DMARC-checker

Met de mail: niets. Het vraagt ontvangers om te bezorgen zoals ze gewend zijn en jou rapporten te sturen. Daarmee is het de veilige manier om te beginnen — je ontdekt welke van je eigen verzenders zouden falen vóórdat er één faalt — maar een domein dat daar blijft staan is precies zo te vervalsen als een domein zonder DMARC.

Verzamel een paar weken aggregatierapporten en controleer of elke legitieme verzender SPF of DKIM met uitlijning doorstaat. Ga dan naar p=quarantine, kijk opnieuw, en eindig bij p=reject. De rapporten maken elke stap veilig — daarom is een record zonder rua= lastig aan te scherpen.

Meestal omdat het adres bij een ander domein hoort — een rapportagedienst, of een collega — en dat domein het autorisatierecord met jouw naam niet heeft gepubliceerd. Conforme ontvangers sturen dan helemaal niets. Er ontstaat geen foutmelding, dus het ziet er precies zo uit als wanneer er niets te melden valt.

Soepel laat een subdomein als match gelden, dus mail van mail.voorbeeld.nl kan uitlijnen met voorbeeld.nl. Streng eist exact hetzelfde domein. Soepel is de standaard en past vrijwel iedereen; streng breekt veel legitieme verzenders.

Ja. DMARC authenticeert zelf niets — het controleert of een SPF- of DKIM-pass uitlijnt met het zichtbare From-adres. DMARC publiceren zonder allebei eronder betekent dat alles faalt, en daarom kan p=reject in die toestand je eigen mail weigeren.

Het past het beleid alleen toe op dat deel van de falende mail; de rest wordt een stap zwakker behandeld. Handig tijdens een uitrol en makkelijk te laten staan — en een vervalser heeft alleen het onaangeroerde deel nodig.