Wat is DMARC? Hoe het werkt, beleidsregels en configuratietips

In 2025 zullen er ruwweg 376 miljard e-mails elke dag wereldwijd verstuurd worden, waardoor e-mail een van de meest gebruikte communicatiekanalen is. Helaas trekt deze populariteit ook cybercriminelen aan: AI-gestuurde phishingaanvallen nemen toe, met rapporten waaruit blijkt dat er ongeveer 1,96 miljoen phishingaanvallen in één jaar, wat neerkomt op een toename van ongeveer 182% ten opzichte van 2021.

Om uw e-mailcommunicatie en de reputatie van uw merk te beschermen, moet u weten wat DMARC is en waarom het belangrijk is. DMARC helpt verifiëren of uw berichten legitiem zijn, voorkomt dat aanvallers zich voordoen als uw domein en verbetert uw kansen om de inbox te bereiken. Het wordt nu op grote schaal gebruikt in de financiële sector, gezondheidszorg, productie, technologie en andere sectoren waar veilige communicatie essentieel is.

Wat is DMARC?

DMARC is een e-mailverificatieprotocol dat is ontworpen om e-mailfraude en phishing tegen te gaan. Het geeft domeineigenaren controle over hoe hun e-mail moet worden geverifieerd en wat er moet gebeuren als een bericht deze controles niet doorstaat.

DMARC controleert of een e-mail echt van uw domein afkomstig is en levert rapporten die laten zien wie er namens u verzendt. Dit helpt organisaties de beveiliging te versterken en hun domeinreputatie te beschermen. Veel bedrijven maken ook gebruik van DMARC providers voor het beheer van de instellingen, de rapportage en de handhaving van het beleid.

DMARC werkt samen met SPF (Sender Policy Framework) en DKIM (DomainKeys Identified Mail) om ervoor te zorgen dat alleen geautoriseerde afzenders je domein kunnen gebruiken. Het vervangt geen antivirus of firewalls, maar voegt een essentiële beschermingslaag toe. Met DMARC kunnen organisaties kiezen wat er gebeurt met niet-geverifieerde e-mails (of ze worden geweigerd, in quarantaine geplaatst of afgeleverd).

Waar staat DMARC voor?

DMARC staat voor Domain-based Message Authentication, Reporting en Conformance.

Als je begrijpt wat elk deel van het DMARC acroniem betekent, kun je zien hoe het protocol je domein beschermt, de deliverability verbetert en je inzicht geeft in wie er namens jou mail verstuurt. Elk onderdeel heeft een functie die je moet begrijpen om DMARC correct te configureren en je rapporten te interpreteren.

• Domein-gebaseerd: DMARC werkt op domeinniveau. U publiceert een DNS-beleid dat ontvangende servers vertelt hoe ze mail moeten behandelen die beweert van uw domein te komen.
• Verificatie van berichten: DMARC controleert of je e-mails door SPF of DKIM komen en of het domein dat ze verifiëren overeenkomt met het domein in de "Van" header. Deze afstemming helpt spoofed berichten te blokkeren.
• Rapportage: DMARC kan je rapporten sturen die laten zien wie je domein gebruikt en hoe je e-mails presteren. Deze omvatten samengevoegde overzichten en, indien ingeschakeld, forensische details over mislukkingen.
• Conformiteit: Je stelt een beleid in (geen, quarantaine of afwijzen) dat ontvangers vertelt wat ze moeten doen met e-mails die de DMARC-controles niet doorstaan. Dit bepaalt hoe streng je domein wordt beschermd.

Hoe DMARC uw e-mails beschermt

DMARC verbetert de beveiliging van e-mail door een laag van beleidshandhaving en rapportage toe te voegen bovenop de bestaande authenticatiemethoden: SPF (Sender Policy Framework) en DKIM (DomainKeys Identified Mail). Een afzenderdomein publiceert een DMARC-rapport in DNS waarin zijn beleid wordt gespecificeerd. Wanneer een e-mail wordt verzonden die beweert van dat domein afkomstig te zijn:

1. E-mail verzenden en eerste controles: De verzendende server past meestal DKIM-handtekeningen toe. De e-mail wordt standaard doorgestuurd.
2. E-mailontvangst en -verificatie: De ontvangende server voert de volgende controles uit:
   • SPF-controle: Controleert of het verzendende IP-adres is opgenomen in het SPF-record van het domein.
   • DKIM-controle: Valideert de digitale handtekening van de e-mail met behulp van de openbare sleutel in de DNS van het domein om te controleren of er niet mee geknoeid is.
   • Controle op uitlijning: Bevestigt dat het domein in de "Van" header overeenkomt met het domein dat is gevalideerd door SPF of DKIM. Dit voorkomt dat gespoofde domeinen door de verificatie komen.
3. Handhaving DMARC-beleid: De ontvangende server controleert het domein van de afzender DMARC record in DNS.
   • Als de e-mail de SPF- of DKIM-controles doorstaat en voor ten minste één ervan op één lijn ligt, passeert hij DMARC en wordt hij normaal afgeleverd.
   • Als de e-mail niet slaagt voor zowel SPF als DKIM, of de afstemming voor beide niet slaagt, past de ontvangende server de DMAR toe.
   • C beleid in het DMARC record van de afzender (bijv. p=none voor monitoring, p=quarantine om naar spam te sturen, of p=reject om de e-mail te blokkeren).
4. Rapportage: De ontvangende server genereert geaggregeerde rapporten (RUA) met samenvattende authenticatiegegevens (pass/fail-tellingen, IP's, uitlijningsresultaten) en mogelijk forensische rapporten (RUF) met gedetailleerde informatie over individuele mislukkingen. Deze rapporten worden verzonden naar de adressen die zijn opgegeven in het DMARC-record van het verzender-domein.

Veel organisaties kiezen ervoor om dit hele proces te vereenvoudigen en te automatiseren met oplossingen zoals PowerDMARC. In het Verenigd Koninkrijk gevestigde Managed Service Provider PrimaryTech samen met PowerDMARC om het beheer van SPF-, DKIM- en DMARC-records voor meerdere klantdomeinen te stroomlijnen.

Dit hielp hen niet alleen bij het waarborgen van een nauwkeurige DNS-recordconfiguratie en beleidshandhaving, maar verbeterde ook de e-mail deliverability van hun klanten en de bescherming tegen spoofing-aanvallen, wat de werkelijke impact van een effectieve DMARC-implementatie aantoont.

Waarom DMARC essentieel is voor e-mailbeveiliging

DMARC versterkt de beveiliging van e-mail door een aantal van de grootste risico's aan te pakken waarmee organisaties tegenwoordig te maken hebben:

• E-mailspoofing en phishing voorkomen: DMARC verifieert dat e-mails echt van uw domein afkomstig zijn en blokkeert aanvallers die zich als u proberen voor te doen. Dit is vooral belangrijk omdat phishing-aanvallen steeds overtuigender worden en steeds vaker voorkomen.
• De bezorgbaarheid van e-mails verbeteren: Geverifieerde e-mails bereiken eerder de inbox (in plaats van de spammap). DMARC helpt legitieme berichten consistent door filters heen te komen en verbetert de algehele deliverability.
• De reputatie van uw merk beschermen: Wanneer aanvallers uw domein misbruiken voor phishing of spam, verliezen klanten hun vertrouwen. DMARC voorkomt ongeoorloofd gebruik van uw domein en beschermt uw merk tegen associaties met fraude.
• Bieden van bruikbare inzichten: DMARC-rapporten laten zien wie e-mail verzendt via uw domein, welke berichten de verificatie niet doorstaan en waar er mogelijk configuratieproblemen zijn. Deze zichtbaarheid helpt u om ongeautoriseerde afzenders te detecteren en problemen snel op te lossen.
• Voldoen aan compliance-eisen: Het gebruik van DMARC is in toenemende mate gekoppeld aan complianceverwachtingen in verschillende sectoren, zoals de financiële sector (PCI-DSS), de gezondheidszorg (HIPAA-richtlijnen) en zelfs technische platforms zoals Google en Yahoo, die nu strengere eisen stellen aan niet-geverifieerde e-mail.

Het implementeren van DMARC biedt organisaties een sterkere beveiliging, een betrouwbaarder domein en een betere plaatsing in de inbox voor hun legitieme communicatie.

Vereenvoudig DMARC met PowerDMARC!

Hoe DMARC configureren?

DMARC configureren is essentieel omdat het ontvangende mailservers vertelt hoe ze moeten omgaan met e-mails die vanaf uw domein worden verzonden. Zonder een goede configuratie kunnen zelfs legitieme berichten de verificatie niet doorstaan en kunnen aanvallers zich gemakkelijker voordoen als uw domein.

Dit zijn de stappen die je moet volgen:

1. SPF en DKIM configureren

Voordat je DMARC implementeert, moet je ervoor zorgen dat SPF en DKIM goed zijn geconfigureerd voor je domein en alle legitieme verzendbronnen:

• SPF: bepaalt welke IP-adressen en servers e-mails mogen versturen namens uw domein.
• DKIM: Voegt een digitale handtekening toe aan uw e-mails, verifieert de afzender en zorgt ervoor dat er tijdens het transport niet met het bericht is geknoeid.

Deze protocollen vormen de basis voor DMARC. DMARC vereist ten minste een van SPF of DKIM om te passeren en aan te passen, hoewel het implementeren van beide sterk wordt aanbevolen voor een betere beveiliging. Zorg ervoor dat u *alle* legitieme e-mailbronnen identificeert (inclusief services van derden zoals marketingplatforms of CRM's) en autoriseer ze via SPF/DKIM.

2. Een DMARC record maken

Een DMARC-record is een TXT-record (tekst) dat wordt gepubliceerd in de DNS-instellingen (Domain Name System) van je domein. Het specificeert je beleid voor e-mailverificatie. Het bevat:

• Verplichte tags:
  • v=DMARC1: Geeft de DMARC-versie aan (momenteel altijd DMARC1).
  • p=none/quarantine/reject: Definieert het beleid voor het afhandelen van e-mails die niet voldoen aan de DMARC-verificatie- en uitlijningscontroles.
• Optionele maar aanbevolen tags:
  • rua=mailto:[email protected]: Waar geaggregeerde rapporten naartoe worden gestuurd.
  • ruf=mailto:[email protected]: Waar forensische storingsrapporten naartoe worden gestuurd.
  • pct=100: Percentage berichten waarop het beleid van toepassing is.
  • sp=none/quarantine/reject: Beleid voor subdomeinen.
  • adkim=r/s: DKIM-uitlijningsmodus (ontspannen of strikt).
  • aspf=r/s: SPF uitlijningsmodus (ontspannen of strikt).

Je kunt online tools gebruiken om de syntax van je DMARC-record correct te genereren.

3. Selecteer een DMARC-beleid

DMARC-beleidsregels vertellen e-mailontvangers hoe ze moeten omgaan met berichten die niet voldoen aan de authenticatie- of afstemmingscontroles. Er zijn drie soorten DMARC-beleidsregelsElk biedt een ander handhavingsniveau:

• p=none (bewakingsmodus): Er wordt geen actie ondernomen op falende e-mails; er worden rapporten verzonden zodat je inzicht krijgt in je verzendbronnen.
• p=quarantaine: Mislukte e-mails worden als verdacht behandeld en meestal in de spammap geplaatst.
• p=afwijzen: Mislukte e-mails worden volledig geblokkeerd, wat de sterkste bescherming biedt.

4. Uw DMARC record publiceren

Zodra je DMARC-record is aangemaakt, publiceer je het in je DNS-instellingen als een TXT-record:

• Host/Naam-veld: Ga naar _dmarc (bijvoorbeeld _dmarc.uwdomein.com).
• Type record: Selecteer TXT.
• Waarde/gegevensveld: Plak je DMARC-recordstring (bijv. "v=DMARC1; p=none; rua=mailto:[email protected];").
• TTL (Time to Live): Gewoonlijk ingesteld op 1 uur (3600 seconden) of de standaardinstelling van je DNS-provider.

Dit maakt je DMARC-beleid toegankelijk voor e-mailontvangers wereldwijd.

5. Uw DMARC-instellingen controleren

Na het publiceren van je record moet je controleren of alles correct is geconfigureerd. Tools zoals Google Admin Toolbox kunnen bevestigen of je DMARC-, SPF- en DKIM-records zichtbaar en geldig zijn.

Voor een diepere validatie, De DMARC-checker van PowerDMARC een volledige analyse van uw DNS-record, markeert syntaxisfouten en laat zien of uw beleid correct wordt afgedwongen bij alle mailproviders. Dit zorgt ervoor dat uw opstelling nauwkeurig, veilig en klaar voor controle is.

6. Rapportage inschakelen en bewaken

Zorg ervoor dat je DMARC-record de tag `rua` bevat die verwijst naar een speciale mailbox om samengestelde rapporten te ontvangen. Deze rapporten, die meestal dagelijks in XML-indeling worden verzonden, zijn cruciaal voor monitoring:

• Samengevoegde rapporten (rua): Geef een overzicht van de e-mailverificatieresultaten van verschillende ontvangers, inclusief IP-adressen die mail verzenden die claimt van uw domein afkomstig te zijn, SPF/DKIM pass/fail counts en uitlijningsstatus. Het analyseren van deze rapporten (vaak met een DMARC-analyseservice) helpt bij het identificeren van legitieme verzendbronnen die configuratieaanpassingen nodig hebben en bij het opsporen van ongeautoriseerd gebruik.
• Forensische rapporten (ruf): Bieden gedetailleerde informatie (inclusief headers en soms inhoudsfragmenten) over specifieke individuele mislukte e-mailafleveringen. Vanwege het volume en de privacy sturen niet alle ontvangers RUF-rapporten en moeten deze zorgvuldig worden verwerkt.

Controleer rapporten regelmatig, vooral na het starten met `p=none`, om SPF/DKIM/alignment problemen op te lossen voor legitieme afzenders voordat je overgaat op `p=quarantine` of `p=reject`. Houd DNS records accuraat en up-to-date als verzendbronnen veranderen.

Hoe ziet een DMARC record eruit?

De structuur van een DMARC-record is gedefinieerd in het DNS (Domain Name System) als een TXT-record dat is gekoppeld aan het domein, specifiek aan het subdomein `_dmarc`. Het bevat verschillende tag-waardeparen, gescheiden door puntkomma's, waaronder paren die de beleidsmodus en rapportageopties specificeren. Hier is een voorbeeld van hoe een DMARC record eruit kan zien:

_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; sp=reject; pct=100; adkim=r; aspf=r;"

In dit voorbeeld:

• "_dmarc.example.com. specificeert de DNS-hostnaam voor het DMARC-record van "example.com".
• "IN TXT" geeft aan dat het recordtype een tekstrecord is.
• "v=DMARC1 geeft aan dat de gebruikte versie van het DMARC-protocol versie 1 is. Deze tag is verplicht.
• "p=afwijzen Hiermee wordt het DMARC-beleid voor het hoofddomein ingesteld op "afwijzen". Dit instrueert ontvangende e-mailservers om e-mails af te wijzen die niet voldoen aan de DMARC-controles voor example.com. Deze tag is verplicht.
• "rua=mailto:[email protected]" specificeert het e-mailadres als bestemming voor het ontvangen van geaggregeerde rapporten (samenvattingen van authenticatieresultaten). Deze tag wordt sterk aanbevolen voor monitoring.
• "ruf=mailto:[email protected]" wijst het e-mailadres aan als bestemming voor het ontvangen van forensische rapporten (details over individuele fouten). Deze tag is optioneel.
• "sp=afwijzen stelt het subdomeinbeleid in op "afwijzen" en zorgt ervoor dat dit DMARC-beleid ook strikt van toepassing is op subdomeinen (bijv. mail.example.com), tenzij ze hun eigen DMARC-record hebben. Deze tag is optioneel.
• "pct=100" geeft aan dat het beleid (afwijzen in dit geval) moet worden toegepast op 100% van de e-mails die de DMARC-controles niet doorstaan. Optioneel; staat standaard op 100.
• "adkim=r" stelt DKIM-uitlijningseis in op ontspannen (overeenkomsten met subdomeinen toegestaan). Optioneel; staat standaard op relaxed (r).
• "aspf=r" Stelt de eis voor SPF-uitlijning in op relaxed (overeenkomsten met subdomeinen toegestaan). Optioneel; staat standaard op relaxed (r).

Veelgemaakte DMARC-fouten en hoe ze te vermijden

Het implementeren en beheren van DMARC kan complex zijn en zelfs ervaren beheerders lopen tegen veelvoorkomende valkuilen aan. Deze praktische gids belicht problemen uit de praktijk die de effectiviteit van uw DMARC-installatie kunnen maken of breken.

Als je deze fouten begrijpt en weet hoe je ze kunt vermijden, haal je het meeste uit DMARC en houd je je e-maildomein veilig.

Eenvan de meest voorkomende fouten is het verkeerd configureren vanhet DMARC-beleid in je DNS-record. Dit kan betekenen dat er een onjuiste syntaxis wordt gebruikt, dat er niet-ondersteunde tags worden gebruikt of dat verplichte tags zoals v= (waarmee de DMARC-versie wordt gespecificeerd) en p= (waarmee de beleidsactie wordt ingesteld, zoals geen, quarantaine of afwijzen) ontbreken .

Onjuiste of ontbrekende beleidstags kunnen ernstige problemen veroorzaken, van e-mails die niet goed worden afgedwongen tot legitieme berichten die niet worden afgeleverd. Om DMARC te laten werken zoals bedoeld, is het essentieel dat de syntaxis van je beleid correct is en alleen ondersteunde tags bevat.

DMARC instellen is gebruikelijk, maar het niet controleren van rapporten is waar veel organisaties de fout in gaan. DMARC aggregaat inschakelen en regelmatig controleren (rua) en forensische (ruf) rapporten zijn essentieel om te begrijpen hoe je domein wordt gebruikt of misbruikt. Als je deze rapporten negeert, mis je waardevolle inzichten over falende authenticatiepogingen, ongeautoriseerde afzenders en verkeerd afgestelde bronnen.

Omdat DMARC-rapporten in XML-indeling worden geleverd, leidt de complexiteit ervan vaak tot verwaarlozing. Met gebruiksvriendelijke tools en dashboards zoals Postmark, DMARCian of vergelijkbare services kunt u deze gegevens omzetten in bruikbare inzichten die uw e-mailbeveiliging versterken.

Het vergeten van SPF/DKIM afstemming is ook een veel voorkomend probleem. Het is belangrijk om te onthouden dat DMARC niet alleen draait om het configureren van SPF (Sender Policy Framework) en DKIM (DomainKeys Identified Mail); het vereist de juiste afstemming. Dit betekent dat het domein in het zichtbare "Van" adres moet overeenkomen met het domein dat is geverifieerd door SPF en/of DKIM. Zelfs als SPF en DKIM afzonderlijk slagen, zal DMARC falen als de domeinen niet correct zijn uitgelijnd. Het verkeerd begrijpen of over het hoofd zien van de uitlijning kan leiden tot onverwachte mislukkingen en de bezorgbaarheid van uw e-mail beïnvloeden.

Direct overgaan op een strikt p=afwijzen beleid zonder voldoende controle kan averechts werken. Zonder gegevens te verzamelen in geen of quarantaine modus, loopt u het risico legitieme e-mails te blokkeren, vooral van services van derden zoals CRM's (Customer Relationship Management), marketingplatforms of ondersteuningstools die mogelijk niet volledig zijn geconfigureerd. Een geleidelijke aanpak is het beste: begin met p=geen om rapporten te verzamelen, problemen zorgvuldig te bekijken en op te lossen, en ga dan over op p=quarantaineen uiteindelijk naar p=afwijzen zodra u er zeker van bent dat alle legitieme afzenders door de verificatie komen. Deze gefaseerde uitrol zorgt voor een soepele handhaving zonder uw e-mailstroom te verstoren.

Conclusie

DMARC is een van de meest effectieve manieren om je domein te beschermen tegen phishing, spoofing en de groeiende golf van AI-gegenereerde aanvallen. Wanneer DMARC wordt gebruikt in combinatie met SPF en DKIM, versterkt het de beveiliging van je e-mail, verbetert het de deliverability en helpt het je precies te begrijpen wie er namens jou e-mail verstuurt. Met het juiste beleid kunnen organisaties in de financiële sector, gezondheidszorg, overheid en vele andere sectoren hun communicatie betrouwbaar en veilig houden.

DMARC correct instellen vereist voortdurende controle, afstemmingscontroles en een geleidelijke overgang naar handhaving. PowerDMARC maakt dit gemakkelijker door gehoste verificatie, eenvoudig te lezen rapporten, realtime waarschuwingen en deskundige begeleiding bij elke stap te bieden.

Onze klanten krijgen toegewijde ondersteuning van onze DMARC-experts om oplossingen te configureren die aan hun behoeften voldoen. Neem vandaag nog contact met ons op voor een gratis DMARC proefversie en begin uw domein met vertrouwen te beschermen.

Veelgestelde vragen (FAQ's)

Is DMARC wettelijk verplicht?

DMARC is in de meeste landen niet wettelijk verplicht, maar veel branches en organisaties gebruiken het als best practice om hun e-maildomeinen en klanten te beschermen tegen phishing en spoofing.

Kan DMARC alle phishingaanvallen stoppen?

Hoewel DMARC phishing aanzienlijk vermindert door ongeautoriseerde afzenders te blokkeren, kan het niet elke aanval stoppen. Sommige phishingtactieken omzeilen e-mailverificatie, dus DMARC moet deel uitmaken van een bredere beveiligingsstrategie.

Hoe lang duurt het om DMARC te implementeren?

De implementatietijd varieert van een paar uur voor de basisinstellingen tot enkele weken voor volledige bewaking, beleidsafstemming en afstemming met alle e-mailbronnen. Zorgvuldige planning en geleidelijke handhaving helpen succes te garanderen.

"`

• Over
• Laatste berichten

Maitham Al Lawati

Cyberbeveiligingsexpert, CEO bij PowerDMARC

Maitham is een technisch ondernemer, cyberbeveiligingsexpert, CEO en oprichter van PowerDMARC met meer dan 15 jaar ervaring in de sector. Maitham heeft een Global MBA van de Universiteit van Manchester en diverse professionele certificeringen waaronder CISSP, CISM, CRISC en ISC2 CCSP.

Laatste berichten van Maitham Al Lawati (Bekijk alle berichten)

• Wat is DMARC? Hoe het werkt, beleidsregels en configuratietips - 28 november 2025
• Wat is een DMARC-beleid? Geen, quarantaine en afwijzen - 27 november 2025
• DMARC instellen: stap-voor-stap configuratiegids - 25 november 2025