Van DMARC none naar reject in vier stappen
5 min lezen · Bijgewerkt op 20 oktober 2026
DMARC vertelt ontvangende mailservers wat ze moeten doen met mail die zich ten onrechte voordoet als jouw domein. Het doel is p=reject. Je komt daar het veiligst in stappen.
Eerst SPF en DKIM
DMARC bouwt voort op SPF en DKIM. Een bericht slaagt voor DMARC als SPF of DKIM slaagt en het domein daarvan overeenkomt met het domein in het Van-adres. Dat heet alignment. De DMARC-standaard raadt aan om zowel SPF als DKIM te gebruiken.
Sinds februari 2024 eisen Google en Yahoo dat bulkverzenders SPF, DKIM en een DMARC-record hebben. Bij Google gaat het om meer dan 5.000 berichten per dag naar Gmail. Een beleid van p=none is daarbij voldoende. Wie verder wil gaan dan die minimumeis, werkt toe naar reject.
De vier stappen
- Publiceer p=none met rapportage. Bijvoorbeeld: v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl. Ontvangers sturen je dan, meestal dagelijks, geaggregeerde rapporten. Er verandert nog niets aan de bezorging.
- Breng alle verzenders in kaart. Kijk in de rapporten welke diensten namens je domein mailen. Denk aan je nieuwsbriefdienst, CRM, factuurprogramma, website en printers. Zorg dat elke dienst DKIM-ondertekent met jouw domein of een eigen subdomein gebruikt.
- Ga naar p=quarantine. Mail die niet slaagt, komt dan bij de ontvanger in de map ongewenste e-mail of in quarantaine terecht.
- Ga naar p=reject. Ontvangers die DMARC toepassen, weigeren dan mail die niet slaagt. Misbruik van je domein wordt zo veel lastiger.
De DMARC-standaard zegt zelf dat domeineigenaren meestal met p=none beginnen. Zo controleer je of er niets is gemist in je SPF en DKIM.
Hoe lang duurt elke stap?
Daar is geen vaste regel voor. Microsoft spreekt van voldoende tijd om de effecten te bekijken. Microsoft adviseert de rapporten wekelijks te bekijken tijdens de invoering, en maandelijks als alles stabiel is.
Advies: blijf minimaal een paar weken op p=none, en langer als je veel verschillende diensten gebruikt. Blijf daarna enkele weken op quarantine voordat je naar reject gaat. Ga pas door als de rapporten alleen nog onbekende of kwaadwillende afzenders laten zien.
Je leest misschien over de tag pct om een beleid voor een deel van de berichten in te voeren. In de nieuwe DMARC-standaard, RFC 9989 uit mei 2026, is pct geschrapt. Bouw je planning daarom niet op pct.
Subdomeinen en ongebruikte domeinen
Een DMARC-record geldt ook voor subdomeinen zonder eigen record. Met de tag sp stel je een apart beleid in voor subdomeinen.
Gebruik voor externe verzenders, zoals een nieuwsbriefdienst, bij voorkeur een eigen subdomein met eigen SPF, DKIM en DMARC. Zo raakt een probleem bij die dienst je hoofddomein niet.
Heb je domeinen die nooit mail versturen? Microsoft adviseert daarvoor direct v=DMARC1; p=reject.
Checklist
- Controleer SPF en DKIM voor elk domein dat mail verstuurt.
- Publiceer p=none met een rua-adres op een gedeelde mailbox.
- Maak een lijst van alle diensten die namens je mailen.
- Los alignment-problemen op per dienst.
- Ga via quarantine naar reject.
- Zet ongebruikte domeinen direct op p=reject.
- Blijf de rapporten maandelijks bekijken.