Gratis check, direct op het scherm

DMARC-check: staat uw domein open voor phishing uit uw naam?

Een aanvaller die mail uit naam van uw domein wil sturen, kijkt eerst naar drie DNS-records. Deze check doet hetzelfde: SPF, DMARC en MX, een steekproef op DKIM, en MTA-STS en DANE, rechtstreeks uit DNS, met bij elk record de uitleg en de norm.

Wat de check doet

Of er een SPF-record staat, of het er precies één is, hoe het eindigt (-all, ~all, +all) en hoeveel DNS-opvragingen het record zelf al kost (de grens is tien).
Of er een DMARC-record staat, welk beleid het voert (none, quarantine, reject) en of er een rapportageadres (rua) is ingesteld.
Of het domein mail ontvangt (MX of null MX), of DKIM op gangbare selectors te vinden is en of MTA-STS of DANE is ingesteld.

Wat deze check niet doet

DKIM met uw eigen selector: de steekproef kijkt naar gangbare selectors; geen vondst is geen bevinding.
De includes in uw SPF-record worden niet gevolgd; de telling van DNS-opvragingen is een ondergrens.
Het MTA-STS-beleidsbestand wordt niet opgehaald en DNSSEC wordt niet gecontroleerd; voor DNSSEC doet internet.nl dat wel.

Waarom alleen uw eigen domein

De check werkt op het hoofddomein achter uw zakelijke e-mailadres. Dat is een drempel tegen het nakijken van andermans domein, in lijn met ons gebruiksbeleid dat u alleen domeinen controleert waarvan u eigenaar of geautoriseerde beheerder bent. De controle leest alleen: DNS opvragen, enkele verbindingen, één pagina ophalen, wat een mailserver of browser ook ziet.

Wat de uitslag betekent

SPF zegt welke servers namens uw domein mogen versturen, DKIM zet een cryptografische handtekening onder elke mail, en DMARC koppelt beide aan het afzenderadres en vertelt de ontvanger wat hij met afwijkende mail moet doen. Zonder DMARC kan een ontvanger wat SPF en DKIM zeggen niet koppelen aan het afzenderadres dat de lezer ziet; zonder SPF én DKIM heeft DMARC niets om op te bouwen. Met één van beide werkt het al, met beide is het robuust.

Een DMARC-beleid op p=none is een begin: u krijgt rapportages, maar DMARC houdt phishing uit uw naam dan niet tegen; of die aankomt, bepaalt de ontvanger zelf. Pas bij p=quarantine of p=reject doet het beleid iets. Ook een domein dat nooit mailt, heeft SPF en DMARC nodig; anders is juist dat domein een gewillige afzender voor een aanvaller.

Hoe de drie records samenwerken, met voorbeeldrecords en de blinde vlek van domeinen die nooit mailen, leest u in SPF, DKIM en DMARC uitgelegd.

Dit is één momentopname

Een record dat vandaag klopt, sneuvelt bij de volgende DNS-migratie; een certificaat verloopt stil. De gratis securityscan kijkt breder naar wat er van uw domein aan internet hangt, en in de kennisbank leest u wat een gratis check wél en niet laat zien.

Ook controleren: certificaat en TLS · security headers