Where do I publish a DMARC record?

Publish it as a DNS TXT record at the hostname _dmarc.yourdomain.com. The value starts with v=DMARC1 followed by your policy and reporting tags. Only one DMARC record is allowed per domain.

What is a safe DMARC policy to start with?

Start with p=none plus a rua reporting address. This monitors your mail without affecting delivery so you can see every sending source. Move to p=quarantine, then p=reject, once your legitimate sources all pass and align.

Do I still need SPF and DKIM with DMARC?

Yes. DMARC does not replace them; it builds on them. A message passes DMARC when SPF or DKIM passes and the authenticated domain aligns with the From address. Without working SPF and DKIM, your own mail will fail DMARC.

What does the pct tag do?

The pct tag sets the percentage of failing mail your policy applies to, from 1 to 100. Some senders use a lower value to phase in quarantine or reject, then raise it to 100 once results look clean. If omitted, it defaults to 100.

DMARC -recordgenerator

Een DMARC recordgenerator bouwt het DNS TXT record op dat ontvangende servers vertelt wat ze moeten doen met e-mail waarbij de authenticatie mislukt en waar rapporten naartoe moeten worden gestuurd. U kiest een beleid en rapportageopties, en de generator stelt de juiste tagsyntaxis samen, gedefinieerd door RFC 9989 , de huidige DMARC standaard. Het record wordt gepubliceerd op _dmarc.yourdomain.com en werkt bovenop SPF en DKIM , waarbij wordt gecontroleerd of het domein dat een ontvanger ziet overeenkomt met het domein dat door deze methoden wordt geverifieerd.

Wat DMARC doet

DMARC koppelt SPF en DKIM aan elkaar met een regel voor het zichtbare Van-domein. Wanneer er een bericht binnenkomt, controleert de ontvanger of SPF of DKIM doorgaat en of het passerende domein overeenkomt met het Van-adres. Uw DMARC beleid geeft de ontvanger vervolgens de opdracht om mislukte e-mail toe te staan, in quarantaine te plaatsen of te weigeren. Het vraagt ontvangers ook om verzamelde rapporten te sturen, waarin u elke bron kunt zien die uw domein verzendt, legitiem of niet.

De belangrijkste tags uitgelegd

v=DMARC1 identifies the record version and must come first.
p= is the policy for your domain: none to monitor, quarantine to send failures to spam, or reject to block them.
rua= is the address for aggregate report data, the feedback that shows all your sending sources.
ruf= is the address for forensic or failure reports, used less often for privacy reasons.
pct= sets the percentage of failing mail the policy applies to, useful for a gradual rollout.
sp= sets a separate policy for subdomains, and adkim= and aspf= control strict or relaxed alignment.

Veilige standaardinstellingen en een gefaseerde uitrol

Begin bij p=none met een meldadres, zodat u gegevens verzamelt zonder dat dit gevolgen heeft voor de bezorging. Lees de verzamelde rapporten totdat elke legitieme bron is goedgekeurd en op één lijn ligt, ga dan naar p=quarantine, en ten slotte naar p=reject zodra u er zeker van bent. Als u zich haastig afwijst voordat uw bronnen zijn geverifieerd, kunt u echte e-mail blokkeren. Dit gefaseerde traject is de standaard manier om veilig tot handhaving te komen en is tevens het niveau dat BIMI nodig heeft voordat uw logo kan worden weergegeven.

Een correcte registratie

Afgedwongen DMARC voorbeeld

v=DMARC1; p=reject; rua=mailto:rua@example.com; pct=100; adkim=s; aspf=s

Genereer de jouwe met EmailAuth

EmailAuth genereert een correct DMARC record uit een gratis domeinscan, leest uw bestaande SPF , DKIM en DMARC instellingen en vult de tags met waarden die overeenkomen met hoe u daadwerkelijk verzendt. Het host DMARC , BIMI en MTA-STS -records via CNAME delegatie, zodat u het beleid kunt bijwerken vanaf een dashboard terwijl u van monitoring naar handhaving gaat. Het platform parseert ook uw verzamelde rapporten in een leesbare weergave, zodat u elke verzendbron kunt zien en weet wanneer het veilig is om het beleid aan te scherpen.

Veelgestelde vragen

Waar publiceer ik een DMARC record?

Publiceer het als een DNS TXT record op de hostnaam _dmarc.yourdomain.com . De waarde begint met v=DMARC1 gevolgd door uw beleids- en rapportagetags. Per domein is slechts één DMARC record toegestaan.

Wat is een veilig DMARC beleid om mee te beginnen?

Begin met p=none plus een rua-meldadres. Hiermee wordt uw e-mail gecontroleerd zonder de bezorging te beïnvloeden, zodat u elke verzendbron kunt zien. Ga naar p=quarantine, vervolgens p=reject, zodra uw legitieme bronnen allemaal zijn goedgekeurd en op één lijn zijn gebracht.

Heb ik nog steeds SPF en DKIM nodig met DMARC ?

Ja. DMARC vervangt ze niet; het bouwt erop voort. Een bericht passeert DMARC wanneer SPF of DKIM passeert en het geverifieerde domein wordt uitgelijnd met het Van-adres. Zonder SPF en DKIM te gebruiken, mislukt uw eigen mail DMARC .

Wat doet de pct-tag?

De pct-tag stelt het percentage mislukte e-mail in waarop uw beleid van toepassing is, van 1 tot 100. Sommige afzenders gebruiken een lagere waarde om in quarantaine te gaan of te weigeren, en verhogen deze vervolgens naar 100 zodra de resultaten er schoon uitzien. Als u dit weglaat, is de standaardwaarde 100.

Onderdeel van de KennisbankDiagnostiek en werkmiddelen · 27 gidsen

Herkomst onderneming

Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.

Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.

EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.

Regeringen Grote ondernemingen Tier-1 financiële instellingen

SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie