Wat is DMARC?

Definitie

Domain-based Message Authentication, Reporting, and Conformance is de beleidslaag van e-mailauthenticatie. SPF en DKIM voeren elk op zichzelf een nuttige check uit, maar geen van beide kijkt op zichzelf naar het From-adres dat een ontvanger daadwerkelijk ziet, en geen van beide vertelt een ontvangende server wat hij moet doen als een check mislukt. DMARC vult beide gaten. Het instrueert ontvangers hoe ze met ongeauthenticeerde mail moeten omgaan, en het produceert rapporten die de domeineigenaar inzicht geven in hoe het domein wordt gebruikt.

De naam zelf beschrijft de drie taken die het uitvoert. Het authentication-deel betekent dat DMARC rechtstreeks voortbouwt op de resultaten van SPF en DKIM. Het reporting-deel betekent dat ontvangers de domeineigenaar geaggregeerde data sturen over berichten die beweren van het domein te komen, inclusief hoeveel er slaagden en hoeveel er mislukten. Het conformance-deel betekent dat de domeineigenaar een beleid kan vastleggen waaraan ontvangers zich moeten conformeren, variërend van geen actie ondernemen, tot bezorgen in spam, tot regelrecht weigeren. Samen maken deze van SPF en DKIM, van losse checks, een afdwingbare, waarneembare verdediging van de identiteit van het domein.

Hoe het werkt

Een DMARC-beleid wordt gepubliceerd als één DNS TXT-record op het subdomein _dmarc.yourdomain.com. Het record begint met v=DMARC1, geeft het gevraagde beleid op in een p=-tag, en bevat meestal een rua=-tag met een adres waarnaar geaggregeerde rapporten gestuurd moeten worden. Wanneer een bericht aankomt, draait de ontvangende server SPF en DKIM zoals gebruikelijk, en voert dan de DMARC-evaluatie bovenop die resultaten uit.

De kern van DMARC is alignment. Het is niet genoeg dat SPF of DKIM simpelweg slaagt. Het domein dat die controles valideren moet ook overeenkomen met het domein dat zichtbaar is in de From-header, want het beschermen van dat zichtbare From-adres is waar DMARC helemaal om draait. Er zijn twee alignment-modi. Relaxed alignment, de standaard, accepteert een match op het niveau van het organisatiedomein, zodat een subdomein kan alignen met het bovenliggende domein. Strict alignment vereist een exacte domeinmatch. DMARC slaagt wanneer minstens een van SPF of DKIM zowel slaagt als aligned is met het From-domein. Dat is waarom een bericht op zichzelf SPF of DKIM kan doorstaan en toch niet door DMARC komt als het gevalideerde domein niet overeenkomt met het From-adres, een veelvoorkomende verrassing wanneer afzenders hun beleid voor het eerst aanscherpen.

Wanneer een bericht niet door DMARC komt, past de ontvanger het gepubliceerde beleid toe. Een beleid van p=none vraagt de ontvanger geen speciale actie te ondernemen en het bericht simpelweg op te nemen in rapporten, dat is de monitoring-instelling. Een beleid van p=quarantine vraagt de ontvanger mail die niet slaagt met argwaan te behandelen, doorgaans door het naar de spammap te routeren. Een beleid van p=reject vraagt de ontvanger mail die niet slaagt volledig te blokkeren, zodat die nooit de inbox of de spammap bereikt. De aanbevolen uitrol is geleidelijk: begin bij none, bestudeer de aggregatierapporten om te bevestigen dat elke legitieme verzendbron zich authenticeert en aligned is, ga dan over naar quarantine en uiteindelijk naar reject zodra de data laat zien dat het veilig is. Een strikt beleid afdwingen voordat de setup compleet is kan ertoe leiden dat een domein zijn eigen legitieme mail blokkeert.

Waarom het belangrijk is voor e-mailbezorgbaarheid

DMARC is om twee samenhangende redenen belangrijk. De eerste is beveiliging. Zonder DMARC kan een aanvaller phishingmail versturen die het exacte domein van een vertrouwd bedrijf in het From-adres toont, omdat SPF en DKIM alleen dat zichtbare veld niet bewaken. Een DMARC-beleid van quarantine of reject stelt de echte domeineigenaar in staat de mailboxproviders wereldwijd te instrueren die vervalste mail tegen te houden voordat hij iemand bereikt. De tweede reden is afleverbaarheid. Een DMARC-record geeft providers het signaal dat een domein authenticatie serieus neemt, wat de reputatie en inboxplaatsing van het domein ondersteunt.

DMARC is ook een harde eis geworden. Onder de afzenderseisen van 2024 van Google en Yahoo moeten bulkverzenders een DMARC-record publiceren met een beleid van minstens p=none, en moeten ze zich authenticeren met SPF en DKIM op een manier die aligned is onder DMARC. Een domein zonder DMARC-record kan zijn bulkmail vertraagd of geweigerd zien worden. Tegelijk zijn de rapporten die DMARC oplevert op zichzelf waardevol, omdat ze elke dienst onthullen die mail verstuurt onder het domein. Dat inzicht helpt een afzender te bevestigen dat al zijn legitieme tools, van marketingplatformen tot supportsystemen, zich correct authenticeren voordat er een strenger beleid wordt afgedwongen.

Hoe VeriMails hiermee omgaat

DMARC en e-mailverificatie verdedigen afleverbaarheid vanaf tegenovergestelde uiteinden van het bericht. DMARC beschermt je domeinidentiteit op de mail die je verstuurt en zorgt ervoor dat ontvangers erop kunnen vertrouwen dat een bericht dat beweert van jouw domein te komen dat ook echt is. E-mailverificatie beschermt de kwaliteit van de lijst waar je naartoe verstuurt en zorgt ervoor dat elk adres echt en bereikbaar is. Een domein kan een vlekkeloos DMARC-beleid hebben en toch zijn reputatie schaden door naar dode adressen te mailen, dus de twee aanpakken vullen elkaar aan in plaats van te overlappen.

VeriMails neemt de ontvangerskant voor zijn rekening. Elk adres dat je indient wordt gecontroleerd via syntaxisvalidatie, een MX- en DNS-lookup, een live SMTP-handshake, catch-all-detectie, detectie van wegwerpadressen en detectie van rolgebaseerde adressen, waarbij de ongeldige adressen worden verwijderd die zouden bouncen en de reputatie zouden aantasten die je DMARC-, SPF- en DKIM-records proberen te beschermen. Om aan de authenticatiekant te helpen, biedt VeriMails een gratis DMARC-generator die een correct opgemaakt record opbouwt, zodat je in monitoring-modus kunt beginnen en het beleid kunt aanscherpen naarmate je rapporten bevestigen dat het veilig is. Je kunt een lijst verifieren via de REST API of een bulk-CSV-upload, met duidelijke afleverbaarheidscategorieen voor campagnebeslissingen. Verificatie begint bij $0.0019 per e-mail, met 10,000 credits voor $19 en jaarplannen vanaf $12.50/month bij jaarlijkse facturering, en elk account begint met 100 gratis credits, geen creditcard nodig, die nooit verlopen.

Veelgestelde vragen