Direct naar de inhoud
Aan de slag

DMARC-checker

Zoek het DMARC-record van elk domein op, lees wat elke tag doet en zie of het beleid je domein echt beschermt tegen vervalsing.

Screenshot van TXT-records in de DNS-manager van DNSense
Gratis DMARC-tool

Controleer een DMARC-record

Uitleg

Hoe DMARC werkt en hoe je het invoert

DMARC (Domain-based Message Authentication, Reporting and Conformance) vertelt ontvangende servers wat ze moeten doen met mail die zowel SPF als DKIM niet doorstaat voor het domein in het zichtbare Van-adres. Ook vraagt het ontvangers om je rapporten te sturen, zodat je ziet wat er allemaal mail verstuurt als jouw domein. Google en Yahoo eisen een DMARC-record van wie bulkmail verstuurt.

Het record is een TXT-record op _dmarc.jouwdomein.nl, opgebouwd uit tag=waarde-paren.

TagBetekenis
v=DMARC1Markeert het record als DMARC. Moet vooraan staan.
p=none, quarantine, rejectWat ontvangers doen met mail die faalt: niets, naar de spammap, of weigeren.
rua=mailto:[email protected]Waar dagelijkse samenvattende rapporten naartoe gaan.
sp=Het beleid voor subdomeinen. Standaard gelijk aan p.
pct=Het aandeel falende mail waarop het beleid van toepassing is. Standaard 100.
adkim=, aspf=Alignment: r (relaxed, de standaard) of s (strict).

Begin met p=none en een rua-adres, lees de rapporten een paar weken, los elke legitieme afzender op die faalt, en ga dan naar quarantine en uiteindelijk reject.

Vragen

Veelgestelde vragen over DMARC

Een DMARC-record is een DNS TXT-record op _dmarc.jouwdomein dat een beleid instelt voor mail die SPF en DKIM niet doorstaat, en aangeeft waar ontvangers rapporten daarover naartoe sturen.

Vul je domein in de checker in. Die leest het TXT-record op _dmarc.jouwdomein, legt elke tag uit en toont fouten en waarschuwingen met een oplossing voor elk.

Begin met p=none om rapporten te verzamelen zonder de bezorging te raken. Doorstaat al je legitieme mail de controle, ga dan naar p=quarantine en daarna p=reject, wat volledige bescherming tegen vervalsing geeft.

Ja. DMARC slaagt als SPF of DKIM slaagt en het domein overeenkomt met het zichtbare Van-adres. Stel beide in, zodat een wijziging bij een van je afzenders de bezorging niet breekt.

DMARC wordt opgezocht op _dmarc.jouwdomein, niet op het domein zelf. Heb je het record net gepubliceerd, wacht dan tot de TTL van het oude antwoord is verlopen. Subdomeinen zonder eigen record vallen onder het beleid van het hoofddomein, maar deze checker toont alleen het record op het domein dat je invult.

Nee. De checker zoekt publieke DNS-records op voor het domein dat je invult en toont het resultaat.