We hebben p=reject op het hoofddomein, maar subdomeinen worden gespoofd
Zonder sp= valt DMARC voor subdomeinen terug op de policy van het hoofddomein, maar alleen als die subdomeinen geen eigen DMARC-record hebben. In de praktijk publiceren veel partijen sp=reject expliciet om er zeker van te zijn dat ongebruikte subdomeinen ook niet spoofbaar zijn.
support/email-aflevering/dmarc-sp-subdomain-policystappen: 5
Probeer dit eerst zelf
- Voeg sp=reject toe aan je DMARC-record op _dmarc.jouwdomein.nl. Bijvoorbeeld: v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@jouwdomein.nl
- Inventariseer welke subdomeinen wel mailen, bijvoorbeeld nieuws.jouwdomein.nl voor je ESP. Voor die subdomeinen publiceer je een eigen _dmarc-record met SPF en DKIM voor de ESP.
- Voor ongebruikte subdomeinen (oude marketing-domeinen, test.) hoef je niets te doen, sp=reject vangt ze af.
- Optioneel: publiceer null MX-records (MX 0 .) op subdomeinen die nooit mail ontvangen, RFC 7505. Dat blokkeert backscatter.
- Verifieer met dig txt _dmarc.jouwdomein.nl dat de policy klopt en monitor de DMARC-rapporten op die subdomeinen.
Wanneer ons inschakelen
Heb je tientallen actieve subdomeinen met eigen mailflows, dan loont het om de hele DNS-zone te tekenen voor je sp=reject zet.
Zie ook
- Onze mails komen bij sommige ontvangers in de spamBijna altijd is dit een SPF-, DKIM- of DMARC-instelling die niet klopt of ontbreekt, of een afzender-naam die te veel op een bekend merk lijkt.
- Iemand meldt dat ze namens ons phishing-mail ontvangenLees: spoofing. Iemand misbruikt jouw afzendernaam, niet noodzakelijk je echte mailbox.
- Een mail bouncet (NDR) - delivery failedDe NDR heeft bijna altijd een precieze reden in de tekst zelf. Lezen is stap één.
Past het bovenstaande niet?
Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.
Of doe het helemaal niet zelf
Onze Managed IT-klanten zoeken dit soort vragen niet op. Eén aanspreekpunt, vaste prijs per maand, en het is binnen werktijd opgelost.