DMARC check: komt je mail aan?

Hoe weet je of DMARC goed staat?

DMARC staat goed als je domein drie dingen in DNS heeft: een SPF-record dat zegt welke servers namens je mogen mailen, een DKIM-handtekening op je mail, en een DMARC-record dat ontvangers zegt wat ze met vervalste mail doen, met p=quarantine of p=reject en een adres voor rapporten. De DMARC check leest die drie in tien seconden en geeft per onderdeel een antwoord, geen score van 100. Daaronder staan de records die je bij je hostingpartij plakt.

Waarom dat telt voor een Belgisch bedrijf: je facturen aan andere bedrijven vertrekken sinds 2026 via Peppol, niet meer per mail. Maar je offertes, je herinneringen, je aanmaningen en je antwoorden aan klanten gaan nog altijd per mail. Dat zijn precies de mails die in de spammap belanden als SPF, DKIM of DMARC ontbreken, en precies de mails die oplichters vervalsen om een betaling naar een ander rekeningnummer te laten gaan.

SPF, DKIM en DMARC in gewone woorden

SPF is een lijst in je DNS van de diensten die namens je domein mogen mailen: je mailbox bij Microsoft 365 of Google, je nieuwsbrieftool, je facturatiepakket. Een ontvanger kijkt of de server die de mail stuurt op die lijst staat. Het record mag hooguit tien opzoekingen nodig hebben; elke include telt, ook de includes in een include. Wie Microsoft 365, Mailchimp, een CRM en een boekhoudpakket laat mailen, zit daar snel aan. Boven tien faalt SPF bij elke ontvanger.

DKIM is een digitale handtekening die je maildienst op elke mail zet, met een sleutel die in je DNS staat onder een selector, zoals selector1 bij Microsoft 365 of google bij Google Workspace. De ontvanger controleert de handtekening en weet dan dat de mail onderweg niet veranderd is en echt van jouw dienst komt. Een sleutel van 2048 bits is de norm.

DMARC koppelt de twee aan het adres dat je klant ziet. Slaagt SPF of DKIM voor hetzelfde domein als de afzender, dan slaagt DMARC. Je beleid zegt wat er met mail gebeurt die faalt: p=none laat alles door en stuurt je alleen rapporten, p=quarantine zet het in de spammap, p=reject weigert het. Sinds mei 2026 is er een nieuwe DMARC-standaard, RFC 9989; je bestaande record blijft werken, alleen de tag pct verdwijnt.

Wat Gmail, Yahoo en Outlook eisen

Een kmo stuurt zelden 5.000 mails per dag. Maar de regels voor alle afzenders gelden wel, en een nieuwsbrief van een paar duizend adressen telt mee voor je domein. Wie SPF, DKIM en DMARC in orde heeft, zit bij alle drie goed. Hoe je een nieuwsbrief schrijft die ook gelezen wordt, staat in een nieuwsbrief schrijven.

DMARC instellen in drie stappen

1. Begin met p=none en rapporten. Zet een TXT-record op _dmarc.jouwbedrijf.be met v=DMARC1; p=none; rua=mailto:dmarc@jouwbedrijf.be. Er verandert niets aan je mail, maar je krijgt elke dag een rapport van Gmail, Outlook en Yahoo over wie namens je domein mailde.
2. Lees de rapporten twee tot vier weken. Je ziet je eigen diensten, en soms een dienst die je vergat: een webshop die orderbevestigingen stuurt, een CRM, een boekhoudpakket dat herinneringen mailt. Zet die in je SPF of zet DKIM aan bij die dienst.
3. Ga naar quarantine, daarna naar reject. Slaagt al je echte mail, zet dan p=quarantine en na een paar weken p=reject. Vanaf dan houdt een ontvanger vervalste mail met jouw afzender tegen.

De check geeft bij elke stap het record dat erbij hoort, met jouw domein ingevuld.

Wat er misgaat bij een verhuis of een nieuwe dienst

De meeste fouten ontstaan niet bij de start, maar later. Verhuis je je domein naar een andere partij, dan gaan TXT-records soms niet mee; lees eerst een domeinnaam verhuizen. Neem je een nieuwe nieuwsbrieftool of een nieuw facturatiepakket, dan mailt die namens je domein zonder dat iemand de SPF aanpast. Een site in onderhoud en beheer houdt dat bij, net als de geldigheid van je certificaat, die je nakijkt met de SSL checker.

Factuurfraude met jouw naam

Oplichters sturen een mail die van je boekhouding lijkt te komen, met een nieuw rekeningnummer. Met DMARC op p=reject weigert de mailserver van je klant zo'n mail met jouw adres als afzender. Met p=none komt hij aan. Spreek met klanten ook af dat een rekeningnummer nooit per mail verandert, en zet je nummer op de factuur zelf. Wie een nieuwe leverancier betaalt, kijkt het btw-nummer na met de btw-nummer check.