Hoe werkt DMARC?
Een mail slaagt voor DMARC als het domein uit het From-adres een DMARC-record heeft en past bij een domein dat via SPF of DKIM is gecontroleerd. Dat passen heet alignment. Bij relaxed alignment horen beide domeinen bij hetzelfde hoofddomein. Bij strict alignment zijn ze identiek.
Slaagt een mail niet, dan kijkt de ontvanger naar het beleid in de p-tag:
| Beleid | Wat de domeineigenaar zegt |
|---|---|
p=none | Geen voorkeur. De ontvanger behandelt de mail zoals altijd. |
p=quarantine | De mail is verdacht. Die kan echt zijn, maar de fout is een serieus signaal. |
p=reject | Een fout betekent dat het domein onterecht is gebruikt. |
Met de rua-tag vraag je ontvangers om verzamelrapporten in XML. Daarin zie je welke servers mail versturen met jouw domein en of die mail slaagt. Ontvangers zijn niet verplicht om rapporten te sturen. Het voorbeeld uit RFC 9989 voor example.com:
_dmarc.example.com TXT "v=DMARC1; p=none; rua=mailto:dmarc-feedback@example.com"Voorbeeld: van p=none naar p=reject
Accountantskantoor De Balans in Apeldoorn krijgt meldingen van klanten over valse facturen die van het kantoor lijken te komen. Het kantoor heeft SPF en DKIM al ingesteld en publiceert een DMARC-record met p=none en een rua-adres.
Uit de rapporten blijkt dat het factuurprogramma niet met het eigen domein tekent. Na die reparatie slaagt alle eigen mail. Het kantoor zet het beleid daarna op p=quarantine en later op p=reject. Ontvangers die DMARC toepassen, laten de valse facturen dan niet meer in de inbox toe.
Wat veranderde er in 2026?
De vorige versie, RFC 7489 uit maart 2015, was geen standaard maar een informatief document. Het verscheen buiten de werkgroepen van de IETF om. In mei 2026 verving de IETF het door drie documenten op het standaardenspoor (Standards Track):
- RFC 9989: het DMARC-mechanisme zelf.
- RFC 9990: de verzamelrapporten in XML.
- RFC 9991: de foutrapporten per bericht.
RFC 9989 schrapt de pct-tag. Daarmee vroeg je ontvangers om een strenger beleid op een percentage van de mail toe te passen. Ontvangers voerden dat vaak niet nauwkeurig uit. Nieuw is de term monitoring mode: beleid p=none terwijl je verzamelrapporten ontvangt.
Wat eist Gmail en wat belooft DMARC niet?
Sinds 1 februari 2024 eist Google DMARC van afzenders die meer dan 5.000 berichten per dag naar Gmail-adressen sturen. In oktober 2026 mag het beleid op none staan. Het domein in het From-adres moet wel passen bij het SPF- of DKIM-domein. Google raadt daarnaast DMARC-rapporten aan, om afzenders te vinden die je domein misbruiken.
Een DMARC-pass zegt alleen dat het domein met toestemming van de eigenaar is gebruikt. Het zegt niets over de inhoud of over de afzender zelf. Een pass betekent dus niet dat de mail zeker in de inbox komt. Het lokale deel van het adres, vóór de @, controleert DMARC ook niet.
Veelgestelde vragen over DMARC
Waar staat DMARC voor?
DMARC staat voor Domain-based Message Authentication, Reporting, and Conformance. Het bouwt voort op SPF en DKIM en voegt een beleid en rapporten toe.
Is p=none genoeg?
Voor de eisen van Gmail wel. Maar met p=none geef je geen voorkeur, dus vraag je ontvangers niet om valse mail met je domein tegen te houden. Gebruik p=none om rapporten te verzamelen en ga daarna naar quarantine of reject.
Wat is het verschil tussen SPF, DKIM en DMARC?
SPF legt vast welke servers mogen mailen. DKIM zet een handtekening in de mail. DMARC controleert of een van beide past bij het From-adres en zegt wat er moet gebeuren als dat niet zo is.