Wat staat er eigenlijk in een DMARC-rapport?

Zet u een DMARC-record in uw DNS met een rua-adres erin, dan begint er post binnen te komen. Elke dag, van Google, Microsoft, Yahoo en tientallen kleinere ontvangers. Wat u opent is geen brief maar een XML-bestand, meestal ingepakt in een zip of gz, en het ziet er zo uit:

<record>
  <row>
    <source_ip>209.85.220.41</source_ip>
    <count>37</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
</record>

Eén zo'n blok betekent: dit IP-adres stuurde 37 berichten die zeiden namens u te komen. DKIM klopte, SPF niet.

Wat een rapport wél is, en wat niet

Een aggregaatrapport gaat over aantallen, niet over berichten. Er staat geen onderwerp in, geen ontvanger en geen inhoud. Dat is met opzet: het is een telling, geen kopie van uw post. U ziet dus wél dat er iets misgaat en waar het vandaan komt, maar niet welke mail het was.

Het gaat ook niet over spam die u ontvangt. Het gaat uitsluitend over mail die uw domein als afzender voert.

De drie dingen die ertoe doen

1. Welke bronnen mailen namens u

Elk IP-adres in het rapport is een verzender. Sommige herkent u meteen: uw eigen mailserver, Microsoft 365. Andere niet. Een boekhoudpakket dat facturen verstuurt, een nieuwsbriefdienst die een collega drie jaar geleden aanzette, een webshop die bevestigingen stuurt. Bijna iedereen die dit voor het eerst bekijkt, vindt minstens één bron die hij vergeten was.

Dat is de belangrijkste opbrengst van de eerste weken: een lijst van wie er in uw naam mailt.

2. Of SPF en DKIM uitgelijnd zijn

Hier gaat het bij bijna iedereen mis, en het woord is uitlijning. Een controle kan slagen en tóch niet meetellen voor DMARC. SPF slaagt als de verzendende server mag verzenden voor het domein in de envelop — maar DMARC kijkt naar het domein dat de ontvanger ziét staan. Verstuurt een dienst namens u met haar eigen envelopadres, dan slaagt SPF en faalt de uitlijning.

Vandaar dat u spf=pass kunt zien staan bij een bron die voor DMARC toch faalt. Niet de controle is het probleem, maar het domein waarop hij sloeg.

3. Wat er met falende mail gebeurt

disposition vertelt wat de ontvanger deed. Bij p=none staat daar altijd none: u kijkt alleen mee. Pas bij quarantine of reject gebeurt er echt iets.

Waarom doorgestuurde mail altijd faalt

Eén patroon dat u gegarandeerd tegenkomt en dat geen probleem is: doorgestuurde berichten. Stuurt iemand uw mail door naar een ander adres, dan verstuurt zijn server hem opnieuw, vanaf zijn eigen IP. SPF faalt dan per definitie. Staat DKIM goed, dan komt die mail gewoon aan, want DMARC slaagt als één van de twee klopt.

Dit is precies de reden om DKIM op orde te hebben vóór u verscherpt naar p=reject. Met alleen SPF verliest u doorgestuurde post.

Zelf lezen of laten lezen

U kunt dit met de hand doen. Bestand uitpakken, XML openen, IP-adressen opzoeken, aantallen optellen over tientallen rapporten per week. Het is te doen voor één domein en een paar weken.

Wij hebben dit gebouwd omdat het daarna niet meer te doen is. Stuurt u uw rapporten naar report@dmarc-alerts.com, dan krijgt u een mail terug met de bronnen op naam, een cijfer, en wat er per dienst te doen valt. Beginnen kan gratis, met één domein.