Een praktische implementatiegids: van SPF/DKIM tot een veilig reject-beleid
DMARC is de sluitsteen van e-mailauthenticatie: het vertelt ontvangende mailservers wat ze moeten doen met berichten die zich als uw domein voordoen maar de controles niet doorstaan. In een Microsoft 365-omgeving is de techniek goed te implementeren, maar de valkuil zit niet in het DNS-record zelf, die is zo geplaatst. De valkuil zit in het correct afstemmen van SPF en DKIM en in het gefaseerd aanscherpen van het beleid zonder legitieme e-mail te blokkeren.
Deze gids beschrijft de praktische stappen voor een Microsoft 365-tenant, in de volgorde waarin u ze het beste uitvoert.
DMARC werkt alleen als SPF óf DKIM slaagt én uitgelijnd is met het domein in het From-adres (alignment). Zet DMARC daarom nooit als eerste stap op reject. Begin altijd met monitoring.
De meest gemaakte fout is DMARC aanscherpen voordat u weet wie er allemaal namens uw domein mailt. Naast Microsoft 365 versturen vaak ook andere systemen e-mail met uw domein in het afzenderadres:
Elke bron die u vergeet, wordt straks geblokkeerd zodra u het beleid aanscherpt. Deze inventarisatie is daarom geen formaliteit, maar de kern van een veilige uitrol.
Microsoft 365 gebruikt een centraal SPF-include. Het basisrecord ziet er zo uit:
v=spf1 include:spf.protection.outlook.com -all
Aandachtspunten:
-all (hard fail), niet ~all (soft fail), zodra u zeker weet dat alle bronnen kloppen.DKIM staat in een Microsoft 365-tenant standaard níet actief voor uw eigen domein, alleen voor het onderliggende onmicrosoft.com-domein. U activeert DKIM voor uw eigen domein via het Microsoft Defender-portaal (Email & collaboration → Policies → DKIM).
De praktische stappen:
selector1 en selector2) die Microsoft aanlevert in uw DNS.Belangrijk voor alignment: DMARC slaagt pas als het domein in de DKIM-handtekening (of het SPF-domein) overeenkomt met het domein in het zichtbare From-adres. Dit heet alignment en is precies waar veel implementaties op stuklopen.
Begin altijd in de monitoringstand. Publiceer een TXT-record op _dmarc.uwdomein.nl:
v=DMARC1; p=none; rua=mailto:dmarc-rapporten@uwdomein.nl; fo=1
Met p=none blokkeert u nog niets: u ontvangt alleen rapportages (rua) over welke bronnen namens uw domein mailen en of ze SPF/DKIM doorstaan. Zo maakt u de werkelijkheid zichtbaar zonder risico op blokkades.
Laat deze stand minimaal enkele weken staan, afhankelijk van hoe onregelmatig uw verzendende bronnen zijn (een maandelijkse nieuwsbrief moet u minstens één cyclus zien).
DMARC op uw hoofddomein dekt niet automatisch alle subdomeinen op de manier die u verwacht. Met de sp-tag stuurt u het beleid voor subdomeinen apart aan:
sp=reject), zodat ze niet als aanvalsvector dienen.Vergeet ook uw parkeerdomeinen niet: domeinen die u bezit maar niet gebruikt voor e-mail, horen een streng DMARC- én SPF-record te krijgen zodat ze niet misbruikt kunnen worden.
Zodra de rapportages laten zien dat alle legitieme bronnen SPF/DKIM doorstaan en uitgelijnd zijn, scherpt u stapsgewijs aan:
Met de pct-tag rolt u een strenger beleid geleidelijk uit over een percentage van het verkeer. Zo houdt u de impact beheersbaar en kunt u terugschakelen als er onverwacht iets misgaat.
onmicrosoft.com en faalt alignment.rua-rapporten te analyseren, scherpt u blind aan.Het interpreteren van die rapportages is een onderwerp op zich. Daarover leest u meer in het artikel DMARC-resultaten en beleid controleren.
Wij richten SPF, DKIM en DMARC voor uw Microsoft 365-omgeving in en begeleiden de gefaseerde uitrol, zodat u beschermd bent zonder legitieme e-mail te blokkeren.