Snel antwoord
Hoe stel ik DMARC in voor mijn domeinnaam?
Publiceer een TXT-record bij _dmarc.yourdomain dat luidt v=DMARC1; p=none; rua=mailto:you@yourdomain, lees ongeveer een maand lang de aggregate rapporten, verhoog het beleid dan naar quarantine en ten slotte reject. DMARC wordt sinds mei 2026 gedefinieerd door RFC 9989. Postelva host het record in zijn gratis DNS-editor.
De drie DMARC-beleidsvormen en wat elk doet
| Beleid | Record | Effect op een bericht dat DMARC niet doorstaat | Wanneer te gebruiken |
|---|---|---|---|
| Monitor | v=DMARC1; p=none; rua=mailto:[email protected] | Afgeleverd als gewoonlijk; rapporten worden naar u gestuurd | Eerste weken, om elke afzender te zien |
| Quarantine | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Behandeld als verdacht, meestal naar spam gestuurd | Nadat SPF en DKIM slagen op al uw legitieme e-mail |
| Reject | v=DMARC1; p=reject; rua=mailto:[email protected] | Geweigerd door de ontvangende server | Wanneer de rapporten geen legitieme fout meer tonen |
DMARC instellen in zes stappen
Bevestig eerst SPF en DKIM
DMARC vereist dat minstens een van beide slaagt en overeenkomt met uw From-domein. Publiceer beide vóór DMARC, aan de hand van de gidsen over SPF en DKIM.
Kies een mailbox voor de rapporten
Maak een adres aan zoals dmarc@yourdomain. RFC 9989 zegt dat de eigenaar een mailbox moet inrichten om aggregate rapporten te ontvangen en te analyseren.
Publiceer het monitoringrecord
Voeg een TXT-record toe met host _dmarc en de waarde v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.
Lees de rapporten ongeveer een maand
Rapporten komen ongeveer eens per dag binnen van ontvangers die ze versturen. Zoek naar legitieme e-mail die faalt op SPF- en DKIM-alignment en herstel die afzenders.
Ga over naar quarantine
Wijzig p=none in p=quarantine. Houd dat een vergelijkbare periode aan en vergelijk in de rapporten hoe de berichten zijn behandeld.
Ga over naar reject, of stop bij quarantine
Wijzig naar p=reject als de rapporten schoon zijn. Als u vanaf deze domeinnaam op mailinglijsten post, blijf dan bij quarantine.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Wat bevat een DMARC-record?
Een DMARC-record is een TXT-record bij _dmarc.yourdomain dat met v=DMARC1 begint en tags opsomt die door puntkomma's zijn gescheiden. De versietag komt eerst en is hoofdlettergevoelig. RFC 9989 definieert deze tags: p (beleid voor de domeinnaam), sp (beleid voor bestaande subdomeinen), np (beleid voor niet-bestaande subdomeinen), adkim en aspf (alignment, r voor relaxed of s voor strict, standaard relaxed), rua (adressen voor aggregate rapporten), ruf (adressen voor foutrapporten), fo (foutopties), t (testmodus, y of n) en psd.
Als p ontbreekt, behandelt de ontvanger het beleid als none. Als sp ontbreekt, dekt het p-beleid de subdomeinen. Als rua ontbreekt, worden geen aggregate rapporten geproduceerd. Een minimaal bruikbaar record heeft dus drie delen: de versie, een beleid en een rapportadres.
De pct-tag, die veel oudere gidsen nog tonen, is door RFC 9989 verwijderd omdat hij zelden nauwkeurig werd toegepast, behalve bij 0 en 100. De t-tag vervangt hem: t=y gedraagt zich als pct=0 en t=n als pct=100, en n is de standaard. Laat pct weg uit oude records. De bredere achtergrond staat in SPF vs DKIM vs DMARC.
Wat betekent alignment in DMARC?
Alignment betekent dat de domeinnaam die door SPF of DKIM is geauthenticeerd overeenkomt met de domeinnaam in het zichtbare From-adres. In relaxed modus, de standaard, hoeven de twee alleen hetzelfde organisatiedomein te hebben, dus mail.example.com sluit aan op example.com. In strict modus moeten ze identiek zijn. RFC 9989 merkt op dat bijna alle domeineigenaren relaxed alignment voldoende vinden.
Een bericht slaagt voor DMARC als SPF of DKIM slaagt en aligned is. Eén van de twee volstaat. Een mailboxprovider als Proton Mail of Fastmail ondertekent via de DKIM-CNAME-records met uw eigen domeinnaam, dus alignment geldt zonder extra werk. De valkuil is een externe dienst die met zijn eigen domeinnaam ondertekent: zijn DKIM slaagt maar is niet aligned totdat u er een eigen ondertekeningsdomein voor instelt.
RFC 9989 vindt het organisatiedomein via een DNS tree walk, met hoogstens acht query's, in plaats van via een public suffix list. Voor een gewone domeinnaam op een .com of .me verandert dit niets wat u moet doen.
Hoe lang moet ik op p=none blijven?
Blijf minstens een maand op p=none, daarna op p=quarantine voor een vergelijkbare periode, vóór p=reject. Dit is de volgorde die RFC 9989 in zijn uitrolrichtlijnen aanraadt en ze komt overeen met de helppagina's van de providers. Mailbox.org begint zijn voorbeeldrecord bij p=none en waarschuwt dat een te vroeg ingesteld strikt beleid legitieme e-mail kan laten weigeren. Proton beveelt p=quarantine aan en een overstap naar p=reject zodra legitieme e-mail slaagt.
Volgens de lezing van Postelva van 12 november 2026 van de DMARC-richtlijnen van de 3 providers die ze publiceren (Proton Mail, Mailbox.org en Mailfence) beginnen er 2 bij p=none en beveelt er 1 p=quarantine aan.
Bij p=reject gelden twee waarschuwingen. RFC 9989 zegt dat een domeinnaam die het gebruikt niet alleen op SPF mag vertrouwen en met DKIM moet ondertekenen, omdat SPF breekt bij doorsturen. Het zegt ook dat domeinnamen waarvan de gebruikers op mailinglijsten posten p=reject helemaal niet moeten publiceren. Lijsten wijzigen berichten vaak, wat de handtekening breekt.
Waar gaan DMARC-rapporten heen en wat tonen ze?
Aggregate rapporten gaan naar het mailto:-adres in rua, meestal eens per dag van elke ontvanger, en vermelden de bronnen die e-mail met uw domeinnaam in de From-regel verzonden. RFC 9989 vereist dat ontvangers mailto:-adressen ondersteunen en beveelt aan aggregate rapporten minstens elke 24 uur te verzenden. Aggregate rapportage is gedefinieerd in RFC 9990.
Foutrapporten, aangevraagd met ruf, zijn kopieën per bericht. Veel ontvangers houden ze achter of redigeren ze om privacyredenen, dus reken er niet op. Als het rua-adres buiten uw domeinnaam staat, moet de eigenaar van die andere domeinnaam het autoriseren met een TXT-record bij yourdomain._report._dmarc.otherdomain met v=DMARC1;, een regel die misbruik van mailboxen van derden voorkomt. Voor een kleine persoonlijke domeinnaam is de lijst met bronnen kort: uw provider en weinig anders.
Gebruik de opdrachten om MX-, SPF-, DKIM- en DMARC-records te controleren om te lezen wat uw DNS vóór en na elke fase publiceert.
Heeft mijn persoonlijke domeinnaam DMARC nodig?
Ja, voor elke domeinnaam die e-mail verstuurt: het kost één TXT-record en het blokkeert vervalste berichten die uw naam gebruiken. Google vereist DMARC, waarbij een beleid van none volstaat, van afzenders boven 5,000 berichten per dag naar Gmail-accounts, en Microsoft past dezelfde drempel toe op Outlook.com. Een persoonlijke mailbox zit ver onder die grenzen. Het record vertelt ontvangers nog steeds wat u met een vervalsing gedaan wilt hebben.
Stel voor een domeinnaam die niets verstuurt meteen p=reject in met SPF -all en een null MX. Postelva biedt daarvoor een sjabloon "geen e-mail". Begin voor een domeinnaam met een mailbox bij none. De transportkant van dezelfde bescherming, versleuteling tussen servers, wordt behandeld in hoe u MTA-STS en TLS-RPT instelt.
Een citeerbare definitie: DMARC is het DNS-beleid dat ontvangers vertelt wat ze moeten doen met e-mail waarvan de SPF- en DKIM-resultaten niet aligned zijn met het From-domein, en waarheen ze rapporten daarover moeten sturen.
Vragen over het instellen van DMARC
Vereist RFC 9989 p=reject?
Nee. De standaard definieert drie beleidsvormen en laat de keuze aan de domeineigenaar. Hij raadt een geleidelijk pad aan en waarschuwt tegen p=reject voor domeinnamen waarvan de gebruikers op mailinglijsten posten.
Verandert RFC 9989 mijn bestaande DMARC-record?
Records beginnen nog steeds met v=DMARC1, dus een werkend record blijft werken. De ri-tag is vervallen, pct is verwijderd en t, np en psd zijn toegevoegd.
Wat gebeurt er als ik p=reject te vroeg publiceer?
Legitieme e-mail die faalt op alignment, zoals een vergeten nieuwsbrieftool, wordt door ontvangers geweigerd. De rapporten bij p=none bestaan om die afzenders eerst te vinden.
Kan ik een gratis mailbox voor de rapporten gebruiken?
Ja, elke mailbox die u leest. Een apart adres of alias houdt de dagelijkse rapportbestanden uit uw hoofdinbox.
Hoeveel DMARC-records kan een domeinnaam hebben?
Eén per naam, bij _dmarc.yourdomain. Subdomeinen kunnen een eigen record hebben of het beleid van de bovenliggende domeinnaam via sp erven.
Samengevat
- DMARC is een TXT-record bij _dmarc.yourdomain dat met v=DMARC1 begint.
- RFC 9989 (mei 2026) is de huidige specificatie; hij vervangt RFC 7489 en verwijdert pct.
- Begin bij p=none met een rua-adres en lees ongeveer een maand lang rapporten.
- Daarna p=quarantine voor een vergelijkbare periode, dan p=reject.
- Een bericht slaagt als SPF of DKIM slaagt en aligned is met het From-domein; relaxed alignment is de standaard.
- Een domeinnaam op p=reject mag niet alleen op SPF vertrouwen en moet niet met mailinglijsten worden gebruikt.
- Postelva host het record in gratis DNS; een .com kost elk jaar US$ 12,49/jaar.
Bronnen (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (gelezen op 2026-11-12)
- RFC 7489, DMARC (vervangen) — RFC Editor (gelezen op 2026-11-12)
- SPF, DKIM en DMARC voor een eigen domeinnaam — Mailbox.org (gelezen op 2026-11-12)
- Eigen domeinnaam en bescherming tegen spoofing — Proton (gelezen op 2026-11-12)
- Richtlijnen voor e-mailafzenders — Google Workspace Admin Help (gelezen op 2026-11-12)
- E-mailbeveiliging versterken: nieuwe vereisten voor afzenders van grote volumes — Microsoft Tech Community (gelezen op 2026-11-12)