Een DMARC record maken en publiceren

DMARC, of Domain-based Message Authentication, Reporting and Conformance, is een technisch protocol voor het authenticeren van uitgaande berichten. DMARC fungeert als eerste verdedigingslinie tegen verschillende e-mailgebaseerde bedreigingen, waaronder phishing en spoofing. 

Om DMARC te configureren, moet u een DMARC-record aanmaken. Het aangemaakte DMARC-record is een TXT-record dat vervolgens op uw DNS wordt gepubliceerd. Hiermee start u uw e-mailverificatieproces.

Door een DMARC-record in te stellen, stelt u domeineigenaren in staat om ontvangers te instrueren hoe ze moeten reageren op e-mails die zijn verzonden vanuit ongeautoriseerde of onwettige bronnen.

Tip van expert Maitham Al Lawati: „Voor organisaties in de gezondheidszorg of de financiële sector draait DMARC niet alleen om beveiliging. Het gaat erom aan strenge nalevingsvereisten te voldoen. Begin met monitoren, en pas daarna met handhaven.”

Deze handleiding helpt u bij het correct aanmaken en publiceren van een DMARC DNS TXT-record, en legt uit hoe u dit kunt controleren en veelvoorkomende fouten kunt oplossen.

Wat zijn DMARC-records?

Een DMARC-record is een DNS TXT-record dat aangeeft hoe e-mailservers moeten omgaan met berichten die niet door de authenticatiecontroles (SPF & DKIM) komen.

Het helpt domeineigenaren e-mailspoofing en phishing door ontvangerservers te instrueren om ongeautoriseerde e-mails te weigeren, in quarantaine te plaatsen of toe te laten.

Hoe werkt DMARC?

DMARC bouwt voort op twee bestaande protocollen voor e-mailverificatie: SPF (Sender Policy Framework) en DKIM (DomainKeys Identified Mail). Hieronder volgt het stapsgewijze verificatieproces:

1. E-mail verzonden: Er is een e-mail verzonden die zogenaamd afkomstig is van uw domein
2. SPF-controle: De ontvangende server controleert of het verzendende IP-adres is geautoriseerd in uw SPF-record
3. DKIM-controle: De server controleert de DKIM-handtekening aan de hand van uw gepubliceerde DKIM-sleutel
4. DMARC-beoordeling: De server controleert uw DMARC-beleid en bepaalt of het in overeenstemming is
5. Toepassing van het beleid: Op basis van uw DMARC-beleid (geen, quarantaine, weigeren) wordt de juiste actie ondernomen
6. Rapportage: De resultaten worden verzameld en naar de door u opgegeven rapportageadressen verzonden

Belangrijk punt: DMARC vereist dat ten minste één van SPF of DKIM slaagt EN correct is afgestemd op het domein in de 'Van'-header, wil de e-mail de DMARC-authenticatie doorstaan.

Anatomie van een DMARC-record

Het is essentieel om elke DMARC-tag te begrijpen voor een juiste configuratie. Hier volgt een uitgebreid overzicht van alle componenten van een DMARC-record:

Voorbeelden van DMARC-records

Hier zijn enkele praktijkvoorbeelden van DMARC-records voor verschillende gebruikssituaties. Kopieer deze en pas ze aan voor uw domein:

Basisbewakingsmodus (aanbevolen voor beginners)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Toepassingsvoorbeeld: Eerste DMARC-implementatie voor het monitoren van e-mailverkeer zonder handhaving.

Quarantainebeleid met rapportage

• v=DMARC1; p=quarantaine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Gebruiksscenario: Geleidelijke handhaving die van invloed is op 25% van de e-mails, met zowel geaggregeerde als forensische rapportage.

Strikt handhavingsbeleid

• v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=s; aspf=s
• Gebruiksscenario: Volledige bescherming met strikte afstemming voor zowel domeinen als subdomeinen.

Bescherming tegen niet-verzendende domeinen

• v=DMARC1; p=afwijzen; sp=afwijzen; adkim=s; aspf=s
• Gebruiksscenario: domeinen die geen e-mails versturen, maar wel bescherming nodig hebben tegen spoofing.

DMARC-recordtags uitgelegd

Vergelijkingstabel DMARC-beleid

1. DMARC-beleidsmodi

Het DMARC-beleid definieert hoe ontvangers moeten omgaan met e-mails die de DMARC-authenticatie niet doorstaan. Het wordt aangeduid met "p". Het kan een van de volgende drie waarden hebben: 

• p=none: Geen actie ondernemen tegen ongewenste e-mails.
• p=quarantaine: Om verdachte e-mails te markeren. 
• p=reject: Om ongewenste e-mails te blokkeren voordat ze bij uw ontvangers terechtkomen.

2. Opties voor DMARC-rapportage

• Geaggregeerde rapporten (rua=): Dit zijn samenvattende rapporten die naar het opgegeven e-mailadres worden verzonden en waarin de verificatieresultaten voor alle e-mails van het domein worden weergegeven.
• Forensische rapporten (ruf=): Dit zijn gedetailleerde storingsrapporten die worden verzonden wanneer een e-mail de DMARC-authenticatie niet doorstaat.

3. DMARC-uitlijningsmodi

• SPF-overeenstemming (aspf=): Bepaalt of het domein van de afzender in de From:-header overeenkomt met het SPF-record. Er is een keuze tussen strikte (s) overeenstemming voor een exacte match of soepele (r) overeenstemming voor een match op organisatieniveau. 
• DKIM-afstemming (adkim=): Bepaalt of de DKIM-handtekening overeenkomt met het domein in de From: header. Er is een optie voor strikte (s) afstemming voor een exacte overeenkomst of voor soepele (r) afstemming voor een organisatorische overeenkomst. 

Hoe DMARC werkt met subdomeinen

De tag 'sp' (subdomeinbeleid) bepaalt hoe DMARC-beleidsregels van toepassing zijn op subdomeinen. Als dit niet is opgegeven, nemen subdomeinen het beleid van het hoofddomein over.

• Overerving: subdomeinen nemen automatisch het DMARC-beleid van het bovenliggende domein over
• Overschrijven: gebruik de tag ‘sp=’ om verschillende beleidsregels voor subdomeinen in te stellen
• Aanbevolen werkwijze: stel strengere regels in voor subdomeinen die geen e-mails versturen

Hoe maak je een DMARC record aan?

Om een DMARC DNS-record voor je domein aan te maken, moet je ervoor zorgen dat je: 

1. a) een betrouwbaar instrument om het record te genereren
2. b) toegang tot uw DNS-beheerconsole om het record te publiceren

Volg de onderstaande stappen om je record aan te maken:

1. Uw DMARC record genereren 

Start uw gratis proefperiode van 15 dagen voor DMARC-beveiliging om toegang te krijgen tot ons portaal met een e-mailadres of meld u aan via Gmail/Office 365. Ga naar Analyse-tools > PowerToolbox > Gratis DMARC-recordgenerator om te beginnen met het aanmaken van uw DMARC-record.

2. Definieer een DMARC-beleid voor uw DMARC-record

Beslis over een DMARC beleid afhankelijk van het gewenste handhavingsniveau (geen, quarantaine of afwijzen). Zo kies je je DMARC-recordbeleid:

• Als je wilt dat er geen actie wordt ondernomen tegen ongevraagde e-mails die vanaf je domein zijn verzonden, kies dan "geen".
• Als je e-mails die niet voldoen aan DMARC in quarantaine wilt plaatsen, kies dan "quarantaine".
• Als je e-mails wilt weigeren of weggooien die de verificatie niet doorstaan, wat spoofing en phishing-aanvallen kan minimaliseren, kies dan "weigeren".

3. Aanbevolen optionele velden voor DMARC-records configureren 

Hoewel niet alle velden verplicht zijn, raden we je aan een paar nuttige optionele velden te configureren in je DMARC-record. Laten we eens kijken welke dat zijn:

1. Geaggregeerd (rua) rapportageveld: Als u het rua-veld configureert, ontvangt u DMARC-authenticatiegegevens rechtstreeks op uw e-mailadres. 
2. Forensisch (ruf) rapportageveld: Verkrijg inzicht in forensische incidenten zoals cyberaanvallen door het ruf-veld in je DMARC-record te configureren. 
3. DKIM/SPF uitlijningsmodi" Kies of u wilt kiezen voor een ontspannen of een strikte uitlijning voor SPF en/of DKIM.

Hoe publiceer je een DMARC record?

Om een DMARC record te publiceren, zijn er een paar voorwaarden: 

• U moet toegang hebben tot uw DNS-beheerconsole 
• Je moet toestemming hebben om DNS-records voor je domein te bewerken en nieuwe toe te voegen

Je DMARC record publiceren met cPanel

1. Ga naar uw cPanel DNS-beheerconsole
2. Klik in het gedeelte ‘Domeinen’ op ‘DNS-zone-editor’ of ‘Geavanceerde zone-editor’

3. Voeg een DMARC-record van het type TXT (tex) toe en vul de gegevens in zoals hieronder weergegeven. In het veld 'TXT-gegevens' of 'waarde' moet u uw eerder aangemaakte DMARC-record plakken.

Een DMARC record publiceren bij Godaddy

1. Log in op je GoDaddy Domein Portfolio om toegang te krijgen tot de DNS-zone
2. Zoek en selecteer onder Domeinnaam uw domein voor het verzenden van e-mail
3. Klik onder uw domeinnaam op DNS
4. Selecteer nu Nieuw record toevoegen en begin met het publiceren van je record met de volgende gegevens:

• Type: TXT
• Naam: _dmarc
• Waarde: plak de waarde van uw DMARC-record

Een DMARC record publiceren met Cloudflare 

1. Log in op uw Cloudflare-account.  
2. Selecteer het gewenste account en domein.  
3. Navigeer naar DNS en klik op Record toevoegen  
4. Plak het gegenereerde DMARC-record in het gedeelte Record toevoegen, zoals in het onderstaande voorbeeld:

Hoe controleer je je DMARC-record

Nadat u uw DMARC-record hebt gepubliceerd, is het van cruciaal belang om te controleren of het correct werkt. Hier volgt een stapsgewijze controleprocedure:

Stapsgewijze checklist voor het controleren van DMARC-records

1. Gebruik DNS-opzoektools: Controleer of uw DMARC-record correct is gepubliceerd met behulp van tools zoals nslookup of dig
2. Syntaxis controleren: Gebruik online DMARC-validators om te controleren op syntaxfouten
3. E-mailverificatie testen: Verzend test-e-mails en controleer de headers op DMARC-resultaten
4. Monitorrapporten: Wacht op DMARC-rapporten om te controleren of alles goed werkt
5. Controleer meerdere DNS-servers: Controleer de propagatie over verschillende DNS-servers wereldwijd

Aanbevolen DMARC-validatietools

• PowerDMARC DMARC-checker: Gratis uitgebreide validatietool
• MXToolbox DMARC-opzoekfunctie: Snelle verificatie van DNS-records
• Google Admin Toolbox: Hulpprogramma voor het controleren van DNS-records

Dit is waarom meer dan 10.000 klanten op PowerDMARC vertrouwen: AI-gestuurde dreigingsinformatie, eersteklas onboarding, naleving van SOC2/ISO27001 en geautomatiseerd beheer van meerdere domeinen

• Enorme vermindering van pogingen tot spoofing en ongeautoriseerde e-mails
• Snellere onboarding + geautomatiseerd authenticatiebeheer
• Realtime dreigingsinformatie en rapportage over verschillende domeinen heen
• Betere e-mailbezorgingspercentages dankzij strikte handhaving van DMARC

De eerste 15 dagen zijn gratis

Start uw gratis proefperiode van 15 dagen voor DMARC-beveiliging

Uw DMARC record verifiëren

Om uw DMARC-record te verifiëren en de veelvoorkomende foutmelding "Geen DMARC-record gevonden" , kunt u onze gratis verificatietool gebruiken.

1. Meld u gratis aan en ga naar Analysehulpmiddelen > PowerToolbox > DMARC Record Checker Tool

2. Controleer de status, syntaxis en tags van uw DMARC-record om eventuele fouten te ontdekken.

Klaar om uw DMARC-record te verifiëren? Gebruik de gratis DMARC-checker van PowerDMARC

Veelvoorkomende fouten bij DMARC-records die u moet vermijden

Vermijd deze veelvoorkomende DMARC-configuratiefouten die uw e-mailbeveiliging en afleverbaarheid in gevaar kunnen brengen:

1. Syntaxis- en configuratiefouten

• Ontbrekende puntkomma’s: Elke tag moet worden gescheiden door puntkomma's
• Extra spaties: Vermijd onnodige spaties rond tags en waarden
• Onjuiste versie: Gebruik altijd “v=DMARC1” (niet v=DMARC2 of iets dergelijks)
• Ongeldige e-mailadressen: Zorg ervoor dat de rapportageadressen geldig en bereikbaar zijn

2. Fouten bij de uitvoering van beleid

• Te snel overschakelen naar p=reject: Begin met p=none voor monitoring
• SPF en DKIM niet eerst configureren: DMARC vereist dat deze protocollen zijn ingesteld
• Het negeren van subdomeinbeleidsregels: Overweeg het instellen van passende sp=waarden

3. Fouten bij het beheer van documenten

• Meerdere DMARC-records: Er is slechts één DMARC-record per domein toegestaan
• Onjuiste naam van het DNS-record: Moet exact “_dmarc.uwdomein.com” zijn
• Onjuist recordtype: Moet van het type TXT zijn

4. Tekortkomingen bij de monitoring en rapportage

• Rapportage niet ingesteld: Als de rua=-tag ontbreekt, is er geen inzicht in e-mailverificatie
• DMARC-rapporten negeren: Rapporten bevatten cruciale beveiligingsinzichten
• Gebruik van onbereikbare meldingsadressen: zorg ervoor dat u meldingen kunt ontvangen en verwerken

Problemen met veelvoorkomende DMARC-recordfouten oplossen

Gebruik deze stapsgewijze checklist om veelvoorkomende DMARC-recordproblemen op te lossen:

Veel voorkomende DMARC recordfouten

Zodra u fouten in uw record ontdekt, moet u de nodige wijzigingen in uw DNS doorvoeren en de wijzigingen opslaan. U kunt uw record opnieuw controleren zodra de wijzigingen zijn verwerkt.

Inzicht in DMARC-rapporten

DMARC-rapporten bieden cruciale inzichten in de prestaties van uw e-mailverificatie en mogelijke beveiligingsrisico’s. Dit is wat u moet weten:

Soorten DMARC-rapporten

1. Geaggregeerde rapporten (RUA)

• Frequentie: Dagelijkse overzichten van alle resultaten van e-mailverificatie
• Inhoud: Volumestatistieken, authenticatieresultaten, bron-IP's
• Toepassingsvoorbeeld: De algehele status van e-mailverificatie monitoren en trends identificeren

2. Forensische rapporten (RUF)

• Frequentie: Realtime rapporten voor authenticatiefouten
• Inhoud: Gedetailleerde e-mailheaders en redenen voor mislukte authenticatie
• Gebruiksscenario: Onderzoek specifieke authenticatiefouten en mogelijke aanvallen

Hoe DMARC-rapporten te interpreteren

Belangrijke indicatoren om in de gaten te houden:

• DMARC-slaagpercentage: Percentage e-mails dat de DMARC-authenticatie doorstaat
• Afstemming van SPF/DKIM: Hoe goed zijn uw authenticatieprotocollen op elkaar afgestemd?
• Bronanalyse: Legitieme versus verdachte afzenders identificeren
• Gevolgen voor het beleid: Gevolgen van quarantaine-/afwijzingsbeleid voor de bezorging van e-mail

Rapporten gebruiken om de e-mailbeveiliging te verbeteren

1. Legitieme afzenders herkennen: Zorg ervoor dat alle geautoriseerde e-mailbronnen correct zijn geconfigureerd
2. Spoofingpogingen detecteren: Controleer op ongeoorloofd gebruik van uw domein
3. Verificatie optimaliseren: Problemen met SPF- en DKIM -afstemming oplossen
4. Geleidelijke handhaving van het beleid: Gebruik gegevens om op een veilige manier over te stappen van monitoring naar handhaving

DMARC record voor niet-verzenddomeinen 

De meeste mensen beperken zich tot het beveiligen van hun actieve domeinen, maar aanvallers kunnen zelfs uw niet-verzendende domeinen vervalsen om namens u valse e-mails te versturen! Om dit te voorkomen, volgt hier een stappenplan voor het implementeren van DMARC voor uw niet-verzendende domeinen: 

• Publiceer een niet-permissief DMARC-record: begin met het publiceren van een DMARC-record voor het inactieve domein met een strikt beleid, zoals p=reject. 
• Rapportage inschakelen (aanbevolen): zelfs als uw domein geen e-mails verstuurt, kunnen aanvallers het toch misbruiken om phishingberichten te versturen. DMARC-rapporten waarschuwen je wanneer dit gebeurt.
• Publiceer een restrictief SPF-record: stel v=spf1 -all in om het verzenden van e-mail te blokkeren.
• Schakel de geïntegreerde e-maildiensten uit: als het domein nog steeds is gekoppeld aan externe e-mailservers, kan het verstandig zijn om deze te beperken als het domein niet meer in gebruik is. 

Gevolgen van het niet beveiligen van uw inactieve domeinen 

Het niet implementeren van DMARC voor uw niet-verzenddomeinen kan verschillende gevolgen hebben, zoals: 

• Verhoogd risico op spoofing- en phishingaanvallen 
• Schade aan merk- en domeinreputatie 
• Domeinmisbruik dat lange tijd onopgemerkt blijft

Eén DMARC-bestand per domein

Bij het configureren van uw DMARC-record is het belangrijk om één record per domein te publiceren. Meerdere DMARC-records voor één domein kunnen conflicten en onnodige authenticatiefouten veroorzaken! 

Waarom meerdere DMARC-records een probleem zijn

1. Fouten bij e-mailverificatie: ontvangers van e-mails weten mogelijk niet welk DMARC-record ze moeten volgen.
2. Verkeerde configuraties en inconsistenties: Tegenstrijdige beleidsregels (bijvoorbeeld wanneer in het ene record p=none wordt gebruikt en in het andere p=reject) leiden tot onvoorspelbare handhaving.
3. Onnauwkeurige rapportage: DMARC-rapporten kunnen onvolledig of onbetrouwbaar zijn.

Beste praktijken voor een correcte DMARC-implementatie

Om ervoor te zorgen dat DMARC-recordconfiguratie, volgen hier de best practices voor de implementatie: 

• Publiceer één record voor DMARC per domein.
• Vermijd het configureren van de DMARC sp tag tenzij je wilt dat je subdomeinen een ander beleid hebben.
• Gebruik een DMARC-controleprogramma om je record te valideren nadat je het hebt gepubliceerd.
• Controleer je DMARC-rapporten regelmatig om ervoor te zorgen dat verdachte activiteiten niet onopgemerkt blijven. 

Volgende stappen na het publiceren van een DMARC record

Nadat je klaar bent met het publiceren van je DMARC-record, moet je je in de volgende stap richten op het beschermen van je domein tegen scammers en imitators. Dat is je belangrijkste taak als je beveiligingsprotocollen en e-mailverificatieservices implementeert. 

Het louter publiceren van een DMARC-record met een p=none-beleid biedt geen enkele bescherming tegen domeinspoofing aanvallen en e-mailfraude. Daarvoor moet u overstappen op DMARC-handhaving.

Om over te stappen op DMARC is een geleidelijke aanpak de beste manier om ideale resultaten te behalen zonder negatieve gevolgen voor je deliverability. Hier volgt een stapsgewijs proces dat je kunt volgen:

• Begin met een p=none beleid, wat je bewakingsmodus is. 
• Schakel DMARC-rapportage in voor uw domein om uw e-mailverkeer verkeer en de leverbaarheid ervan te analyseren. 
• Ga naar quarantaine, houd pct (percentage) op 10 en verhoog het geleidelijk naar 100% over een paar weken.
• Zodra u vertrouwen hebt in uw instelling, gaat u over op p=reject, waarbij u pct op de laagste percentage-instelling houdt en vervolgens geleidelijk verhoogt naar volledige handhaving voor 100% van uw mailvolume. 

Hoe u het beheer van DMARC-records kunt vereenvoudigen

Voor organisaties die meerdere domeinen beheren, of gewoonweg geen zin hebben in het gedoe van het handmatig configureren en onderhouden van DMARC-records, bieden gespecialiseerde oplossingen de mogelijkheid om het beheer van DMARC-records volledig te automatiseren. Aangedreven door AI-gestuurde dreigingsinformatietechnologie en gedetailleerde rapportage helpt PowerDMARC al meer dan 2000 klanten wereldwijd bij het vereenvoudigen van hun DMARC-traject. 

Professionele DMARC-beheer oplossingen bieden:

• Beheer van meerdere domeinen en meerdere klanten vanuit één dashboard
• Een zorgvuldige onboarding en deskundige ondersteuning
• Gecertificeerd voor SOC2-, ISO27001- en GDPR-conformiteit

Om te beginnen, neem een gratis Start vandaag nog uw gratis proefperiode van 15 dagen voor DMARC-beveiliging van het platform! 

Veelgestelde vragen over DMARC-records

1. Hoe maak ik een DMARC-record aan voor mijn domein?

Om een DMARC-record aan te maken: 1) Genereer uw DMARC-record met behulp van een tool zoals de generator van PowerDMARC, 2) Ga naar uw DNS-beheerconsole, 3) Maak een nieuw TXT-record aan met de naam „_dmarc“ en plak uw DMARC-record als waarde, 4) Sla de wijzigingen op en wacht tot de DNS-wijzigingen zijn doorgevoerd (dit kan tot 48 uur duren).

2. Wat gebeurt er als ik geen DMARC-record heb?

Zonder een DMARC-record is uw domein kwetsbaar voor spoofing- en phishingaanvallen. E-mailproviders zoals Gmail en Yahoo kunnen e-mails van bulkverzenders zonder DMARC weigeren. De reputatie van uw domein kan worden geschaad door ongeoorloofd gebruik en u hebt geen inzicht in mislukte e-mailverificaties.

3. Hoe doorloop ik de DMARC-verificatie?

Om de DMARC-verificatie te doorstaan: 1) Zorg ervoor dat SPF en DKIM correct zijn geconfigureerd, 2) Controleer of het domein in de From:-header overeenkomt met de SPF-/DKIM-domeinen, 3) Gebruik een DMARC-beleid dat legitieme e-mails toestaat (begin met p=none), 4) Houd DMARC-rapporten in de gaten om authenticatieproblemen op te sporen en op te lossen.

4. Hoe ziet een typisch DMARC-record eruit?

Een standaard DMARC-record wordt als DNS TXT-record gepubliceerd op _dmarc.uwdomein.com en staat meestal in de controlemodus. Een veelvoorkomend voorbeeld ziet er als volgt uit:

v=DMARC1; p=none; rua=mailto:[email protected]

Wat dit doet:

• v=DMARC1 geeft aan dat het record een DMARC-beleid is.
• p=none zorgt ervoor dat e-mails worden gecontroleerd zonder te worden tegengehouden.
• rua geeft aan waar de samengevoegde DMARC-rapporten naartoe worden gestuurd.

Met deze configuratie kunt u authenticatieresultaten controleren en pogingen tot spoofing opsporen zonder dat dit invloed heeft op de bezorging van e-mails. Zodra u de rapporten hebt bekeken en hebt gecontroleerd of alle legitieme afzenders in orde zijn, kunt u geleidelijk overschakelen naar p=quarantine of p=reject om de regels te handhaven.

• Over
• Laatste berichten

Maitham Al Lawati

Cyberbeveiligingsexpert, CEO bij PowerDMARC

Maitham is een technisch ondernemer, cyberbeveiligingsexpert, CEO en oprichter van PowerDMARC met meer dan 15 jaar ervaring in de sector. Maitham heeft een Global MBA van de Universiteit van Manchester en diverse professionele certificeringen waaronder CISSP, CISM, CRISC en ISC2 CCSP.

Laatste berichten van Maitham Al Lawati (Bekijk alle berichten)

• E-mailphishing en DMARC-statistieken: trends op het gebied van e-mailbeveiliging in 2026 - 6 januari 2026
• Hoe u 'Geen SPF-record gevonden' kunt oplossen in 2026 - 3 januari 2026
• SPF Permerror: Hoe te veel DNS-lookups te verhelpen - 24 december 2025