Wat zijn de DMARC-vereisten? Wereldwijde regels, beleidsregels en naleving

DMARC-vereisten zijn niet langer louter technische aanbevelingen. Ze worden nu bepaald door een groeiende combinatie van wereldwijde regelgeving, nalevingskaders binnen de sector en regels van e-mailproviders. Overheden en instanties in de publieke sector in diverse regio’s hebben DMARC tot een formele vereiste gemaakt voor de bescherming van officiële domeinen, terwijl normen zoals PCI DSS e-mailverificatie steeds vaker beschouwen als onderdeel van bredere beveiligingsnaleving. Tegelijkertijd verwachten providers zoals Google, Yahoo en Microsoft nu strengere verificatie van afzenders, met name van degenen die op grote schaal e-mails versturen.

Die verschuiving betekent dat DMARC niet langer alleen draait om het voorkomen van spoofing. Het speelt nu een directe rol bij de afleverbaarheid van e-mail, merkbescherming, het vertrouwen van klanten en de naleving van regelgeving. Voor veel organisaties kan het niet voldoen aan de DMARC-vereisten leiden tot geweigerde e-mails, een verhoogd risico op phishing en nalevingstekortkomingen die steeds moeilijker te negeren zijn.

In deze gids worden de DMARC-vereisten vanuit dat bredere perspectief toegelicht. Er wordt ingegaan op de wereldwijde regels en voorschriften die de invoering stimuleren, de vereisten op providersniveau waaraan afzenders moeten voldoen, en de technische basiselementen – waaronder SPF, DKIM en afstemming – die nodig zijn om naleving te waarborgen.

Wat zijn de DMARC-vereisten?

DMARC-vereisten hebben betrekking op de technische en beleidsnormen waaraan domeineigenaren moeten voldoen om Domain-based Message Authentication, Reporting, and Conformance.

Ze zijn onderverdeeld in drie lagen: wettelijke voorschriften, eisen voor providers en de technische normen die nodig zijn om DMARC correct te implementeren.

In de basis is DMARC een e-mailverificatieprotocol dat voortbouwt op Sender Policy Framework (SPF) en DomainKeys Identified Mail (DKIM) om te verifiëren dat uitgaande berichten daadwerkelijk afkomstig zijn van het domein dat ze beweren te vertegenwoordigen.

Als een bericht niet door die authenticatiecontroles komt, geeft uw DMARC-beleid aan de ontvangende mailservers door wat ze ermee moeten doen.

Een domein voldoet aan de DMARC-vereisten wanneer:

• SPF en DKIM zijn correct geconfigureerd voor het verzendende domein
• Er is een geldig DMARC DNS TXT-record gepubliceerd
• Ten minste één van SPF of DKIM is geldig en komt overeen met het domein in de From-header
• DMARC-rapporten worden actief gecontroleerd

Wat is veranderd, is wat er op het spel staat. DMARC-vereisten worden nu verplicht gesteld of afgedwongen in meerdere landen en regelgevingskaders wereldwijd. Ze worden ook handhaafd door Google, Yahoo, Microsoft en PCI DSS, en niet-naleving heeft directe gevolgen voor de afleverbaarheid van e-mail, het vertrouwen in het merk en de naleving van regelgeving.

Soorten DMARC-vereisten

De DMARC-vereisten kunnen in drie categorieën worden onderverdeeld:

• Wettelijke vereisten: Verplichtingen van overheden en toezichthoudende instanties zoals CISA (VS), NCSC (VK) en NIS2 (EU), die van organisaties verlangen dat zij DMARC implementeren en handhaven als onderdeel van bredere cyberbeveiligingsnormen.
  
• Vereisten voor providers: Handhavingsregels van e-mailproviders zoals Google, Yahoo en Microsoft, met name voor bulkverzenders, waarbij authenticatie en naleving van het beleid een directe invloed hebben op de afleverbaarheid van e-mail.
  
• Technische vereisten: De basisconfiguratie die nodig is om DMARC correct te implementeren, inclusief SPF, DKIM, DMARC-beleidsregels en de juiste domeinafstemming.

Inzicht in hoe deze lagen samenwerken, is essentieel om volledige DMARC-conformiteit te bereiken en te handhaven.

Wereldwijde DMARC-vereisten per regio

DMARC is inmiddels in tal van landen en regelgevingskaders verplicht gesteld of wordt afgedwongen, waardoor het een basisvereiste is geworden voor een veilige e-mailinfrastructuur. Hieronder volgt een overzicht van de huidige belangrijkste voorschriften.

Verenigde Staten

De Amerikaanse federale overheid was een van de eersten die DMARC op nationaal niveau verplicht stelde. In 2017 vaardigde het Ministerie van Binnenlandse Veiligheid Binding Operational Directive 18-01 (BOD 18-01)uit, waarin alle federale uitvoerende instanties werden verplicht om binnen een jaar DMARC te implementeren met een minimumbeleid van p=reject.

Het CISA (Cybersecurity and Infrastructure Security Agency) blijft toezicht houden op deze normen en deze handhaven, en de richtlijn blijft van kracht voor alle .gov-domeinen. BOD 18-01 heeft een wereldwijd precedent geschapen dat sindsdien door andere overheden is gevolgd.

Verenigd Koninkrijk

Het Britse National Cyber Security Centre (NCSC) stelt de implementatie van DMARC verplicht voor alle centrale overheidsinstanties en organisaties in de publieke sector. Het NCSC beveelt een minimumbeleid van p=reject aan en publiceert actieve richtlijnen waarin organisaties worden verplicht om dit beleid te handhaven.

De Britse regering biedt ook een Mail Check-dienst aan om overheidsinstanties te helpen bij het controleren en verbeteren van hun e-mailverificatie.

Europese Unie

De NIS2-richtlijn, die in oktober 2024 in alle EU-lidstaten van kracht werd, stelt bindende cyberbeveiligingseisen vast voor sectoren met kritieke infrastructuur, waaronder energie, financiën, gezondheidszorg en digitale infrastructuur.

Beveiligingsmaatregelen voor e-mail, waaronder DMARC, worden aangemerkt als technische basismaatregelen die organisaties moeten implementeren om aan te tonen dat ze aan de voorschriften voldoen.

Hoewel DMARC niet in elke bepaling van NIS2 expliciet wordt genoemd, zijn toezichthoudende autoriteiten in verschillende lidstaten begonnen ernaar te verwijzen als een vereiste controlemaatregel tijdens audits.

Australië

Het Australian Cyber Security Centre (ACSC), dat opereert onder het Australian Signals Directorate, stelt DMARC verplicht voor domeinen van de Australische overheid en beveelt het ten zeerste aan voor alle organisaties in de particuliere sector.

De De Strategieën om cyberbeveiligingsincidenten te beperken noemt noemt e-mailverificatie als een prioritaire controlemaatregel, en van overheidsinstanties wordt verwacht dat ze deze handhaving nastreven.

Canada

Het Secretariaat van de Treasury Board van Canada eist dat DMARC wordt geïmplementeerd bij alle federale overheidsinstellingen als onderdeel van zijn richtlijnen voor e-mailbeveiliging. Van Canadese federale domeinen wordt verwacht dat zij DMARC-beleidsregels publiceren en handhaven in overeenstemming met internationale normen.

Andere lopende opdrachten

DMARC-vereisten van Google, Yahoo en Microsoft

Naast wettelijke voorschriften hanteren e-mailproviders DMARC nu als voorwaarde voor het bezorgen van e-mails in de inbox, met name voor bulkverzenders. Als uw organisatie als bulkverzender wordt aangemerkt, zijn deze vereisten nu op u van toepassing.

Wat wordt beschouwd als een bulkverzender?

Verzenders van bulk-e-mails worden gedefinieerd als verzenders die meer dan 5.000 e-mails per dag naar Gmail-accounts versturen. Yahoo hanteert vergelijkbare drempels. Microsoft gebruikt zijn eigen criteria voor het classificeren van bulk-e-mails, maar past gelijkwaardige authenticatienormen toe.

De vereisten in één oogopslag

Alle details worden behandeld in de update over de e-mailverificatievereisten van Google en Yahoo , en u kunt de richtlijnen voor afzenders van Google raadplegen voor de huidige specificaties.

Het niet naleven van deze voorschriften kan een aanzienlijke invloed hebben op de afleverbaarheid bij klanten met Gmail-, Yahoo- en Apple iCloud-accounts. Organisaties die niet aan deze vereisten voldoen, krijgen te maken met zowel tijdelijke als permanente afwijzing van e-mails, waardoor het van essentieel belang is om hierop te anticiperen.

DMARC-vereisten voor naleving van de PCI DSS

Voor organisaties die met betaalkaartgegevens werken, is DMARC een wettelijke verplichting.

De Payment Card Industry Security Standards Council (PCI SSC) heeft DMARC verplicht gesteld als onderdeel van de PCI -gegevensbeveiligingsstandaard. Deze verplichting is ingesteld vanwege e-mailfraude, domein-impersonatieen zakelijke e-mailcompromittering tot de belangrijkste vectoren behoren die worden gebruikt om organisaties in het betalingsecosysteem aan te vallen.

Wat niet-naleving betekent voor betalingsinstellingen:

• Verlies van het recht om betaalkaarttransacties te verwerken
• Blootstelling aan aanvallen waarbij zich iemand voordoet als een merk, gericht op klanten en partners
• Verhoogde kwetsbaarheid voor e-mailfraude en phishingberichten

Naast PCI DSS wordt DMARC steeds vaker in andere regelgevingskaders genoemd als een basismaatregel voor e-mailbeveiliging. Organisaties die onderworpen zijn aan federale nalevingsvereisten, moeten ook nagaan hoe DMARC past binnen hun bredere verplichtingen.

Wat gebeurt er als u niet aan de DMARC-vereisten voldoet?

De risico’s van het niet voldoen aan de DMARC-vereisten zijn concreet, direct en in sommige gevallen zeer moeilijk ongedaan te maken.

Gevolgen voor de afleverbaarheid

Gevolgen voor de reputatie

Zonder een DMARC-beleid kan uw domein vrijelijk worden gebruikt om phishingberichten en kwaadaardige berichten te versturen die lijken alsof ze rechtstreeks van uw organisatie afkomstig zijn.

Bedrijven die niet aan de DMARC-vereisten voldoen, krijgen vaak te maken met identiteitsfraude en oplichting, waarvan ze moeilijk kunnen herstellen, vooral wanneer klanten al frauduleuze berichten hebben ontvangen die afkomstig lijken te zijn van een vertrouwd domein.

Het niet naleven van DMARC kan ook leiden tot meer spam, omdat e-mailproviders wantrouwig worden ten opzichte van uw verzendende domein. Dit zorgt voor een sneeuwbaleffect dat de afleverbaarheid nog lang nadat het oorspronkelijke probleem is opgelost, blijft beïnvloeden.

Gevolgen op regelgevingsgebied

Voor organisaties die onder de PCI DSS vallen, kan het niet implementeren van DMARC ertoe leiden dat zij het recht verliezen om betalingen te verwerken. Dit is een duidelijk omschreven gevolg van niet-naleving volgens de huidige norm.

De belangrijkste vereisten: SPF en DKIM

DMARC kan niet functioneren zonder dat SPF en DKIM zijn ingesteld. Deze twee methoden voor e-mailverificatie vormen de basis waarop DMARC is gebouwd, en beide moeten correct zijn geconfigureerd voordat u een DMARC-record publiceert.

Het wordt aanbevolen om SPF en DKIM ten minste 48 uur voordat u DMARC implementeert in te schakelen, zodat u de tijd heeft om te controleren of beide mechanismen correct functioneren voordat u een beleid invoert dat ingrijpt bij fouten.

Beleidsraamwerk voor afzenders (SPF)

SPF is een DNS TXT-record waarin alle IP-adressen staan vermeld die bevoegd zijn om e-mail te verzenden namens uw domein. Wanneer een ontvangende server een inkomende e-mail ontvangt, controleert deze of het verzendende IP-adres voorkomt in uw SPF-record.

Twee veelvoorkomende problemen met SPF waar je op moet letten:

• SPF-lookups die niet geleverd kunnen worden: Records met te veel DNS-lookups verstoren de authenticatie zonder dat dit wordt gemeld en zijn een van de meest voorkomende oorzaken van onverwachte storingen.
• Complexe verzendinfrastructuren: Organisaties die veel geautoriseerde afzenders beheren, kunnen gebruikmaken van SPF-macro's om hun SPF-records te schalen zonder tegen opzoeklimieten aan te lopen.

DomainKeys Identified Mail (DKIM)

DKIM voegt een cryptografische digitale handtekening toe aan uitgaande berichten, waardoor ontvangende servers kunnen controleren of de berichttekst en de headers tijdens het verzenden niet zijn gewijzigd.

Om aan de DKIM-vereisten binnen DMARC te voldoen, moet het domein in de From-header overeenkomen met het domein dat is opgegeven in de d=-tag van de DKIM-handtekening. Een technisch geldige DKIM-handtekening die niet overeenkomt met het From-domein, zal nog steeds niet voldoen aan de DMARC-vereisten.

Stapsgewijze handleiding voor het instellen van DMARC

Zodra SPF en DKIM zijn geconfigureerd en de controle doorstaan, kunt u uw DMARC-record publiceren. Het is van cruciaal belang dat deze configuratie correct is, omdat fouten in uw record ertoe kunnen leiden dat uw domein onbeschermd blijft of dat legitieme e-mails de authenticatie niet doorstaan.

Stapsgewijze installatie

1. Controleer of SPF en DKIM zijn ingeschakeld en dat ze al minstens 48 uur actief zijn
2. Maak uw DNS TXT-record aan op _dmarc.uwdomein.com
3. Begin met een beleid waarbij p=none om gegevens te verzamelen zonder de levering te beïnvloeden
4. Voeg rapportageadressen toe zodat DMARC-rapporten onmiddellijk binnenkomen
5. Controleer het record met behulp van een DMARC-opzoektool na publicatie

Structuur van het DMARC-record

Elke DMARC-string begint met v=DMARC1. Een eenvoudig startrecord ziet er als volgt uit:

v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected];

Aanvullende DNS-vereisten

Naast het DMARC-record zelf moeten e-mailverzenders ervoor zorgen dat de DNS PTR-records.

Ontvangende servers gebruiken PTR-records om te controleren of het IP-adres van waaruit een bericht wordt verzonden, overeenkomt met het verzendende domein. Ontbrekende of niet-overeenkomende PTR-records zijn een veelvoorkomende, maar vaak over het hoofd geziene oorzaak van authenticatiefouten.

Voor de implementatie van DMARC moeten ook voor elk verzendend domein afzonderlijk SPF- en DKIM-records worden ingesteld. Organisaties die meerdere domeinen beheren voor verschillende regio’s, producten of bedrijfsonderdelen, moeten op elk domein correct geconfigureerde authenticatierecords hebben.

Uitleg over DMARC-beleidsniveaus

Uw DMARC-beleid bepaalt wat er gebeurt wanneer een e-mail de authenticatiecontroles niet doorstaat. Het selecteren van het juiste beleid in elke fase van uw uitrol is wat het verschil maakt tussen een soepele implementatie en een implementatie die onbedoeld legitieme e-mail blokkeert.

De aanbevolen aanpak voor de uitrol

• Begin met p=none om te controleren zonder de afleverbaarheid van e-mails te beïnvloeden. Dit geeft u de gegevens om elke legitieme afzender te identificeren voordat u maatregelen neemt.
• Verplaats naar p=quarantaine zodra alle legitieme afzenders zijn geverifieerd en consequent worden goedgekeurd.
• Verander naar p=afwijzen voor volledige bescherming tegen domeinspoofing en frauduleuze berichten.

Overhaast afwijzen zonder de controlefase te voltooien is een van de meest voorkomende manieren waarop organisaties per ongeluk hun eigen legitieme e-mail blokkeren.

Hoe u DMARC op grote schaal kunt monitoren en beheren

Het voldoen aan de DMARC-vereisten is een voortdurend proces. Consequent toezicht, duidelijke rapportage en de juiste infrastructuur maken het verschil tussen organisaties die aan de vereisten blijven voldoen en organisaties die weer kwetsbaar worden.

Inzicht in uw DMARC-rapporten

DMARC biedt inzicht in welke servers namens u e-mail versturen en welk percentage van die berichten de authenticatie doorstaat of niet doorstaat. Deze gegevens worden via twee soorten rapporten verstrekt:

De DMARC-rapportagetool zet ruwe XML-rapportgegevens om in overzichtelijke, bruikbare dashboards. Het helpt u de resultaten voor al uw verzenddomeinen te monitoren zonder dat u complexe bestanden handmatig hoeft te parseren.

Beheer van externe afzenders

Een van de meest voorkomende uitdagingen bij de implementatie is het identificeren en verifiëren van alle externe afzenders die namens u e-mails versturen.

Marketingplatforms, CRM-systemen, helpdesktools en andere diensten versturen allemaal uitgaande berichten via uw domein, en elk bericht moet op de juiste manier worden geverifieerd voordat u het veilig naar de quarantaine kunt verplaatsen of kunt weigeren.

DMARC-beheerde diensten helpen organisaties deze afzenders te identificeren, zorgen ervoor dat alle e-mailkanalen correct worden geauthenticeerd en verminderen de tijd en middelen die nodig zijn om volledige compliance te bereiken.

Schaalbaarheid over meerdere domeinen

Organisaties beheren steeds vaker meerdere domeinen, waardoor gecentraliseerd beheer onmisbaar is geworden. Het handmatig bijhouden van DMARC-records voor talrijke domeinen is foutgevoelig en vergt veel middelen.

Hosted DMARC oplossingen stellen organisaties in staat om records centraal te beheren, beleidswijzigingen gelijktijdig door te voeren op alle domeinen en vanuit één interface inzicht te behouden in hun volledige e-mailinfrastructuur.

Interne expertise opbouwen

Voor teams die naast het gebruik van beheerde tools ook interne kennis willen opbouwen, helpen de PowerDMARC-trainingen bij het ontwikkelen van de expertise die nodig is om e-mailauthenticatie op de lange termijn effectief te beheren.

Bovendien helpen ze teams om verkeerde configuraties te voorkomen, die de meest voorkomende oorzaak zijn van mislukte authenticatiepogingen.

Wat volledige handhaving mogelijk maakt

Zodra de status ‘p=reject’ wordt bereikt, maakt DMARC de weg vrij voor BIMI (Brand Indicators for Message Identification), waarmee uw merklogo direct in de inbox van de ontvanger wordt weergegeven.

BIMI is een van de meest zichtbare voordelen van een correct doorlopen DMARC-implementatietraject en fungeert als een sterk vertrouwenssignaal voor afzenders met grote verzendvolumes.

Voor organisaties die hun e-mailinfrastructuur verder willen beveiligen, dwingt MTA-STS dwingt TLS-versleuteling af voor inkomende e-mail, waardoor een extra beschermingslaag wordt toegevoegd bovenop wat DMARC biedt.

Voldoe aan de DMARC-vereisten met PowerDMARC

De DMARC-vereisten worden alleen maar strenger. Google, Yahoo, Microsoft en PCI DSS hebben allemaal een duidelijke grens getrokken, en organisaties die hier niet aan voldoen, ondervinden nu al de gevolgen in de vorm van geweigerde e-mails, een aangetaste reputatie van de afzender en blootgestelde domeinen.

Om volledig aan de DMARC-normen te voldoen, moet elke afzender worden geverifieerd, moeten rapporten correct worden geïnterpreteerd, moeten meerdere domeinen worden beheerd en moeten de verschillende beleidsfasen worden doorlopen zonder dat legitieme e-mail hierdoor wordt verstoord. Dat is een hele klus om handmatig te doen.

PowerDMARC vereenvoudigt het hele proces, van uw eerste DNS TXT-record tot de handhaving van de p=reject-regel en nog veel meer.

Met gehoste DMARC, geautomatiseerde rapportage, beheerde diensten en een platform dat is ontworpen voor inzicht op grote schaal, biedt PowerDMARC u alles wat u nodig hebt om aan de huidige eisen te voldoen en voorop te blijven lopen op wat er nog komen gaat.

Ga vandaag nog aan de slag met PowerDMARC vandaag nog.

FAQs

1. Wat zijn de vereisten voor DMARC?

DMARC vereist dat SPF of DKIM (bij voorkeur beide) wordt geconfigureerd en afgestemd op uw domein. U moet een DMARC-beleid in DNS publiceren dat begint met p=none, en rapportageadressen instellen om authenticatierapporten te ontvangen.

2. Is DMARC nu verplicht?

Vanaf februari 2024 is DMARC verplicht voor bulkverzenders (5.000+ e-mails per dag) die naar Gmail en Yahoo verzenden. Ook overheidsinstanties in veel landen stellen DMARC verplicht. Hoewel het niet overal verplicht is, wordt het ten zeerste aanbevolen voor alle organisaties die e-mails versturen.

3. Is DKIM een vereiste voor DMARC?

DMARC vereist dat ofwel SPF ofwel DKIM voldoet aan de afstemmingscriteria, maar beide worden aanbevolen. Hoewel je DMARC technisch gezien met alleen SPF kunt implementeren, eisen grote e-mailproviders zoals Google en Yahoo DKIM voor bulkverzenders, waardoor beide in de praktijk noodzakelijk zijn.

4. Sinds wanneer is DMARC verplicht?

De DMARC-vereisten werden in 2017 voor het eerst ingevoerd door Amerikaanse federale instanties (BOD 18-01). Google en Yahoo hebben in februari 2024 vereisten voor bulkverzenders ingevoerd. Verschillende landen hebben tussen 2020 en 2025 DMARC-vereisten ingevoerd, en de handhaving ervan breidt zich wereldwijd steeds verder uit.

5. Hoe lang duurt de implementatie van DMARC?

De implementatie van DMARC duurt doorgaans 4 tot 12 weken, afhankelijk van de complexiteit. De eerste configuratie kan binnen enkele dagen worden uitgevoerd, maar voor een goede monitoring, analyse en geleidelijke handhaving van het beleid zijn enkele weken nodig om ervoor te zorgen dat de afleverbaarheid van e-mail niet in het gedrang komt.

6. Wat gebeurt er als ik DMARC niet implementeer?

Zonder DMARC kunnen bulk-e-mails naar Gmail en Yahoo worden geweigerd of als spam worden gemarkeerd. Uw domein blijft kwetsbaar voor spoofing-aanvallen en u kunt te maken krijgen met nalevingsproblemen in gereguleerde sectoren. Dit zal waarschijnlijk ten koste gaan van de afleverbaarheid van e-mails en de reputatie van de afzender.

• Over
• Laatste berichten

Ahona Rudra

Expert domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• Avanan SPF-record: hoe u uw SPF voor Check Point Harmony Email instelt, repareert en optimaliseert - 7 mei 2026
• DNS SPF-record: hoe het werkt en hoe je het instelt - 6 mei 2026
• Wat is v=spf1? Waarvoor dient het? - 5 mei 2026