Om DMARC veilig in te stellen, publiceert u eerst een monitoringrecord, gebruikt u de rapporten ervan om elke legitieme verzendbron te authenticeren en verhoogt u vervolgens het beleid in fasen van geen naar quarantaine om te weigeren. De volgorde is belangrijk: als je het bevel afdwingt voordat je bronnen passeren, wordt echte post geblokkeerd. Als u dit op volgorde doet, bereikt u volledige bescherming zonder de levering te onderbreken.
Voordat je begint
DMARC is afhankelijk van SPF en DKIM , dus controleer eerst of beide bestaan. SPF ( RFC 7208 ) vermeldt de IP's en services die voor uw domein mogen verzenden in een TXT record. DKIM voegt een cryptografische handtekening toe die als publieke sleutel in DNS wordt gepubliceerd. Je moet minstens één van hen passeren en uitlijnen om DMARC te laten passeren, en idealiter beide. Let ook op de SPF 10 DNS -lookup-limiet: een SPF record dat meer dan tien DNS lookups activeert mislukt, waardoor DMARC uitlijning wordt verbroken.
Stap voor stap
- 1
1. Publiceer een monitoringrecord
Voeg een TXT record toe op _dmarc met v=DMARC1; p=none; rua=mailto:rua@example.com. Hiermee worden gegevens verzameld zonder de levering te beïnvloeden.
- 2
2. Verzamel rapporten
Wacht twee tot vier weken en lees de verzamelde ( RUA ) rapporten om te zien dat elke bron die verzendt als uw domein.
- 3
3. Authenticeer elke bron
Stel voor elke legitieme afzender SPF en DKIM in, zodat deze worden doorgegeven en afgestemd op uw Van-domein.
- 4
4. Ga naar quarantaine
Wanneer legitieme e-mail consistent wordt doorgegeven, stelt u p=quarantine, waarbij u eventueel pct geleidelijk kunt gebruiken.
- 5
5. Ga naar afwijzen
Zodra uit de quarantaine blijkt dat er geen legitieme e-mail mislukt, stelt u p=reject voor volledige bescherming.
- 6
6. Blijf monitoren
Lees de rapporten verder, zodat nieuwe diensten en eventueel misbruik vroegtijdig worden opgemerkt.
Het uitroltraject
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Behandel de SPF opzoeklimiet
Veel organisaties overschrijden de DNS opzoeklimiet SPF 10 als ze cloudservices toevoegen, waardoor SPF stilletjes wordt verbroken en DMARC wordt ondermijnd. Door SPF af te vlakken worden de opgenomen mechanismen omgezet in directe IP-adressen, zodat u onder de limiet blijft. SmartSPF van EmailAuth vlakt uw SPF record automatisch af en houdt deze bijgewerkt wanneer uw leveranciers hun IP-adressen wijzigen.
Veelvoorkomende valkuilen
- Naar p=reject springen voordat bronnen zijn geverifieerd, waardoor echte e-mail wordt geblokkeerd.
- Subdomeinen vergeten: stel een sp-beleid in, anders blijven ze mogelijk onbeschermd.
- Het publiceren van twee DMARC -records, waardoor DMARC volledig ongeldig wordt.
- Het negeren van de SPF 10-opzoeklimiet, waardoor de uitlijning SPF en DMARC wordt verbroken.
- Rapporten afdwingen en daarna nooit meer controleren, zodat nieuwe afzenders onopgemerkt blijven.
Maak doorlopend beheer eenvoudiger
EmailAuth kan uw DMARC , SPF , DKIM en BIMI -records hosten via CNAME delegatie, zodat u DNS één keer aanwijst en beleidswijzigingen in een dashboard beheert in plaats van DNS herhaaldelijk te bewerken. Het parseert RUA en RUF voor u en markeert bronnen die nog werk nodig hebben. Om uw startpunt te zien, voert u een gratis domeinscan uit en volgt u vervolgens het bovenstaande stappenplan om p=reject.
Veelgestelde vragen
Hoe stel ik DMARC in zonder de e-mail te verbreken?
Begin met p=none, dat controleert zonder de levering te beïnvloeden. Gebruik de verzamelde rapporten om elke legitieme afzender te authenticeren met SPF en DKIM , ga vervolgens naar quarantaine en weiger uiteindelijk. De gefaseerde aanpak betekent dat u nooit afdwingt totdat u echte postpassen heeft bevestigd.
Hoe lang moet ik op p=none?
Lang genoeg om een volledig beeld van uw verzendbronnen te zien, meestal twee tot vier weken voor de meeste organisaties. Als u via veel diensten verzendt of seizoensgebonden afzenders heeft, wacht dan langer. Ga pas verder als uit uw rapporten blijkt dat alle legitieme e-mail wordt doorgegeven en uitgelijnd.
Wat is de SPF 10 DNS opzoeklimiet?
SPF evaluatie is beperkt tot tien DNS lookups. Als de include- en andere mechanismen van uw record er meer dan tien activeren, retourneert SPF een permerror en mislukt, waardoor DMARC uitlijning wordt verbroken. Door het SPF -record af te vlakken in directe IP’s, bijvoorbeeld met EmailAuth SmartSPF , blijf je onder de limiet.
Heb ik een apart DMARC record nodig voor subdomeinen?
Niet noodzakelijkerwijs. Subdomeinen nemen het beleid van het organisatiedomein over, tenzij u de sp-tag instelt of een speciaal record publiceert op _dmarc.subdomain. Gebruik sp om een ander beleid op subdomeinen toe te passen en ongebruikte subdomeinen expliciet te beschermen, zodat ze niet kunnen worden vervalst.
[ DMARC gids ]
Herkomst onderneming
Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.
Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.
EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.
SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie