Een DMARC-rapport lezen
Met een DMARC-record vertel je ontvangers wat ze moeten doen met mail die zogenaamd van jouw domein komt, maar niet door de controle komt. Je kunt ze ook vragen om je rapporten te sturen. Daarin zie je welke servers namens je domein mailen, en of die mail door SPF, DKIM en DMARC komt. Zo vind je een dienst die je vergeten was, en zie je of iemand je domein misbruikt. Wat DMARC is, lees je in Wat is DMARC? Uitleg in gewone taal.
Rapporten aanzetten: het rua-adres
Rapporten krijg je alleen als er in je DMARC-record een rapportadres staat, achter rua=. Het standaardrecord bij een hostingpakket van WebOké is v=DMARC1;p=reject, zonder rapportadres. Dan krijg je dus geen rapporten. Je kunt een adres toevoegen zonder je beleid te veranderen:
v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.nl
In DirectAdmin klik je in DNS Beheer op het potlood achter het record _dmarc en vul je het adres in bij Geaggregeerde e-mail (RUA). Zie DMARC instellen. In Mijn WebOké gebruik je de DMARC-hulp op het tabblad DNS: DNS-hulpjes: MX, SPF, DMARC, CAA en SRV. Welk beleid (p=) je kiest, staat in DMARC-record aanmaken in DirectAdmin.
Daarnaast bestaat ruf=, voor foutrapporten over losse mislukte mails. Die kunnen stukken van echte mail bevatten, en bijna geen grote ontvanger stuurt ze. Laat ruf leeg: je hebt alleen de verzamelrapporten van rua nodig.
dmarc@jouwdomein.nl, zodat je gewone mail niet ondersneeuwt. Houd die mailbox in de gaten: ook rapporten vullen je opslag.Wat je binnenkrijgt
Een rapport is een mail met een bijlage: een XML-bestand, meestal ingepakt als .gz of .zip. De naam zegt wie het stuurt, over welk domein en over welke periode, bijvoorbeeld google.com!jouwdomein.nl!1793923200!1794009599.xml.gz. De getallen zijn tijdstippen in seconden sinds 1970. Er staat geen inhoud van mail in: alleen per verzendende server hoeveel mails er waren en hoe de controles uitvielen.
Eén rij lezen
Elk blok <record> gaat over één verzendend IP-adres:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>jouwdomein.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>nieuwsbriefdienst.example</domain><result>pass</result></dkim>
<spf><domain>bounce.nieuwsbriefdienst.example</domain><result>pass</result></spf>
</auth_results>
| Onderdeel | Betekenis |
|---|---|
source_ip | Het IP-adres van de server die de mail afleverde. |
count | Hoeveel mails van dit IP-adres met deze uitkomst. |
disposition | Wat de ontvanger deed: pass of none (afgeleverd), quarantine (spammap) of reject (geweigerd). |
dkim en spf onder policy_evaluated | De DMARC-uitkomst: slaagde DKIM of SPF voor een domein dat bij je Van-adres hoort (uitgelijnd)? |
header_from | Het domein in het Van-adres van de mail. |
auth_results | De ruwe uitkomst van SPF en DKIM, met het domein waarvoor die gold. |
Let op het verschil tussen auth_results en policy_evaluated. In het voorbeeld slagen DKIM en SPF allebei, maar voor het domein van de nieuwsbriefdienst. Dat domein hoort niet bij jouwdomein.nl, dus faalt DMARC. Met p=reject worden deze 1250 mails geweigerd.
Zo vind je een vergeten dienst
- Kijk per rij naar
policy_evaluated. Staat er bijdkimofspfeenpass, dan is die bron in orde. - Faalt allebei? Kijk in
auth_resultswelk domein er staat. Herken je een dienst van jezelf, zoals je boekhoudprogramma, webwinkel of nieuwsbriefdienst? Zet dan bij die dienst DKIM met je eigen domein aan, en zet de dienst in je SPF-record als dat nodig is. Zie SPF-record toevoegen of wijzigen in DirectAdmin en DKIM instellen als de DNS bij een andere partij staat. - Geen domein dat je kent? Zoek op van wie het IP-adres is, bijvoorbeeld met een whois-opzoeking. Een onbekend IP-adres waarbij alles faalt, is meestal iemand die je domein misbruikt. Daar beschermt je DMARC-beleid je juist tegen.
Zie je een onbekend IP-adres waarbij SPF faalt, maar DKIM slaagt voor je eigen domein? Dat is meestal mail van jou die iemand heeft doorgestuurd. DMARC slaagt dan via DKIM, en je hoeft niets te doen.
Rapporten leesbaar maken
Eén rapport kun je openen in een browser of een programma dat XML laat zien. Krijg je er veel, dan zijn er rapportdiensten (ook gratis) en open-sourceprogramma's die de rapporten verzamelen en er overzichten van maken. Bedenk dat zo'n dienst dan ziet welke servers namens je domein mailen. Kies er een die je vertrouwt en die zich aan de AVG houdt.
Staat het rapportadres op een ander domein dan je eigen domein, bijvoorbeeld bij een rapportdienst? Dan moet dat andere domein toestemming geven met een speciaal record, zoals jouwdomein.nl._report._dmarc.rapportdienst.example. Zonder dat record sturen ontvangers geen rapporten naar dat adres. Een rapportdienst regelt dat record meestal zelf. Achtergrond: RFC 9990, hoofdstuk 4.