DMARC-recordgenerator

Hoe je het juiste DMARC-beleid kiest

DMARC wordt gepubliceerd als TXT-record op _dmarc.example.com. Het vervangt SPF of DKIM niet. In plaats daarvan controleert het of SPF of DKIM uitlijnt met het zichtbare Van-domein en past het vervolgens het beleid toe dat je publiceert. Een nieuw domein begint meestal met p=none zodat je rapporten kunt verzamelen zonder mail te blokkeren. Zodra je weet dat alle legitieme verzenders zijn geauthenticeerd, kun je overgaan op p=quarantine en uiteindelijk p=reject.

Het rapportadres in rua ontvangt verzamelrapporten van deelnemende mailboxproviders. Met die rapporten zie je welke diensten namens het domein mail versturen, welke de authenticatie halen en welke een SPF- of DKIM-fix nodig hebben. Forensische rapporten in ruf zijn optioneel en worden niet door elke provider consequent ondersteund, dus veel teams steunen vooral op verzamelrapportage.

Met de percentage-instelling rol je de handhaving geleidelijk uit. Een domein kan bijvoorbeeld voor een klein deel van de mislukte mail van monitoring naar quarantaine gaan, voordat het beleid op alle mail wordt toegepast. Dat is handig wanneer meerdere teams of platforms vanaf een domein versturen.

DMARC instellen voor campagne- en productverzending

Voor marketing-, sales- en productmail combineer je DMARC met lijsthygiëne en verzendermonitoring. Authenticatie verlaagt het risico op imitatie en helpt mailboxproviders je verzenderidentiteit te begrijpen. Het maakt ongeldige adressen niet bezorgbaar. Voordat je naar een grote CSV verstuurt, verifieer je de lijst met bulk verification of test je losse adressen met de e-mailverificatie.

Als je een nieuw domein instelt, gebruik dan de SPF-generator and DKIM-generator eerst. Genereer daarna DMARC, publiceer het en draai de DMARC-checker. Een bouncepercentage onder de 3% is gezond; 3-5% vraagt om opschoning en aandacht; boven de 5% is het risico voor je verzendreputatie hoog.

DMARC-uitrolchecklist

Ga niet meteen over op een strikt beleid, tenzij het domein een eenvoudige verzendvoetafdruk heeft en elke verzender al is geverifieerd. De meeste teams monitoren beter eerst, bekijken de verzamelrapporten, repareren de bronnen die de uitlijning falen en scherpen het beleid daarna stapsgewijs aan. Zo voorkom je dat legitieme facturen, supportantwoorden, wachtwoordresets of campagneberichten worden geblokkeerd die nog niet volledig zijn geauthenticeerd.

Gebruik een rapportmailbox die iemand daadwerkelijk bekijkt, of stuur de rapporten naar een monitoringdienst. De waarde van DMARC-rapportage zit in het inzicht: je ziet welke systemen het domein gebruiken en of ze de SPF- of DKIM-uitlijning halen. Die informatie is vooral nuttig wanneer meerdere teams verschillende e-mailplatforms beheren.

Beslis voor subdomeinen of het hoofdbeleid moet gelden of dat het subdomein een eigen beleid nodig heeft. Veel teams houden outreach, nieuwsbrieven en productmail op aparte subdomeinen, zodat DNS-wijzigingen en reputatiesignalen makkelijker te beheren zijn.