Sinds het begin van 2026 kondigen de voornaamste mailproviders (Gmail, Outlook, Apple, …) aan dat een DMARC-policy 'p=none' niet langer toereikend zal zijn. Deze cybersecuritymaatregel heeft tegelijk invloed op e-maildeliverability.

Omwille hiervan heb ik onze DMARC-policy al iets strenger ingesteld. Ik volg dit op en stel vast dat onze mails niet in spam (= quarantaine) terechtkomen. Gradueel zal ik het pct van 50 naar 100 opschalen voor hoofd- en subdomein.

In DMARC Report schakelde ik over naar hosted DMARC, zodat we onze policy makkelijker kunnen bijwerken. Er werd tijdelijk een CNAME ingesteld (TXT verwijderd):

_dmarc.dammegolf.be / dammegolf-be._d.dmarcinput.com

DMARC-record dammegolf.be op vandaag:

v=DMARC1; p=quarantine; rua=mailto:02487f361dd3.a@dmarcinput.com; ruf=mailto:02487f361dd3.f@dmarcinput.com; pct=50; sp=quarantine; adkim=r; aspf=r; fo=0

Youreka verzendt mails met dammegolf.be als afzender.

Via DMARC worden mails gerapporteerd die verzonden worden vanuit youreka-web2.level27.eu met dammegolf.be als afzender. Deze mails geven op vandaag aan niet SPF- of DKIM-aligned te zijn.

Omdat deze mails (wellicht confirmatiemails van de registratieapplicatie voor het B2B-netwerk) legitiem lijken, heb ik op eigen initiatief 'include:_mail.level27.eu' toegevoegd aan het betreffende TXT-record. Het volledige SPF-record voor het hoofddomein is nu: 

v=spf1 a mx ip4:81.82.254.56 include:_spf.mlsend.com include:spf.protection.outlook.com include:_mail.level27.eu ~all

SPF-alignment ga ik pas kunnen nazien nadat er opnieuw mails verzonden worden via Level27. Hieronder een screenshot van de situatie in juni:

DKIM-validatie dient nog geregeld te worden, zoals eerder gemeld.

Mails laat ik wel afleveren via 'relaxed' policy 'adkim=r'.

Er werden lekken gedetecteerd op de verouderde WordPress-site. Hierop werden een aantal plugins bijgewerkt en een aantal EOL-plugins uitgeschakeld.

Goed om te weten is dat SendGrid servicemails (wachtwoord-reset, bijv.) verzendt vanuit WordPress. Alle DNS-instellingen zijn oké, waardoor deze mails ook correct vertrekken en toekomen. Via DMARC-rapportering worden deze mails dan ook als 'compliant' gelabeld.

We dienen wel eens te achterhalen wie toegang heeft tot dit SendGrid-account, voor het geval dat ooit nodig zou zijn.

Op verzoek van ConXion werden deze drie CNAME-records ingesteld (scan-to-mail toepassing):

1. em8491.dammegolf.be / return.smtp2go.net
2. s8491._domainkey.dammegolf.be / dkim.smtp2go.net
3. link.dammegolf.be / track.smtp2go.net

Deze mails worden ondertussen – op enkele soft fails na – als compliant gerapporteerd via DMARC.

Deze handtekening is nodig om de inhoud van de mails te beschermen. Bovendien zorgt deze authenticatie ervoor dat mails beter afgeleverd worden.

Wellicht dient een publieke DKIM-key toegevoegd te worden als TXT-record. Dit dient opgevraagd te worden bij Youreka.

DMARC werd ingesteld op de nameserver. Rapporten worden geaggregeerd via DMARC Report. Deze tool – via MZT's abonnement – verwerkt inkomende XML-files van ontvangende mailservers.

Mailadres RUA/RUF aggregator: @dmarcinput.com

De policy is bij de start van deze monitoring ingesteld op 'none', wat sinds 2024 als minimum vereist wordt door e-mailproviders als Gmail, Yahoo, Outlook, …