E-mailbeveiliging (DMARC) inrichten
DMARC instellen betekent dat u in uw DNS vastlegt wat een ontvangende mailserver moet doen met mail die uit naam van uw domein wordt verstuurd maar niet van u komt. Het bouwt voort op SPF en DKIM, en het beschermt vooral uw klanten en relaties.
Op deze pagina leest u wat elke instelling doet, hoe u stap voor stap van meekijken naar blokkeren gaat zonder dat er legitieme mail verdwijnt, en waar de uitrol in de praktijk vastloopt. Dat is bijna nooit de techniek.
Wij komen deze vraag meestal tegen als een klant erom vraagt in een leveranciersvragenlijst, of nadat er facturen zijn verstuurd uit naam van het bedrijf.
Wat DMARC is en hoe het samenwerkt met SPF en DKIM
SPF en DKIM controleren of een mail echt van uw servers komt. DMARC bepaalt wat er gebeurt als die controle faalt.
SPF is een lijst in uw DNS met de servers die namens uw domein mogen verzenden. Komt de mail van een adres dat er niet in staat, dan faalt de controle. DKIM voegt een digitale handtekening toe aan uitgaande mail, waarmee de ontvanger kan controleren dat het bericht onderweg niet is gewijzigd.
Geen van beide zegt iets over wat de ontvanger dan moet doen. Dat is precies het gat dat DMARC dicht. In uw DMARC-record staat het beleid: niets doen, in de map ongewenst plaatsen, of weigeren.
DMARC voegt daar nog iets belangrijks aan toe. Het controleert of het domein dat SPF of DKIM valideert ook overeenkomt met het afzenderadres dat de ontvanger ziet. Dat heet uitlijning, en zonder dat konden aanvallers een technisch geldige mail sturen met een vervalste zichtbare afzender.
Het record staat op _dmarc onder uw domeinnaam. Eén regel tekst, met grote gevolgen als u hem verkeerd zet.
Waarom DMARC bij uw zorgplicht hoort
Geen enkel kader noemt DMARC bij naam. Alle drie vragen zij wel om maatregelen die hier direct op neerkomen.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, vraagt basispraktijken op het gebied van cyberhygiëne en beveiligde communicatie. Mailvervalsing tegengaan valt daar rechtstreeks onder, en het is een van de weinige maatregelen die uw hele keten beschermt in plaats van alleen uzelf.
ISO 27001 vraagt maatregelen voor netwerkbeveiliging en voor de bescherming van informatie tijdens overdracht. Een auditor zal niet naar DMARC vragen, maar hij zal wel vragen hoe u voorkomt dat er uit uw naam wordt gecommuniceerd.
Er is ook een reden die losstaat van normen. Wordt er uit uw naam gefactureerd, dan is de schade in de eerste plaats bij uw klant en in de tweede plaats bij uw reputatie. DMARC is een van de weinige maatregelen die dat werkelijk tegenhoudt.
Tot slot een praktisch punt: steeds meer grote mailproviders stellen eisen aan afzenders. Wie geen fatsoenlijk beleid heeft staan, ziet de bezorging van legitieme mail teruglopen.
De opbouw van een DMARC-record
Een DMARC-record bestaat uit een reeks instellingen, gescheiden door puntkomma’s. Dit zijn de instellingen die ertoe doen.
- v. Wat die doet: Geeft de versie aan en moet vooraan staan. Praktisch advies: Altijd v=DMARC1, zonder uitzondering.
- p. Wat die doet: Het beleid: none, quarantine of reject. Praktisch advies: Begin op none, werk toe naar reject.
- rua. Wat die doet: Adres waar de dagelijkse verzamelrapporten heen gaan. Praktisch advies: Altijd invullen, anders werkt u blind.
- sp. Wat die doet: Apart beleid voor subdomeinen. Praktisch advies: Zet dit expliciet, anders erven subdomeinen het hoofdbeleid.
- adkim en aspf. Wat die doet: Hoe streng de uitlijning wordt gecontroleerd. Praktisch advies: Begin soepel, verstrengen kan later.
- pct. Wat die doet: Op welk deel van de mail het beleid wordt toegepast. Praktisch advies: Bruikbaar bij een gefaseerde uitrol, niet als eindsituatie.
- ruf. Wat die doet: Adres voor gedetailleerde foutrapporten. Praktisch advies: Terughoudend gebruiken, deze rapporten kunnen persoonsgegevens bevatten.
De belangrijkste is rua. Zonder rapportageadres weet u niet wie er namens uw domein verstuurt, en dan kunt u nooit veilig naar een strenger beleid.
Van p=none naar p=reject in vijf stappen
De volgorde is niet vrijblijvend. Wie te snel naar reject gaat, blokkeert zijn eigen facturen of nieuwsbrief.
- Stap 1. Beleid: p=none met rapportage. Wat u eerst gecontroleerd moet hebben: Alleen dat het record technisch klopt. Risico bij te snel doorpakken: Geen, dit is de veilige startpositie.
- Stap 2. Beleid: p=none, rapporten analyseren. Wat u eerst gecontroleerd moet hebben: Alle verzendende systemen zijn in beeld. Risico bij te snel doorpakken: U mist een systeem dat maar een keer per kwartaal verstuurt.
- Stap 3. Beleid: p=none, SPF en DKIM repareren. Wat u eerst gecontroleerd moet hebben: Elke legitieme verzender komt door de controle. Risico bij te snel doorpakken: Legitieme mail belandt straks in de map ongewenst.
- Stap 4. Beleid: p=quarantine. Wat u eerst gecontroleerd moet hebben: Meerdere weken schone rapporten. Risico bij te snel doorpakken: Mail van een vergeten systeem verdwijnt uit het zicht.
- Stap 5. Beleid: p=reject. Wat u eerst gecontroleerd moet hebben: Geen legitieme afwijkingen meer in de rapporten. Risico bij te snel doorpakken: Mail wordt geweigerd en de afzender merkt dat niet altijd.
Neem tussen stap vier en vijf minstens een maand. Systemen die maandelijks of per kwartaal verzenden, zoals een salarissysteem of een jaaropgave, komen anders niet in beeld.
Uw verzendende systemen in kaart brengen
Hier loopt vrijwel elke uitrol vast. Niet op DNS, maar op de vraag wie er allemaal namens u mailt.
De meeste organisaties denken aan hun mailomgeving en vergeten de rest. In de praktijk versturen ook uw marketingtool, uw boekhoudpakket, uw salarisverwerker, uw ticketsysteem, het contactformulier op de website, uw ERP en uw personeelssysteem mail uit uw naam.
Die systemen zijn vaak in de loop der jaren aangeschaft door verschillende afdelingen. De marketingtool staat op naam van marketing, de facturatie bij finance, en niemand heeft het overzicht. Daarom is dit een organisatorische klus en geen technische.
De rapporten helpen daarbij. Zodra u op p=none staat met een rapportageadres, ziet u binnen enkele dagen welke bronnen er namens u versturen. Bijna altijd zitten er verrassingen bij, en soms ook werkelijk misbruik.
Let daarnaast op de technische grens van SPF: er mag maar een beperkt aantal DNS-opzoekingen in staan. Organisaties met veel maildiensten lopen daar tegenaan, waardoor SPF stilletjes stopt met werken. Dat is een van de eerste dingen die wij controleren.
DMARC-rapporten lezen en wat u eruit haalt
De rapporten komen dagelijks binnen als XML-bestanden. Onbewerkt zijn ze onleesbaar.
Elk rapport komt van een ontvangende partij en vertelt hoeveel berichten die partij namens uw domein heeft ontvangen, van welke adressen, en of SPF en DKIM slaagden en uitlijnden. Bij elkaar geven ze een compleet beeld van wie er namens u verstuurt.
Waar u naar kijkt is niet ingewikkeld. Welke bronnen komen er terug, welke daarvan herkent u, en bij welke faalt de controle. Een bron die u herkent en die faalt, is een configuratiefout die u repareert. Een bron die u niet herkent en die faalt, is meestal misbruik, en dat mag u negeren zodra uw beleid streng staat.
Voor het verwerken zijn er analysediensten die de bestanden omzetten naar een overzicht. Voor een organisatie met een handvol verzendende systemen is dat niet nodig, en kunt u met een periodieke handmatige controle uit de voeten.
Wees terughoudend met de gedetailleerde foutrapporten. Die kunnen inhoud en adressen bevatten, en dat maakt het een verwerking van persoonsgegevens die u moet kunnen verantwoorden.
Wie DMARC beheert nadat het staat
Vrijwel elk artikel over dit onderwerp stopt bij het moment dat reject aanstaat. Daar begint het beheer juist.
De situatie verandert namelijk doorlopend. Marketing schaft een nieuwe tool aan, finance stapt over naar een ander factuurportaal, en HR neemt een systeem in gebruik dat uitnodigingen verstuurt. Elk van die wijzigingen kan mail veroorzaken die door uw eigen beleid wordt geweigerd.
Beleg daarom twee dingen. Een eigenaar van het DMARC-record, meestal degene die het DNS beheert. En een afspraak dat elke nieuwe dienst die mail verstuurt eerst langs die persoon gaat. Neem dat op in uw informatiebeveiligingsbeleid, bij de regels voor nieuwe cloud- en SaaS-diensten.
Plan daarnaast een jaarlijkse controle. Loop de rapporten na, kijk of de SPF-grens niet is bereikt, en controleer of er nog bronnen versturen die u niet meer gebruikt. Dat kost een uur en voorkomt de meeste problemen.
Na DMARC: de logische vervolgstappen
Staat uw beleid op reject, dan zijn er drie vervolgstappen die elk iets anders toevoegen.
MTA-STS zorgt dat andere mailservers uw mail alleen over een versleutelde verbinding afleveren, en niet stilletjes terugvallen op onversleuteld verkeer. TLS-RPT geeft u daar rapportage over, zodat u ziet wanneer een verbinding faalt.
BIMI laat uw logo verschijnen naast uw berichten in de mailbox van de ontvanger. Dat vraagt een streng DMARC-beleid als voorwaarde, en bij de meeste grote providers ook een geverifieerd merkcertificaat. Het is vooral interessant voor organisaties die veel naar consumenten mailen.
Geen van drieën is urgent. Wij noemen ze omdat organisaties er na de DMARC-uitrol vaak naar vragen, en omdat MTA-STS relatief weinig werk is voor wat het oplevert.
Wat de doorlooptijd van een DMARC-traject bepaalt
Het DNS-werk is een middag. De doorlooptijd zit ergens anders. Deze factoren bepalen het verschil.
- Aantal verzendende systemen. Elk systeem vraagt eigen configuratie van SPF of DKIM, vaak bij de leverancier.
- Aantal domeinen. Ook domeinen die u niet gebruikt voor mail horen een beleid te krijgen, juist die worden misbruikt.
- Medewerking van leveranciers. Sommige partijen ondersteunen DKIM alleen in een duurder pakket, of vragen weken voor een wijziging.
- Verzendfrequentie. Systemen die per kwartaal of per jaar versturen bepalen hoelang u moet observeren.
- Wie het DNS beheert. Zit dat bij een externe partij, dan bepaalt hun doorlooptijd het tempo.
- Bereikte SPF-grens. Is die overschreden, dan is er een herinrichting nodig voordat u verder kunt.
Reken op enkele maanden van start tot reject, waarvan het grootste deel wachten en observeren is. Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij het instellen van DMARC
Wij brengen uw verzendende systemen in kaart, bepalen het uitrolpad en begeleiden de stappen naar reject.
De DNS-wijzigingen zelf verzorgen wij of uw eigen beheerpartij, afhankelijk van wie het domein beheert. Dat spreken wij vooraf af en het staat in de offerte. In de praktijk werkt het vaak het prettigst als wij bepalen wat er moet gebeuren en uw beheerder het doorvoert, omdat die de omgeving kent.
Waar wij het verschil maken is de inventarisatie en het tempo. De verleiding is groot om na twee weken op reject te gaan omdat de rapporten schoon lijken. Wij houden dat tegen tot de systemen met een lage verzendfrequentie in beeld zijn geweest, want juist daar gaat het mis.
Wij verkopen geen mailplatform en geen rapportagedienst. Voor een organisatie met vijf verzendende systemen adviseren wij geen abonnement op een analyseplatform, en dat scheelt u een vaste post.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij de Cyberbeveiligingswet, ISO 27001 en NEN 7510. Hij bepaalt met u het uitrolpad en betrekt daarbij de afdelingen die eigen maildiensten gebruiken.
Uw domein beschermen en dat van uw klanten
DMARC is een van de weinige maatregelen die niet uzelf beschermt maar de mensen die mail van u ontvangen. Dat maakt het ook een maatregel waar klanten in toenemende mate naar vragen.
Wilt u weten hoe uw domein er nu voor staat en welke systemen namens u versturen? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk hoe groot de klus is.
Veelgestelde vragen over DMARC instellen
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF is een lijst met servers die namens u mogen verzenden. DKIM is een digitale handtekening waarmee de ontvanger controleert dat het bericht niet is gewijzigd. DMARC bepaalt wat de ontvanger doet als een van beide faalt, en controleert bovendien of het domein overeenkomt met de zichtbare afzender.
Kan er mail verdwijnen als wij DMARC instellen?
Alleen als u te snel naar een streng beleid gaat. Op p=none gebeurt er niets, u kijkt alleen mee. Het risico ontstaat bij quarantine en reject, als er nog een systeem verstuurt dat niet goed is ingericht. Daarom observeert u eerst en gaat u pas over als de rapporten schoon zijn.
Hoelang duurt het voordat wij op reject kunnen?
Reken op enkele maanden. Het meeste is wachten: u moet lang genoeg observeren om ook de systemen te zien die maar een paar keer per jaar verzenden, zoals een jaaropgave. Het technische werk is beperkt, de inventarisatie en de afstemming met leveranciers kosten de tijd.
Moeten wij ook een beleid zetten op domeinen die geen mail versturen?
Ja, en dat wordt vaak vergeten. Juist ongebruikte domeinen zijn aantrekkelijk voor misbruik, omdat er geen beleid op staat en niemand rapporten bekijkt. Zet daar direct een streng beleid op, inclusief het beleid voor subdomeinen. Daar hoeft u niets voor te observeren.
Is DMARC verplicht?
Geen wet noemt DMARC bij naam. De Cyberbeveiligingswet vraagt wel om cyberhygiëne en beveiligde communicatie, en dit is daar een concrete invulling van. Daarnaast stellen grote mailproviders steeds vaker eisen aan afzenders, waardoor het praktisch bijna onvermijdelijk wordt.
Hebben wij een rapportageplatform nodig?
Bij een handvol verzendende systemen niet. Dan volstaat een periodieke controle van de rapporten. Heeft u tientallen bronnen, meerdere domeinen of meerdere landen, dan bespaart een analysedienst veel tijd. Bepaal dat pas nadat u weet hoeveel bronnen er werkelijk zijn.
Wat als een leverancier DKIM niet ondersteunt?
Dat komt voor, vooral bij kleinere pakketten. U kunt dan vaak nog uitlijnen via SPF, mits de leverancier een eigen verzendadres op uw domein gebruikt. Lukt dat ook niet, dan is dat een reden om de leverancier erop aan te spreken of om een alternatief te overwegen.
Wie moet dit binnen onze organisatie oppakken?
Iemand met toegang tot het DNS, meestal uw IT-beheerder of hostingpartij. Maar de inventarisatie raakt marketing, finance en HR, want daar zitten de verzendende systemen. Wijs daarom één eigenaar aan die het overzicht houdt en bij wie nieuwe maildiensten worden aangemeld.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
