DMARC-recordcontrole

Structuur en componenten van een DMARC-record

Een Domain-based Message Authentication, Reporting, and Conformance (DMARC) record is een specifiek DNS TXT-record dat ontvangende mailservers instructies geeft over hoe ze moeten omgaan met e-mails die de SPF- en DKIM-controles niet doorstaan. Elk geldig DMARC-record is opgebouwd uit verschillende termen (tags) die gescheiden worden door puntkomma's.

De basis van elk record begint verplicht met de term v=DMARC1. Deze waarde is hoofdlettergevoelig en moet absoluut als eerste term in het record staan. Als deze term ontbreekt of niet vooraan staat, is het record ongeldig en zullen ontvangende systemen de DMARC-instructies niet verwerken.

De DMARC-recordcontrole verwerkt ingevoerde TXT-waarden tot een maximale lengte van 20.000 tekens. Indien het record in de DNS-zone is opgesplitst in verschillende delen tussen aanhalingstekens, voegt de tool deze DNS TXT-delen automatisch samen vóór de analyse.

De werking en hiërarchie van DMARC-beleidsregels

Het belangrijkste onderdeel van een DMARC-record is het beleid dat wordt gedefinieerd voor het domein en eventuele subdomeinen. Dit bepaalt welke actie de ontvangende mailserver moet ondernemen bij een mislukte authenticatie. Er zijn drie beleidsniveaus: none (alleen monitoren), quarantine (in de spammap plaatsen) en reject (de e-mail weigeren).

Binnen DMARC gelden specifieke regels voor de hiërarchie en overerving van dit beleid:

• Hoofddomeinbeleid (p): Dit is het primaire beleid. Als er geen p-tag in het record aanwezig is, valt het domeinbeleid automatisch terug naar none. Een beleid van p=none is uitsluitend bedoeld om rapporten te verzamelen; het vraagt ontvangers niet om falende e-mail te quarantaineren of te weigeren.
• Subdomeinbeleid (sp): Dit beleid geldt specifiek voor subdomeinen.
• Beleid voor niet-bestaande subdomeinen (np): Dit regelt de afhandeling voor subdomeinen die niet in het DNS bestaan.

Wanneer een specifieke tag ontbreekt, vallen subdomeinregels trapsgewijs terug van np naar sp, en uiteindelijk naar het hoofddomeinbeleid p.

Tijdens testfases kan de tag t=y (testmodus) worden ingezet. Deze tag verlaagt het effectieve beleid om risico's te beperken: een quarantine-beleid wordt tijdelijk verlaagd naar none, en een reject-beleid wordt verlaagd naar quarantine.

DMARC-uitlijning en rapportage configureren

DMARC controleert of de domeinen in de SPF- en DKIM-authenticatie overeenkomen met het domein in de "From"-header van de e-mail. Dit proces heet identifier alignment (uitlijning). De instellingen hiervoor worden gedefinieerd via de tags aspf (voor SPF) en adkim (voor DKIM).

Daarnaast biedt DMARC de mogelijkheid om gedetailleerde feedback te ontvangen over de verzonden e-mails via twee soorten rapportages:

1. Aggraat-rapporten (rua): Deze XML-rapporten bevatten statistische gegevens over het e-mailvolume en de authenticatiestatus. Als er geen geldig rua-adres in het record is geconfigureerd, worden er geen aggregaat-rapporten opgevraagd.
2. Failure-rapporten (ruf): Deze rapporten (ook wel forensische rapporten genoemd) sturen gedetailleerde informatie over individuele e-mails die de authenticatie niet hebben doorstaan.

De tag fo (opties voor foutrapportage) is direct gekoppeld aan de aanwezigheid van failure-rapporten. Als er geen geldig ruf-adres is geconfigureerd, wordt de fo-tag volledig genegeerd door ontvangende systemen.

Verouderde en historische DMARC-tags

De DMARC-standaard is geëvolueerd van de oudere RFC 7489-specificatie naar de modernere RFC 9989-standaard. Hierdoor zijn bepaalde tags en syntaxen verouderd of historisch geworden:

• Percentage-tag (pct): In oudere implementaties werd pct gebruikt om het beleid geleidelijk uit te rollen over een percentage van de e-mails. Onder de huidige standaarden is de pct-waarde historisch. Deze beperkt de beleidsdekking alleen nog bij ontvangende mailservers die de verouderde specificaties blijven volgen.
• Grootte-indicator (!size): De toevoeging van een maximale grootte aan een rapportage-URI (zoals rua=mailto:reports@example.com!10m) is verouderd. Huidige ontvangende mailservers dienen deze !size-suffix te negeren.
• Historische tags: De tool identificeert diverse tags die onder de huidige RFC 9989-standaard als historisch zijn geclassificeerd. Ontvangende systemen die de nieuwste standaard volgen, kunnen deze tags simpelweg negeren.

Veelvoorkomende syntaxfouten en waarschuwingen

Bij het handmatig opstellen of bewerken van een DMARC TXT-record ontstaan snel fouten. De DMARC-recordcontrole analyseert de ingevoerde tekst en identificeert onder andere de volgende problemen:

• Verkeerde volgorde of ontbrekende versie: Het record begint niet met v=DMARC1 of de versietag staat op een latere positie.
• Dubbele tags: Een specifieke tag (zoals p of rua) is meerdere keren gedefinieerd binnen hetzelfde record.
• Slechte formattering: Tags zijn niet correct opgebouwd als naam=waarde-paren gescheiden door puntkomma's, of een tag mist een waarde.
• Ongeldige waarden of URI's: De opgegeven waarde voor een tag is niet toegestaan, of het e-mailadres in de rua- of ruf-tag is syntactisch onjuist.
• Niet-geregistreerde tags: Er wordt gebruikgemaakt van onbekende tags die niet binnen de DMARC-specificaties vallen en door ontvangers worden genegeerd.

Privacy en gegevensverwerking

Bij het gebruik van deze DMARC-recordcontrole blijft de privacy van uw gegevens gewaarborgd. De volledige analyse van het ingevoerde DMARC-record vindt lokaal plaats binnen uw eigen webbrowser. Er worden geen gegevens geüpload naar externe servers, er wordt niets opgeslagen in de browsergeschiedenis of lokale opslag, en er worden geen netwerkverzoeken verzonden die gerelateerd zijn aan de inhoud van uw record.

Veelgestelde vragen (FAQ)

Opmerkingen over syntaxis en beleid: p / sp / np? Wanneer er geen p-tag aanwezig is, valt het beleid terug naar none. De testmodus t=y verlaagt tijdens het testen een reject-beleid naar quarantine, en een quarantine-beleid naar none. Indien specifieke subdomeintags ontbreken, vallen de regels trapsgewijs terug volgens de hiërarchie np naar sp naar p.

RFC 9989: pct / rf / ri? Onder de huidige RFC 9989-standaard zijn tags zoals pct historisch geworden. Ontvangende systemen die de nieuwste standaard volgen, negeren deze instellingen. Tags zoals np en t zijn daarentegen actief binnen de huidige specificaties.

Bewijst een foutloos resultaat dat mijn DMARC-configuratie werkt? Nee. Deze pagina controleert uitsluitend de syntaxis en structuur van de tekst die u plakt. De tool voert geen DNS-bevragingen uit, haalt geen records op bij uw provider, test geen verzendende IP-adressen en kan niet bevestigen hoe een ontvangende mailserver daadwerkelijk op uw record zal reageren.