Microsoft 365 DMARC-uitrolgids: van none naar reject zonder dat e-mail stukloopt

By Mirko Peters · 2026-10-21

Lees hoe je DMARC veilig uitrolt in Microsoft 365, van monitoring tot strikte weigering, zonder de legitieme e-mailbezorging van je organisatie te verstoren.

Automatically translated with AI from the original post. Read the English original

Het uitrollen van e-mailauthenticatieprotocollen in een Microsoft 365-tenant kan aanvoelen als het onschadelijk maken van een bom, als je de stappen in de verkeerde volgorde doet. Deze stapsgewijze Microsoft 365 DMARC-uitrolgids begeleidt IT-beheerders bij de overgang van de eerste monitoring naar een strikt weigeringsbeleid, zonder per ongeluk legitieme zakelijke facturen, marketingcampagnes of geautomatiseerde meldingen in het niets te laten verdwijnen.

Belangrijkste punten

• Rol e-mailauthenticatie altijd in de juiste volgorde uit: eerst SPF, dan DKIM en daarna pas DMARC.
• Begin je DMARC-beleid met p=none om het verkeer te monitoren en alle legitieme en ongewenste verzendservices in kaart te brengen.
• Voorkom dat je de limiet van 10 lookups in SPF overschrijdt door externe diensten, zoals marketingplatforms en helpdesks, zorgvuldig te controleren.
• Ga geleidelijk van quarantaine en procentuele instellingen naar een strikt reject-beleid.
• Stel de geaggregeerde rapporten zo in dat ze naar een gedeelde mailbox gaan en niet naar de postbus van een individuele gebruiker, zodat je continu zicht houdt.

De gouden regel van de uitrolvolgorde

Als je tijdens je beveiligingsproject maar één principe onthoudt, maak het dan de uitrolvolgorde. Organisaties lopen vaak vast omdat ze standaarden achterstevoren implementeren. Het e-mailsysteem leunt op oudere protocollen zoals SMTP, die zijn gebouwd op vertrouwen en niet op verificatie. Als je een strikt handhavingsbeleid invoert voordat je je infrastructuur in kaart hebt gebracht, zal legitieme post mislukken.

De juiste volgorde bouwt in elke fase een vangnet op. Eerst stel je je gastenlijst op, daarna breng je je onbreekbare zegels aan, en pas dan introduceer je de scheidsrechter die alles samenbindt. Wie overslaat, tast in het duister over de eigen e-mailstromen, en giswerk is de snelste manier om ervoor te zorgen dat e-mails van je bedrijf door externe ontvangers worden geblokkeerd.

Stap één: SPF instellen en de gevaren van lookup-limieten

Je eerste stap is het publiceren van een Sender Policy Framework (SPF)-record op het hoofdniveau van je domein. Zie dit als de gastenlijst bij de deur van een exclusieve club. Het geeft expliciet aan welke servers e-mails mogen verzenden met jouw domeinnaam.

Sluit je eerste Microsoft 365 SPF-record af met een soft fail (~all) in plaats van een hard fail (-all). Zo vertel je ontvangende servers dat ze ongeautoriseerde post met argwaan moeten behandelen in plaats van die meteen te weigeren. Deze overgangsperiode geeft je ruimte om services op te sporen die je misschien bent vergeten.

De valkuil van de tien lookups

Een grote valkuil bij SPF-beheer is de strikte limiet van 10 lookups. Elke keer dat een ontvangende server je SPF-record verwerkt en een mechanisme tegenkomt dat een aparte DNS-query vereist, zoals een externe marketingautomatiseringsplatform, een klantenservice-helpdesk of een salarisverwerker, gaat er één lookup van je budget af.

Als je organisatie te veel externe services toevoegt, komt het totaal boven de tien uit en faalt de volledige SPF-evaluatie. Onderzoek naar miljoenen domeinen laat zien dat een verrassend groot percentage van de bedrijven zo per ongeluk de eigen e-mailbeveiliging onderuithaalt. Controleer je services regelmatig, zodat je SPF-footprint beperkt blijft.

Stap twee: DKIM activeren in Microsoft 365

Zodra je gastenlijst is gepubliceerd, heb je een manier nodig om ervoor te zorgen dat berichten onderweg niet worden gemanipuleerd. DomainKeys Identified Mail (DKIM) werkt als een digitale waszegel die op elk uitgaand bericht wordt gedrukt. Het bevat een cryptografische handtekening die het onderwerp, de inhoud en het zichtbare Van-adres omvat.

Binnen Microsoft 365 worden e-mails die vanaf je standaarddomein onmicrosoft.com worden verzonden automatisch ondertekend. Je eigen zakelijke domein blijft echter ongetekend totdat je DKIM expliciet configureert in het beheercentrum. Om dit goed te doen, moet je in je publieke DNS beide selectorrecords (selector1 en selector2) aanmaken. Met deze dubbele opzet kan Microsoft later naadloos de ondertekeningssleutels roteren zonder downtime.

Google en andere grote providers adviseren om SPF en DKIM minstens 48 uur soepel te laten draaien voordat je aan DMARC begint. Deze inwerkperiode zorgt ervoor dat je basiscontroles goed staan voordat de scheidsrechter aantreedt.

Stap drie: DMARC uitrollen in de monitormodus

Domain-Based Message Authentication, Reporting, and Conformance (DMARC) is de scheidsrechter. Het voert geen eigen test uit op de inhoud van het bericht. In plaats daarvan kijkt het naar de resultaten van je SPF- en DKIM-controles en controleert het of die overeenkomen met de zichtbare domeinnaam in de regel Van.

Wanneer je je DMARC-TXT-record voor het eerst publiceert op _dmarc.yourdomain.com, moet de beleidsparameter strikt op de monitormodus staan: p=none. Gelezen van links naar rechts vertelt dit record ontvangende servers: „Dit is een DMARC-record. Neem voorlopig geen handhavingsmaatregel als controles mislukken, en stuur geaggregeerde rapporten naar dit e-mailadres.”

Sla deze monitorfase nooit over. Dagelijkse geaggregeerde (RUA-)rapporten in XML-bestanden onthullen elke dienst die namens jouw domein mail verstuurt, legitiem of kwaadwillend. Stuur deze rapporten naar een gemonitorde gedeelde mailbox in plaats van naar de inbox van een individuele medewerker, zodat ze niet verloren gaan tijdens vakanties.

Stap vier: van quarantaine naar weigeren

Zodra je wekelijkse reviews laten zien dat alle legitieme mailstromen netjes aan de afstemming voldoen, is het tijd om de schroeven aan te draaien. De beleidsparameter van DMARC doorloopt drie duidelijke operationele standen:

• None (p=none): De uitkijktoren. Puur observerend, bedoeld voor audits en het verzamelen van geaggregeerde rapportagegegevens.
• Quarantine (p=quarantine): Het waarschuwingslabel. Instrueert ontvangende servers om verdachte of mislukte e-mails te markeren, meestal door ze direct naar de map Ongewenste e-mail of spam van de ontvanger te sturen.
• Reject (p=reject): De afgesloten deur. Instrueert ontvangers om niet-geauthenticeerde of vervalste berichten volledig weg te gooien voordat ze ooit een inbox bereiken.

Om deze overgang zo soepel mogelijk te maken, gebruik je de percentage-instelling van DMARC (pct=). Je kunt quarantaine of weigering eerst toepassen op een klein deel van de mislukte mail, bijvoorbeeld 10%, daarna 25% en vervolgens 50%, voordat je volledig overgaat. Deze geleidelijke opschaling voorkomt plotselinge verstoringen van de bedrijfsvoering als een ongeautoriseerde nieuwsbriefTool er doorheen glipt.

Conclusie

Het beveiligen van de e-mailinfrastructuur van je organisatie tegen Business Email Compromise (BEC) en domeinspoofing vraagt geduld en een methodische uitrolstrategie. Door SPF in te stellen, DKIM in te schakelen en je DMARC-beleid zorgvuldig op te schalen van observatie naar strikte weigering, bescherm je de naam van je bedrijf en zorg je ervoor dat je authentieke communicatie altijd op de juiste plek aankomt.

Wil je dieper ingaan op de werking van e-mailauthenticatieprotocollen? Luister de volledige aflevering voor deskundige inzichten, praktische architectuurstrategieën en handige begeleiding voor je Microsoft 365-tenant.

Veelgestelde vragen

Hoe lang moet ik mijn DMARC-beleid in Microsoft 365 op none laten staan?

Google en e-mailbeveiligingsexperts adviseren om je DMARC-beleid minstens een week op p=none te laten staan. Deze periode zorgt ervoor dat je uitgebreide geaggregeerde rapporten vastlegt die wekelijkse en cyclische zakelijke mailstromen omvatten.

Waarom moet ik DKIM inschakelen voordat ik DMARC aanzet?

DKIM ondertekent het bericht cryptografisch en reist met het bericht mee. Daardoor blijft de handtekening behouden bij doorstuurscenario's die SPF vaak breken. Als zowel SPF als DKIM correct zijn ingesteld, slaagt de DMARC-afstemming betrouwbaar.

Stuurt Microsoft 365 DMARC-forensische rapporten?

Nee. Microsoft 365 stuurt wel geaggregeerde (RUA) rapporten naar het rapportageadres dat je hebt opgegeven, maar genereert of verstuurt geen forensische (RUF) rapporten, ook niet als dat in je DMARC-record is gevraagd.

Wat gebeurt er als ik twee DMARC-records publiceer voor mijn eigen domein?

Als je meerdere DMARC-records publiceert, raken ontvangende mailservers in de war en passen ze helemaal geen beleid meer toe. Daarmee maak je al je beveiligingsinspanningen volledig zinloos. Zorg er daarom altijd voor dat je domein precies één DMARC TXT-record heeft.