Wat is DMARC, en waarom heeft je bedrijf het nodig?

Kort antwoord: DMARC is een instelling in de DNS van je domein die mailservers vertelt wat ze moeten doen met e-mail die zich voordoet als jouw bedrijf, maar niet van jou komt. Zonder DMARC kan iedereen mail versturen met jouw domeinnaam als afzender, bijvoorbeeld nepfacturen aan je klanten. Met DMARC op quarantine of reject belandt die mail in de spam of wordt hij geweigerd.

Waarom is dit een probleem?

E-mail is in de basis een systeem uit de jaren tachtig: de afzender van een mail is niet meer dan een tekstveld, net als de afzender op een envelop. Oplichters maken daar dankbaar gebruik van. Een mail van facturen@jouwbedrijf.nl met een "gewijzigd rekeningnummer" ziet er voor je klant precies zo uit als een echte.

Dat raakt jou op twee manieren:

Je klanten worden opgelicht in jouw naam. De schade is voor hen, maar het vertrouwen in jouw bedrijf krijgt de klap.
Je eigen mail komt slechter aan. Grote mailproviders vertrouwen domeinen zonder goede instellingen minder. Sinds 2024 eisen Google en Yahoo bijvoorbeeld een DMARC-record van afzenders die grote aantallen mail versturen.

Hoe werkt DMARC samen met SPF en DKIM?

DMARC werkt niet alleen. Het bouwt voort op twee andere instellingen:

Instelling	Wat het doet	Vergelijking
SPF	Een lijst van servers die namens je domein mogen mailen	De gastenlijst bij de deur
DKIM	Een digitale handtekening in elke mail die je verstuurt	Een zegel op de envelop
DMARC	Wat er moet gebeuren als een mail niet door die controles komt, en wie daarover een rapport krijgt	De huisregels voor de portier

Een mail komt door de DMARC-controle als SPF of DKIM klopt, én als dat hoort bij het domein dat de ontvanger als afzender ziet. Dat laatste heet alignment, en het is precies wat oplichters niet kunnen nadoen.

Wat betekenen none, quarantine en reject?

In je DMARC-record staat een beleid, de p=-waarde:

p=none: alleen meten. Verdachte mail wordt gewoon afgeleverd, maar je krijgt wel rapporten. Goed als eerste stap, niet als eindpunt.
p=quarantine: verdachte mail gaat naar de spammap.
p=reject: verdachte mail wordt geweigerd en komt nooit aan.

Veel bedrijven blijven hangen op p=none. Ze hebben DMARC dan wel "aan staan", maar het houdt nog niets tegen.

DMARC instellen in vier stappen

Breng in kaart wie namens je mailt. Denk aan je mailprovider (bijvoorbeeld Microsoft 365 of Google Workspace), maar ook aan je nieuwsbriefdienst, boekhoudpakket, webshop en CRM. Al die diensten moeten in SPF staan of hun mail ondertekenen met DKIM.

Begin met meten. Zet een record neer met p=none en een adres voor rapporten:

_dmarc.jouwbedrijf.nl  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.nl"

Lees de rapporten een paar weken. Ze laten zien welke servers mail versturen met jouw domeinnaam. Zie je een legitieme dienst die faalt? Voeg die toe aan SPF, of zet DKIM aan bij die dienst. De ruwe rapporten zijn XML-bestanden; een DMARC-rapportagedienst maakt ze leesbaar.
Schroef het beleid op. Eerst naar p=quarantine, en als alles goed blijft gaan naar p=reject.

Veelgemaakte fouten

Twee SPF- of DMARC-records. Dan negeren mailservers ze allebei. Er mag er precies één zijn.
Vergeten diensten. De nieuwsbrief of de facturen uit je boekhoudpakket belanden ineens in de spam, omdat die dienst niet in SPF of DKIM is opgenomen.
Blijven hangen op p=none. Meten is stap één, niet het doel.
Domeinen zonder e-mail vergeten. Ook een domein waarmee je nooit mailt kan worden misbruikt. Zet daar v=spf1 -all en v=DMARC1; p=reject neer.

Hoe staat jouw domein ervoor?

Met de gratis websitecheck zie je binnen tien seconden of je domein SPF en DMARC heeft, en hoe streng het beleid is. Je krijgt de uitleg in gewone taal en de exacte instelling voor je developer of mailbeheerder. Voor een uitgebreidere test van je mailinstellingen, inclusief DKIM, is internet.nl een goede aanvulling.