doen met mail die faalt op DMARC: p=none (alleen monitoren), p=quarantine (naar spam sturen), of p=reject (regelrecht blokkeren). Volledige bescherming tegen spoofing vereist p=reject.
Deze gids maakt deel uit van onze complete gids over DMARC. Gerelateerd: het DMARC-record en hoe je DMARC instelt.
Je DMARC-beleid — de p=-tag in je DMARC-record — vertelt ontvangende mailservers wat ze moeten doen met berichten die falen op DMARC-authenticatie. Er zijn drie keuzes: p=none (alleen monitoren, geen actie ondernemen), p=quarantine (falende mail naar spam sturen) en p=reject (falende mail regelrecht blokkeren). Alleen p=reject geeft je volledige bescherming tegen spoofing van je domein.
Iedereen met een DMARC-record heeft een beleid, maar de meeste domeinen blijven op p=none, wat niets doet om imitatie te stoppen. Het doel is om veilig door te groeien naar p=reject. Deze gids legt elk beleid uit, waarom alignment stilletjes bepaalt of berichten slagen of falen, en hoe je handhaving bereikt zonder je eigen legitieme e-mail te blokkeren.
De drie beleidsregels: none, quarantine, reject
De p=-tag is het allerbelangrijkste onderdeel van je DMARC-record. Het instrueert ontvangers welke actie ze moeten ondernemen wanneer een bericht beweert van jouw domein te komen maar faalt op DMARC.
| Beleid | Wat ontvangers doen | Wanneer te gebruiken |
|---|---|---|
p=none | Geen actie ondernemen — normaal afleveren, maar je aggregatierapporten sturen | Het startpunt. Gebruik alleen terwijl je gegevens verzamelt en bevestigt dat elke legitieme afzender slaagt. |
p=quarantine | Falende mail naar de spam-/ongewenste map routeren | De tussenfase. Gebruik zodra rapporten schoon zijn, om zachte handhaving toe te passen voordat je overgaat tot een harde blokkade. |
p=reject | Falende mail weigeren op de server — het bereikt nooit de inbox | Het einddoel. Gebruik zodra je zeker weet dat alle legitieme mail authenticeert en aligned is. Volledige bescherming tegen spoofing. |
p=none is een monitormodus, geen bescherming. Een domein dat vastzit op p=none kan nog steeds vrij worden gespooft — aanvallers kunnen mail versturen als jou en het belandt in inboxen. Echte bescherming tegen spoofing begint bij p=quarantine en is compleet bij p=reject.
Alignment bepaalt slagen of falen
Een DMARC-”pass” is strenger dan een SPF- of DKIM-pass op zich. Om DMARC te doorstaan, heeft een bericht ten minste één van SPF of DKIM nodig die zowel authenticeert als aligned is met het zichtbare From:-domein dat ontvangers daadwerkelijk zien.
- SPF-alignment — het domein in de SMTP-envelope (Return-Path) moet overeenkomen met het zichtbare
From:-domein, en SPF moet slagen. - DKIM-alignment — het domein in de DKIM-handtekening (
d=) moet overeenkomen met het zichtbareFrom:-domein, en de handtekening moet verifiëren.
Dit is waar SPF stilletjes DMARC breekt. Een SPF-record is beperkt tot 10 DNS-lookups. Wanneer je record die limiet overschrijdt — makkelijk te doen zodra je meerdere providers toevoegt via geneste include:-statements — retourneert SPF een PermError en stopt met evalueren. Dat doodt stilletjes SPF-alignment. Als DKIM-alignment niet ook aanwezig is, faalt overigens legitieme mail op DMARC en belandt het in quarantine of wordt het geweigerd op het moment dat je overgaat op handhaving.
Dit is waarom waarom SPF-alignment belangrijk is zo veel voordat je je beleid aanscherpt. Controleer dat je record onder de lookup-limiet blijft en geen PermError retourneert. AutoSPF houdt SPF geldig door je record automatisch af te vlakken, zodat het onder de 10 lookups blijft, zelfs als je afzenders toevoegt — waardoor DMARC-alignment beschermd blijft naarmate je naar reject beweegt.
Je kunt ook bepalen hoe strikt alignment is met de aspf- (SPF) en adkim- (DKIM) tags. r (relaxed, de standaard) staat toe dat subdomeinen aligned zijn; s (strict) vereist een exacte overeenkomst. De meeste domeinen zouden deze op relaxed moeten laten. Zie het DMARC-record voor de volledige tagreferentie.
Hoe je veilig van none naar reject gaat
Direct overspringen naar p=reject riskeert het blokkeren van echte mail. Gebruik in plaats daarvan een gefaseerde uitrol:
- Begin bij
p=none. Publiceer een DMARC-record metp=noneen een rapportageadres (rua=). Dit verandert niets aan de aflevering, maar begint met het verzamelen van aggregatierapporten. - Lees je rapporten. Bekijk gedurende twee tot vier weken de rapporten om elke bron te zien die mail verstuurt als jouw domein — je eigen marketingplatform, CRM, helpdesk, facturatietool en eventuele schaduwafzenders.
- Repareer falende legitieme afzenders. Voeg voor elke echte afzender die faalt deze toe aan SPF of stel DKIM-ondertekening in zodat hij authenticeert en aligned is. Houd SPF onder de limiet van 10 lookups terwijl je dit doet.
- Ga over naar
p=quarantinemetpct. Stelp=quarantine; pct=25in om eerst op een kwart van de falende mail te handhaven, en verhoog danpctrichting 100 naarmate rapporten schoon blijven. Dit beperkt de impact als je een afzender hebt gemist. - Ga over naar
p=reject. Zodra quarantine oppct=100staat en rapporten alleen verwachte fouten laten zien (d.w.z. daadwerkelijke spoofing), schakel over naarp=rejectvoor volledige bescherming.
Voor de recordsyntaxis en stapsgewijze publicatie, zie hoe je DMARC instelt.
De sp-tag (subdomeinbeleid)
De sp=-tag stelt een apart beleid in voor subdomeinen van je domein. Als je het weglaat, erven subdomeinen de hoofd-p=-waarde. Dit is belangrijk omdat aanvallers vaak subdomeinen spoofen (zoals mail.yourdomain.com) die je mogelijk niet actief gebruikt. Een veelvoorkomend veilig patroon is om sp=reject te publiceren terwijl je beleid op topniveau nog opschaalt, zodat ongebruikte subdomeinen vroeg worden vergrendeld. Als je subdomeinen gebruikt voor legitieme verzending, behandel ze dan op dezelfde manier — monitor, aligned maken, dan handhaven.
Veelgestelde vragen
Wat is een DMARC-beleid?
Een DMARC-beleid is de p=-tag in het DMARC DNS-record van je domein. Het vertelt ontvangende mailservers hoe ze berichten moeten afhandelen die beweren van jouw domein te komen maar falen op DMARC-authenticatie. De drie waarden zijn p=none (alleen monitoren), p=quarantine (naar spam sturen) en p=reject (blokkeren). Het is de kerninstructie die van DMARC echte bescherming maakt.
Wat is het verschil tussen p=none, p=quarantine en p=reject?
p=none onderneemt geen actie op falende mail — het stuurt je alleen rapporten, dus je domein kan nog steeds worden gespooft. p=quarantine routeert falende berichten naar de spammap, een zachte handhavingsfase. p=reject weigert falende mail op de server zodat het nooit de inbox bereikt. Alleen p=quarantine en p=reject stoppen daadwerkelijk imitatie; p=reject is het doel van volledige bescherming.
Is p=reject veilig te gebruiken?
Ja, zodra je je erop hebt voorbereid. p=reject is veilig na een gefaseerde uitrol waarin elke legitieme afzender authenticeert en aligned is, en je aggregatierapporten alleen verwachte fouten laten zien. Het risico komt van te vroeg overspringen naar reject en het blokkeren van echte mail. Repareer falende afzenders bij p=none, schaal op via p=quarantine met pct, en ga dan over tot reject.
Waarom is mijn DMARC-beleid niet ingeschakeld?
Meestal omdat het is ingesteld op p=none, wat alleen monitoren is en niets afdwingt — dus je domein blijft spoofbaar. Het kan ook uitgeschakeld lijken als SPF de limiet van 10 lookups overschrijdt en een PermError retourneert, waardoor alignment stilletjes breekt zodat legitieme mail faalt op DMARC. Controleer je record met een SPF checker, repareer alignment, en ga dan door van none naar reject.