Wat is DMARC? Uitleg in gewone taal
DMARC is een instelling voor je domeinnaam die ontvangers vertelt wat ze moeten doen met e-mail die zogenaamd van jouw domein komt, maar niet echt van jou is. Het beschermt jou en de mensen die je mailt tegen nep-e-mail uit jouw naam (spoofing en phishing) en zorgt dat je echte e-mail beter aankomt.
In het kort
- DMARC is een TXT-record in de DNS van je domein, met de naam
_dmarc. - Het bouwt voort op twee andere controles: SPF (welke servers mogen mailen namens je domein) en DKIM (een digitale handtekening op elke e-mail).
- In het DMARC-record kies je een beleid: niets doen, in de spam zetten of weigeren.
- Grote mailproviders zoals Gmail, Outlook en Yahoo verwachten tegenwoordig een DMARC-record. Zonder DMARC komt je e-mail vaker in de spam terecht.
Waarom is DMARC nodig?
Iedereen kan een e-mail versturen met een afzender die op jouw adres lijkt, bijvoorbeeld info@jouwdomein.nl. De ontvanger ziet dan niet meteen dat het nep is. Oplichters gebruiken dat om facturen te vervalsen of wachtwoorden te stelen. Met DMARC laat je zien welke e-mail echt van jou is en vraag je de ontvanger om nep-e-mail te weigeren of in de spam te zetten.
Hoe werkt het?
Komt er een e-mail binnen met jouw domein als afzender, dan controleert de ontvangende mailserver drie dingen:
- SPF: is de e-mail verstuurd vanaf een server die in het SPF-record van je domein staat?
- DKIM: klopt de digitale handtekening die jouw mailserver aan de e-mail heeft meegegeven?
- DMARC: hoort de goedgekeurde SPF- of DKIM-controle ook echt bij het domein in het afzenderadres? Zo ja, dan is de e-mail in orde. Zo nee, dan volgt de ontvanger het beleid uit jouw DMARC-record.
Hoe ziet een DMARC-record eruit?
Een DMARC-record is een TXT-record op _dmarc.jouwdomein.nl, bijvoorbeeld:
v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl
| Onderdeel | Betekenis |
|---|---|
v=DMARC1 | Dit is een DMARC-record. Staat altijd vooraan. |
p=none | Beleid "niets doen": de ontvanger levert de e-mail gewoon af, maar je kunt wel rapporten ontvangen. Hiermee begin je als je zelf een DMARC-record maakt. |
p=quarantine | Beleid "in quarantaine": e-mail die niet klopt, komt in de spammap. De tweede stap, als de rapporten goed zijn. |
p=reject | Beleid "weigeren": e-mail die niet klopt, wordt helemaal niet afgeleverd. De strengste en veiligste stand, en de standaard bij een hostingpakket van WebOké. |
rua=mailto:... | Optioneel: een e-mailadres waar je dagelijkse rapporten ontvangt over wie e-mail verstuurt namens je domein. |
Ons advies: stap voor stap strenger
- Gaat al je mail via WebOké? Dan staat er bij je hostingpakket al een DMARC-record met
p=reject, en kloppen SPF en DKIM vanzelf. Dat kun je zo laten. - Mail je ook via andere diensten, zoals Microsoft 365, Google Workspace, een nieuwsbriefdienst of je boekhoudprogramma, of maak je zelf een nieuw DMARC-record? Begin dan met
p=noneen een rapportadres. Kijk een paar weken in de rapporten of al je eigen mail door de controle komt. Ga daarna naarp=quarantine, en als dat goed gaat naarp=reject.
In 2026 is de DMARC-standaard vernieuwd (RFC 9989). Je bestaande record blijft gewoon werken. Het onderdeel pct= (een percentage) verdwijnt in de nieuwe standaard: gebruik het niet, of laat het op 100 staan.
Hoe DMARC precies werkt en hoe je de rapporten leest, staat in de les DMARC: wat ontvangers moeten doen met nepmail van de gratis DNS-cursus.
Stap voor stap aan de slag
- Zorg dat SPF klopt. Mail je ook via een andere dienst, zoals een nieuwsbriefprogramma of Microsoft 365, zet die dan ook in je SPF-record. Lees SPF record toevoegen of wijzigen in DirectAdmin.
- Zorg dat DKIM aan staat. Bij een hostingpakket van WebOké staat DKIM standaard aan voor e-mail die via onze servers gaat.
- Maak het DMARC-record aan. Begin met
p=noneen een rapportadres, ga na een paar weken naarp=quarantineen daarna naarp=reject. Hoe je het record aanmaakt, lees je in DMARC record aanmaken in DirectAdmin. Je kunt het ook doen in Mijn WebOké, bij Mijn domeinen, onder DNS. - Controleer je instellingen. Met onze gratis e-mailcheck zie je direct of SPF, DKIM en DMARC goed staan. Ook de Internet.nl checklist helpt je verder.
Veelgestelde vragen
Wordt mijn eigen e-mail geweigerd als ik DMARC aanzet?
Niet als SPF en DKIM goed staan. Verstuur je e-mail via een dienst die niet in je SPF-record staat en die niet met jouw domein ondertekent, dan kan die e-mail met p=quarantine of p=reject in de spam belanden of geweigerd worden. Begin daarom met p=none en kijk in de rapporten wie er namens je domein mailt. Bij een hostingpakket staat het record standaard op p=reject: mail je ook via een andere dienst, zet het dan tijdelijk op p=none tot die dienst goed in SPF en DKIM staat.
Moet ik een rapportadres invullen?
Dat hoeft niet. De rapporten zijn technisch en vooral handig als je wilt weten welke diensten namens je domein mailen. Gebruik er bij voorkeur een apart adres voor, want je kunt er dagelijks een paar ontvangen.
Ik gebruik Microsoft 365 of Google Workspace. Werkt DMARC dan ook?
Ja. Zet de dienst in je SPF-record, zet DKIM aan in die dienst en maak daarna het DMARC-record aan bij WebOké, of pas het bestaande aan. De volgorde maakt het verschil: eerst SPF en DKIM, dan DMARC. Begin ook hier met p=none en ga stap voor stap naar p=reject.
Hebben jullie een DMARC-record voor mij klaarstaan?
Ja. Bij een hostingpakket staat er standaard al een: v=DMARC1;p=reject. Maak je zelf een record, bijvoorbeeld bij een domein zonder hostingpakket, begin dan met v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl en maak het stap voor stap strenger. Kom je er niet uit, stuur ons dan een bericht: we helpen je graag.
Uitgebreide uitleg met schermafbeeldingen: DMARC instellen in de DirectAdmin-handleiding.