We hebben p=reject op het hoofddomein, maar subdomeinen worden gespoofd

Zonder sp= valt DMARC voor subdomeinen terug op de policy van het hoofddomein, maar alleen als die subdomeinen geen eigen DMARC-record hebben. In de praktijk publiceren veel partijen sp=reject expliciet om er zeker van te zijn dat ongebruikte subdomeinen ook niet spoofbaar zijn.

Probeer dit eerst zelf

1. 1Voeg sp=reject toe aan je DMARC-record op _dmarc.jouwdomein.nl. Bijvoorbeeld: v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@jouwdomein.nl
2. 2Inventariseer welke subdomeinen wel mailen, bijvoorbeeld nieuws.jouwdomein.nl voor je ESP. Voor die subdomeinen publiceer je een eigen _dmarc-record met SPF en DKIM voor de ESP.
3. 3Voor ongebruikte subdomeinen (oude marketing-domeinen, test.) hoef je niets te doen, sp=reject vangt ze af.
4. 4Optioneel: publiceer null MX-records (MX 0 .) op subdomeinen die nooit mail ontvangen, RFC 7505. Dat blokkeert backscatter.
5. 5Verifieer met dig txt _dmarc.jouwdomein.nl dat de policy klopt en monitor de DMARC-rapporten op die subdomeinen.

Past het bovenstaande niet?

Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.