Dmarc-naleving: wat het is, waarom het belangrijk is en hoe je dit kunt controleren

Bedreigingen via e-mail nemen snel toe, en domeinen zonder adequate beveiliging zijn het gemakkelijkste doelwit. Naleving van DMARC is een van de meest effectieve verdedigingsmiddelen waar domeineigenaren tegenwoordig over beschikken, en zonder deze bescherming staat uw domein wijd open voor phishingaanvallen, directe domeinspoofing en Business Email Compromise.

In deze handleiding leert u wat DMARC-conformiteit inhoudt, hoe u dit kunt controleren en hoe PowerDMARC u helpt om dit te bereiken en te handhaven.

Wat is DMARC-compliance?

DMARC-conformiteit verwijst naar de correcte implementatie van het Domain-based Message Authentication, Reporting, and Conformance-protocol om ervoor te zorgen dat e-mails die vanaf het domein van een organisatie worden verzonden, geverifieerd, legitiem en correct geauthenticeerd zijn.

DMARC is een protocol voor e-mailverificatie dat domeinen beschermt tegen ongeoorloofd gebruik, waaronder phishingaanvallen en domeinspoofing. Het is gebaseerd op twee fundamentele standaarden: Sender Policy Framework (SPF) en DomainKeys Identified Mail (DKIM).

Samen zorgen deze protocollen ervoor dat wordt gecontroleerd of inkomende e-mail daadwerkelijk afkomstig is van het domein dat het beweert te vertegenwoordigen. Wanneer een bericht de authenticatiecontroles niet doorstaat, volgt de ontvangende e-mailserver de instructies in het DMARC-beleid om het bericht te controleren, in quarantaine te plaatsen of te weigeren.

Een domein wordt als DMARC-conform beschouwd wanneer:

• Er is een geldig DMARC TXT-record opgenomen in de DNS-instellingen van het domein
• SPF- en DKIM-verificatie zijn correct geconfigureerd
• Ten minste één van deze verificatiemethoden wordt toegepast voor uitgaande e-mails
• Er worden regelmatig DMARC-rapporten ontvangen en gecontroleerd

DMARC-naleving is een continu proces van monitoring, aanpassing en handhaving e-mailverificatie voor alle bronnen die aan uw domein zijn gekoppeld.

Waarom naleving van DMARC belangrijk is

Zonder DMARC-beveiliging loopt uw domein het risico op allerlei soorten e-mailbedreigingen die ernstige gevolgen kunnen hebben voor uw organisatie, uw klanten en uw merk. Dit is wat er op het spel staat.

Domeinspoofing en phishingaanvallen

Zonder DMARC-beveiliging kunnen cybercriminelen uw domein gemakkelijk vervalsen en frauduleuze e-mails versturen die lijken te zijn afkomstig van uw legitieme e-mailadressen. Dit maakt directe domeinvervalsing mogelijk, waarbij aanvallers uw exacte domein gebruiken om ontvangers te misleiden.

Phishing-e-mails die zich voordoen als vertrouwde merken behoren tegenwoordig tot de meest voorkomende cyberaanvallen, en zonder DMARC zou uw domein daar het slachtoffer van kunnen worden.

Aanbevolen lectuur: E-mailspoofing versus phishing: hoe u zich kunt beschermen

Compromittering van zakelijke e-mails (BEC)

Bedrijven zonder DMARC-beveiliging zijn kwetsbaarder voor Business Email Compromise (BEC) aanvallen, wat kan leiden tot aanzienlijke financiële verliezen. DMARC voorkomt dat aanvallers uw exacte domein gebruiken om frauduleuze e-mails te versturen en helpt BEC-risico's te beperken door de legitimiteit van e-mailafzenders te verifiëren voordat berichten de ontvangers bereiken.

Volgens een rapport van de Global Cyber Alliance kunnen organisaties tot 302.000 dollar per jaar besparen door DMARC te implementeren.

Schade aan de merkreputatie

Het ontvangen van frauduleuze e-mails die zogenaamd afkomstig zijn van uw domein kan de reputatie van uw merk ernstig schaden.

Klanten en partners die vervalste e-mails ontvangen, verliezen hun vertrouwen in uw communicatie, en dat vertrouwen is zeer moeilijk te herstellen. DMARC helpt de reputatie van uw merk te beschermen door uw domein te beveiligen tegen frauduleuze berichten.

Slechte bezorgbaarheid van e-mail

Zonder DMARC-beveiliging kunnen legitieme e-mails van uw domein als spam worden gemarkeerd of door de e-mailservers van ontvangers worden geweigerd. Dit betekent dat belangrijke zakelijke berichten, zoals facturen, welkomstmails en updates voor klanten, mogelijk nooit hun bestemming bereiken.

Het implementeren van DMARC helpt de afleverbaarheid van e-mail te verbeteren door ervoor te zorgen dat legitieme e-mails minder snel worden uitgefilterd.

Juridische en nalevingsrisico’s

Bedrijven zonder DMARC-beveiliging lopen mogelijk juridische en nalevingsrisico’s, waaronder boetes en sancties wegens het niet voldoen aan de vereisten op het gebied van e-mailbeveiliging.

Regelgeving en kaders zoals DMARC PCI DSS-conformiteit en DMARC FedRAMP-compliance verplichten organisaties steeds vaker om aan te tonen dat ze de juiste e-mailverificatiepraktijken hanteren.

Verplichte vereisten van grote aanbieders

Grote e-mailproviders hebben DMARC verplicht gesteld voor bulkverzenders om de e-mailbeveiliging te verbeteren.

Als uw organisatie grote hoeveelheden e-mail verstuurt zonder aan de DMARC-normen te voldoen, bestaat het risico dat uw berichten op grote schaal worden geblokkeerd. Bekijk de volledige e-mailverificatievereisten van Google en Yahoo om te begrijpen wat er nu van afzenders wordt verwacht.

Hoe DMARC werkt

Om DMARC-compliance volledig te begrijpen, is het essentieel om te weten hoe het protocol op technisch vlak werkt.

DMARC werkt doordat domeineigenaren een DMARC-record in hun DNS kunnen publiceren als een TXT-record. Dit record bevat specifieke tag-waardeparen die het authenticatiebeleid voor het domein vastleggen.

Wanneer er een e-mail vanuit uw domein wordt verzonden, voeren de ontvangende mailservers SPF- en DKIM-authenticatiecontroles uit op het bericht. Als de e-mail deze authenticatiecontroles niet doorstaat, raadpleegt de ontvangende server uw gepubliceerde DMARC-beleid om te bepalen welke actie er moet worden ondernomen.

DMARC-beleidsniveaus

• p=none: Monitor-modus. Er wordt geen actie ondernomen bij e-mails die niet voldoen aan DMARC. Er worden nog steeds rapporten gegenereerd en verzonden naar de domeineigenaar
• p=quarantaine: E-mails die de DMARC-controle niet doorstaan, worden naar de spam- of junkmap van de ontvanger gestuurd
• p=afwijzen: E-mails die de DMARC-controle niet doorstaan, worden direct geweigerd en nooit afgeleverd

Om een e-mail de DMARC-authenticatie te laten doorstaan, moet ten minste één van de mechanismen, SPF of DKIM, de authenticatie doorstaan EN overeenkomen met het domein in de From-header.

Juist deze afstemmingsvereiste maakt DMARC bijzonder effectief tegen directe domeinspoofing.

DMARC-rapportage

DMARC genereert ook rapporten waarmee domeineigenaren kunnen controleren wie er namens hun domein e-mails verstuurt.

Deze rapporten bieden meer inzicht in het e-mailverkeer en helpen bij het opsporen van mislukte authenticatiepogingen, legitieme externe leveranciers en kwaadwillige spoofingpogingen.

DMARC biedt geavanceerde functies, zoals BIMI (Brand Indicators for Message Identification), waarmee uw logo in de inbox van de ontvanger wordt weergegeven zodra de handhaving van kracht is.

Hoe u DMARC-conformiteit bereikt (stap voor stap)

Om aan de DMARC-normen te voldoen, is een gestructureerde aanpak nodig. Overhaast overgaan tot handhaving zonder eerst de juiste basis te leggen, is een van de meest voorkomende fouten die domeineigenaren maken. Hier leest u hoe u het op de juiste manier aanpakt.

Stap 1: Controleer je e-mailbronnen

Voordat u iets configureert, moet u alle diensten en systemen in kaart brengen die namens uw domein e-mails versturen. Dit omvat uw primaire mailservers, marketingplatforms, CRM-systemen, helpdesktools en eventuele externe leveranciers.

Als er ook maar één legitieme afzender ontbreekt, kan dit leiden tot authenticatiefouten en de afleverbaarheid van uw e-mails verstoren.

Stap 2: SPF-verificatie instellen

Met SPF kunt u aangeven welke IP-adressen bevoegd zijn om e-mail te versturen vanuit uw domein. Dit wordt gepubliceerd als een DNS TXT-record.

Gebruik de SPF-recordgenerator om een nauwkeurig record aan te maken, en volg de stapsgewijze instructies over hoe u SPF om het correct te publiceren.

Stap 3: DKIM-verificatie instellen

DomainKeys Identified Mail (DKIM) voegt een cryptografische handtekening toe aan uw uitgaande e-mails, waardoor ontvangende servers kunnen controleren of het bericht tijdens het verzenden niet is gewijzigd.

PowerDMARC’s DKIM-recordgenerator helpt u bij het aanmaken van uw DKIM-record en het publiceren ervan in uw DNS-instellingen.

Stap 4: Publiceer je DMARC TXT-record

Zodra SPF en DKIM zijn ingesteld, publiceer je DMARC-record in uw DNS. Een standaardrecord ziet er als volgt uit:

v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected];

De tag 'version' (v=DMARC1) is verplicht. De tag 'rua' geeft aan waar de geaggregeerde rapporten naartoe worden gestuurd, en de tag 'ruf' geeft aan waar de forensische rapporten worden afgeleverd.

Stap 5: Bekijk de DMARC-rapporten

Zodra uw record actief is, ontvangt u DMARC-rapporten. Domeineigenaren dienen deze rapporten regelmatig door te nemen om ongeautoriseerde afzenders op te sporen en inzicht te krijgen in mislukte authenticatiepogingen.

De DMARC-analysator zet complexe XML-rapporten om in duidelijke, bruikbare dashboards die eenvoudig te interpreteren zijn.

Stap 6: Ga over op DMARC-handhaving

Zodra alle legitieme afzenders zijn geverifieerd en aan de criteria voldoen, schakel je over van p=none naar p=quarantine en uiteindelijk naar p=reject.

Door over te stappen op een 'p=quarantine'- of 'p=reject'-beleid kunt u de reputatie van uw domein waarborgen en phishingaanvallen voorkomen. Dit is de handhaving van DMARC, en hiermee is uw domein volledig beveiligd.

Checklist naleving DMARC

Het implementeren van DMARC kan in eerste instantie ingewikkeld lijken, maar met een duidelijk stappenplan wordt het een stuk eenvoudiger. In de onderstaande checklist staan de belangrijkste stappen op een rijtje, van het controleren van uw bestaande SPF-, DKIM- en DMARC-records records tot het geleidelijk doorvoeren van een strenger DMARC-beleid.

Controleer of uw domein voldoet aan DMARC

Het is van cruciaal belang om een DMARC-conformiteitscontrole uit te voeren om er zeker van te zijn dat DMARC correct is ingeschakeld voor uw e-mails. Vaak maken domeineigenaren fouten bij het configureren van het protocol, wat leidt tot conformiteitsproblemen.

PowerDMARC biedt verschillende manieren om te controleren of je aan de regels voldoet wanneer je zich .

Optie 1: Gebruik de PowerAnalyzer-tool

U kunt uw domeinnaam invoeren in de PowerAnalyzer om aan de slag te gaan. Analyseer binnen enkele seconden uw DMARC-, SPF- en DKIM-conformiteit met een gedetailleerd rapport. U krijgt ook een domeinbeveiligingsscore.

Optie 2: Gebruik onze gratis DMARC-checker

Je kunt DMARC-compliance direct controleren met onze DMARC-checker tool. Je kunt de status van de geldigheid van je record onderzoeken en fouten sneller oplossen!

Voldoen aan DMARC-naleving en -vereisten

Volg de onderstaande stappen om DMARC-conforme e-mails te verzenden die gemakkelijk door de deliverability-controles komen:

1. Maak uw DMARC DNS-record aan 

Zodra SPF of DKIM is geconfigureerd, kunt u de configuratiewizard in het PowerDMARC-dashboard gebruiken om uw DMARC-record aan te maken. Dit is een eenvoudig proces in drie stappen.

Je hoeft alleen maar het domein in te voeren dat je wilt beheren, je record aan te maken en het op je DNS te publiceren.

2. Een DMARC-beleid instellen

Wanneer u uw DMARC-record aanmaakt, moet u een DMARC-nalevingsbeleid kiezen. U kunt kiezen uit drie beleidsmodi.

Je kunt ook een ander beleid inschakelen voor je subdomeinen. Houd er rekening mee dat het beleid voor subdomeinen voorrang heeft op het beleid van het hoofddomein voor alle subdomeinen.

3. Het DMARC record publiceren 

U moet het aangemaakte record in uw DNS publiceren om het protocol te activeren. Uw DNS kan enige tijd nodig hebben om de wijzigingen te propageren en te implementeren.

En dat is het - je niet-geauthenticeerde berichten voldoen nu aan DMARC!

Hoe DMARC-rapporten te lezen en te gebruiken

DMARC-rapporten behoren tot de krachtigste functies van het protocol. Ze bieden direct inzicht in wie er namens uw domein e-mails verstuurt en helpen u authenticatiefouten op te sporen voordat deze tot ernstige problemen leiden.

Soorten DMARC-rapporten

Geaggregeerde rapporten (RUA)

De verzamelrapporten worden dagelijks verzonden door de ontvangende mailservers. Ze bieden een overzicht van alle e-mails die vanuit uw domein zijn ontvangen, inclusief gegevens over welke IP-adressen e-mails hebben verzonden, of SPF en DKIM zijn geslaagd of mislukt, en hoeveel berichten hierdoor zijn beïnvloed.

Deze rapporten worden als XML-bestanden aangeleverd en vormen het belangrijkste hulpmiddel om de status van uw DMARC-authenticatie in de loop van de tijd te volgen.

Forensische rapporten (RUF)

Er worden DMARC-forensische rapporten gegenereerd wanneer een afzonderlijke e-mail niet voldoet aan de DMARC-authenticatiecontroles.

Ze worden vrijwel in realtime verzonden en bieden gedetailleerde informatie over specifieke authenticatiefouten, waardoor ze onmisbaar zijn bij het oplossen van problemen. Niet alle ontvangende mailservers sturen forensische rapporten, waardoor geaggregeerde rapporten de betrouwbaardere gegevensbron blijven.

Voor een volledig overzicht van de verschillen tussen deze twee rapporttypes, zie onze gids over RUA- versus RUF-rapporten voor DMARC.

Hoe u DMARC-rapporten effectief kunt gebruiken

Domeineigenaren zouden DMARC-rapporten moeten gebruiken om:

• Breng alle legitieme e-mailbronnen in kaart die vanaf hun domein verzenden
• Ontdek ongeautoriseerde afzenders die proberen domeinnamen te vervalsen
• Begrijp waarom bepaalde e-mails de authenticatie niet doorstaan
• Controleer of SPF en DKIM bij alle verzendbronnen consistent worden doorgegeven
• De voortgang bij de implementatie van DMARC bijhouden

Onbewerkte DMARC-rapporten worden geleverd als complexe XML-bestanden die moeilijk handmatig te lezen zijn. PowerDMARC zet deze rapporten om in overzichtelijke dashboards, waardoor domeineigenaren een volledig beeld krijgen van de authenticatiestatus van hun e-mail zonder dat ze de ruwe gegevens zelf hoeven te ontleden.

DMARC-conformiteit en e-mailbezorgbaarheid

Een van de meest directe en meetbare voordelen van het voldoen aan de DMARC-normen is een betere afleverbaarheid van e-mails.

Als uw domein correct is geverifieerd, hebben ontvangende mailservers veel meer vertrouwen in de legitimiteit van uw berichten, waardoor de kans aanzienlijk kleiner wordt dat ze als spam worden gemarkeerd of geweigerd.

Hoe DMARC de afleverbaarheid verbetert

Zonder DMARC-beveiliging kunnen legitieme e-mails van uw domein in spamfilters terechtkomen of zelfs volledig worden geblokkeerd, vooral als uw domein eerder is misbruikt voor spoofing.

Een correct toegepast DMARC-beleid geeft aan e-mailservers aan dat uw domein betrouwbaar is en dat onbevoegde afzenders zijn geblokkeerd. Dit zorgt ervoor dat uw legitieme e-mails direct vaker in de inbox terechtkomen.

Vereisten voor bulkverzenders

Google en Yahoo eisen nu DMARC-conformiteit van bulkverzenders als onderdeel van hun bijgewerkte vereisten voor e-mailverificatie.

Organisaties die niet aan deze vereisten voldoen, lopen het risico dat hun e-mails op grote schaal worden geblokkeerd of gefilterd, waardoor de implementatie van DMARC een zakelijke noodzaak is in plaats van een optionele best practice.

BIMI en merkzichtbaarheid

Als DMARC is ingesteld op p=reject, worden geavanceerde functies zoals BIMI beschikbaar, waarmee uw merklogo direct in de inbox van de ontvanger wordt weergegeven. Dit vergroot de merkherkenning en versterkt het vertrouwen van de ontvanger.

Het is ook een voorwaarde voor het verkrijgen van het blauwe verificatievinkje van Gmail, een krachtig vertrouwenssignaal voor afzenders met een hoog verzendvolume.

FAQs

1. Wat houdt het in om aan de DMARC-normen te voldoen?

DMARC-conformiteit houdt in dat de e-mailverificatie van uw domein (SPF en/of DKIM) in overeenstemming is met uw DMARC-beleid, waardoor alleen legitieme e-mails worden afgeleverd en ongeautoriseerde berichten worden geweigerd of in quarantaine worden geplaatst. Hiervoor is een correcte configuratie van de SPF- of DKIM-records en een gepubliceerd DMARC-beleid vereist.

2. Hoe voldoe je aan DMARC?

Om aan DMARC te voldoen, moet u e-mailverificatie voor uw domein configureren en een DMARC-beleid in uw DNS publiceren. Dit omvat het instellen van SPF- en DKIM-records, het aanmaken van een DMARC-record, het publiceren daarvan in uw DNS, het controleren van verificatierapporten en het geleidelijk doorvoeren van strengere beleidsregels, zoals p=quarantine of p=reject.

3. Wat is een DMARC-overtreding?

Er is sprake van een DMARC-overtreding wanneer een e-mail niet door de DMARC-authenticatiecontroles komt, wat betekent dat de SPF- of DKIM-authenticatie is mislukt, of dat de geauthenticeerde domeinen niet overeenkomen met het domein in de „From“-header. Dit leidt tot de actie die in uw DMARC-beleid is vastgelegd (geen actie, in quarantaine plaatsen of afwijzen).

4. Wat is DMARC en hoe werkt het?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) is een protocol voor e-mailverificatie dat gebruikmaakt van SPF en DKIM om de legitimiteit van e-mails te controleren. Het werkt door te controleren of geverifieerde domeinen overeenkomen met de „From“-header, waarna de opgegeven beleidsactie wordt toegepast en rapporten worden gegenereerd voor domeineigenaren.

5. Hoe kunnen onbeperkte subdomeinen worden ondersteund en kan de DMARC-conformiteit worden gewaarborgd?

Het kan een uitdaging zijn om onbeperkte subdomeinen te ondersteunen om DMARC-naleving te behouden. Wij raden aan: 

• Een wildcard DMARC-recordvermelding gebruiken voor uw subdomeinen
• Implementeer strikte SPF- en DKIM-afstemming
• Controleer uw DMARC-rapporten regelmatig
• Een DMARC sp (subdomein) beleid implementeren
• Handhaaf uw DMARC-beleid geleidelijk
• Gebruik een gecentraliseerde dienst voor het beheer van e-mailverificatie, zoals PowerDMARC

6. Neemt het aantal niet-conforme berichten af?

Of uw berichten die niet aan de regels voldoen, worden afgeleverd, hangt af van uw DMARC-beleid. Als u DMARC hebt ingesteld op „none“, worden berichten die niet aan de regels voldoen nog steeds afgeleverd. Bij de instellingen „quarantine“ en „reject“ worden berichten die niet aan de regels voldoen echter respectievelijk in de quarantainemap geplaatst of geweigerd. 

7. Wat gebeurt er als er geen DMARC is? 

Zonder DMARC loopt uw domein een groter risico op spoofing en het misbruik van uw domeinnaam. Bovendien kunt u zonder DMARC geen visuele markeringen toevoegen aan Gmail-inboxen via BIMI. Naleving van DMARC is bovendien een verplichting voor afzenders van bulk-e-mails in Gmail. Niet-naleving kan dan ook leiden tot problemen bij de bezorging van e-mails. 

8. Hoe lang duurt het om aan de DMARC-normen te voldoen?

Als dit handmatig gebeurt, kan het enkele maanden duren voordat 100% DMARC-conformiteit is bereikt. Door echter gebruik te maken van een betrouwbare dienstverlener zoals PowerDMARC, kunt u dit in de kortst mogelijke tijd realiseren, zonder dat de overgang negatieve gevolgen heeft.

9. Is naleving van DMARC wettelijk verplicht?

Verschillende landen, waaronder het Verenigd Koninkrijk, Canada en Denemarken, hebben DMARC-compliance verplicht gesteld voor overheidsinstellingen. Vanaf 2025 stelt de betaalkaartenindustrie DMARC ook verplicht voor organisaties die betaalkaartgegevens verwerken. 

10. Wat is het verschil tussen DMARC-naleving en DMARC-handhaving?

DMARC-conformiteit houdt in dat uw e-maildomein zo is geconfigureerd dat SPF en/of DKIM zijn afgestemd op uw DMARC-beleid om e-mails te verifiëren, waardoor ongeoorloofd gebruik wordt voorkomen.

Met DMARC-handhaving wordt bedoeld dat u uw DMARC-beleid instelt op ‘quarantaine’ of ‘weigeren’, zodat e-mails die de authenticatie niet doorstaan, worden geblokkeerd of naar de spamfolder worden gestuurd. 

11. Maakt Outlook gebruik van DMARC? 

Outlook maakt gebruik van DMARC en implementeert dit, naast andere protocollen voor e-mailverificatie zoals SPF en DKIM. DMARC geeft e-mailproviders zoals Outlook instructies over hoe ze berichten moeten behandelen die de verificatie niet doorstaan.

• Over
• Laatste berichten

Maitham Al Lawati

Cyberbeveiligingsexpert, CEO bij PowerDMARC

Maitham is een technisch ondernemer, cyberbeveiligingsexpert, CEO en oprichter van PowerDMARC met meer dan 15 jaar ervaring in de sector. Maitham heeft een Global MBA van de Universiteit van Manchester en diverse professionele certificeringen waaronder CISSP, CISM, CRISC en ISC2 CCSP.

Laatste berichten van Maitham Al Lawati (Bekijk alle berichten)

• E-mailphishing en DMARC-statistieken: trends op het gebied van e-mailbeveiliging in 2026 - 6 januari 2026
• Hoe u 'Geen SPF-record gevonden' kunt oplossen in 2026 - 3 januari 2026
• SPF Permerror: Hoe te veel DNS-lookups te verhelpen - 24 december 2025