DMARC
Een DNS-beleid dat ontvangende servers vertelt wat ze moeten doen met mail die SPF en DKIM voor uw domein niet doorstaat, en waar ze rapporten daarover naartoe sturen.
DMARC koppelt SPF en DKIM aan het adres dat mensen werkelijk zien, de From-header. Een bericht doorstaat DMARC als SPF of DKIM slaagt *en* het domein dat slaagde overeenkomt met het From-domein. Die alignment is wat verhindert dat iemand mail verstuurt die uw adres toont terwijl SPF voor zijn eigen domein slaagt.
Het record staat op _dmarc.<domain>: v=DMARC1; p=reject; rua=mailto:reports@example.lu. De p=-tag is het beleid: none rapporteert alleen, quarantine stuurt mislukkingen naar spam, reject weigert ze. rua= is waar de dagelijkse geaggregeerde rapporten heen gaan; die vertellen u wie als uw domein verstuurt en of dat slaagt.
Begin op p=none, lees een paar weken de rapporten, herstel elke legitieme afzender die faalt, en ga dan naar quarantine en ten slotte reject. Grote mailboxproviders vereisen inmiddels een DMARC-record van iedereen die in volume verstuurt, en BIMI vereist afdwinging.