Controleer een DMARC-record, of stel er een op
Een DMARC-record is één regel met tot elf instellingen, en twee daarvan bepalen of hij überhaupt iets doet. Dit leest ze in gewone taal voor je voor, en controleert daarna het ene ding dat je rapporten stilletjes tegenhoudt.
- Draait vanuit je browser, niet op onze server
- Geen registratie
- Geen watermerk
De tool wordt geladen…
Hoe het werkt
- Typ je domein en druk op “Check” (controleren).
- Lees de instellingen en de bevindingen: p= (het beleid) is waar ontvangers naar handelen, en pct= beperkt op hoeveel van je mail dat van toepassing is.
- Gaan je rapporten naar een adres bij een ander bedrijf, controleer dan het rechtenblok — zonder dat record komt er nooit een rapport aan.
Waarom er niets wordt geüpload
Alles wat deze pagina doet, doet code die in je browsertabblad draait, met dezelfde engine die ook webpagina’s tekent. Je bestand wordt van schijf naar het geheugen van dat tabblad gelezen, daar bewerkt en weer weggeschreven als download. Het wordt nergens naartoe gestuurd — niet naar ons, en niet naar een derde partij.
Controleer het zelf
- Open de ontwikkelaarstools van je browser (F12) en kies het tabblad Netwerk.
- Laad je bestand en start de tool.
- De enige verzoeken die je ziet, halen de code van de tool zelf op — en bij een paar zware tools hun opensource-engine van een openbare CDN — plus één kleine bezoekmelding aan loreatec.jp (adres en titel van de pagina, meer niet). In geen van die verzoeken zit jouw bestand.
Veelgestelde vragen
Ik heb DMARC ingesteld en er kwam nooit een rapport binnen. Waarom niet?
Staat het rapportadres (rua) bij een ander domein dan het jouwe — een analyticsdienst, je bureau, een persoonlijke mailbox — dan moet dat domein een record publiceren dat zegt dat het rapporten voor jou accepteert: jouwdomein._report._dmarc.hundomein met de waarde v=DMARC1. Ontvangers controleren dat voordat ze versturen, en sturen stilletjes niets als het ontbreekt. Deze pagina controleert het voor je. De andere gangbare oorzaak is simpelweg een ontbrekende “mailto:” voor het adres.
Wat veranderen adkim en aspf precies?
Ze bepalen hoe nauw het domein dat voor SPF of DKIM slaagde, moet overeenkomen met het From-adres dat mensen zien. Relaxed (de standaard) accepteert elk subdomein van dezelfde organisatie — mail.voorbeeld.com telt mee voor voorbeeld.com. Strict vereist een exacte overeenkomst. Relaxed is voor bijna iedereen juist; strict is voor organisaties die elk subdomein beheren en willen voorkomen dat een gecompromitteerd subdomein wordt gebruikt.
Is p=none nutteloos?
Het is de noodzakelijke eerste stap en een zwak eindpunt. Met p=none verandert er niets aan je mail, maar krijg je wel de rapporten — precies wat je nodig hebt voor de paar weken die het kost om elke legitieme afzender te vinden. Jarenlang op none laten beschermt niets: iedereen kan nog steeds als jouw domein versturen, en nu heb je een record dat zegt dat je het weet.
Waar is sp= voor?
Een apart beleid voor subdomeinen. Zonder sp= erven subdomeinen p= over. Het telt omdat aanvallers subdomeinen gebruiken die nooit zijn ingericht om ook maar iets te versturen — factuur.jouwdomein.com — waar sp=reject instellen niets kan breken, zelfs terwijl het hoofddomein nog op none staat.
En pct?
Dat past het beleid toe op slechts een percentage van de falende mail, zodat je naar quarantine kunt gaan op 10% en kunt toekijken. Het is een opbouw, geen eindbestemming: bij pct=50 met p=reject komt nog steeds de helft van de vervalsingen door.