DMARC is nu een officiële internetstandaard voor e-mailbeveiliging
Wat verandert er door de nieuwe RFC's?
Ruim een jaar geleden schreven we over een belangrijke update van DMARC, de internetstandaard die helpt om phishing en e-mailspoofing tegen te gaan. Inmiddels is die update officieel doorgevoerd.
Voor organisaties die DMARC al gebruiken verandert er in de praktijk weinig. Toch is de nieuwe standaard een belangrijke mijlpaal voor de beveiliging van e-mail.
Wat is DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) helpt ontvangende mailservers om te controleren of een e-mail daadwerkelijk afkomstig is van de afzender die in het bericht staat vermeld.
De standaard bouwt voort op SPF en DKIM, 2 andere technieken voor e-mailauthenticatie. Met DMARC kan een domeinnaamhouder bovendien aangeven wat een ontvangende mailserver moet doen als een bericht niet door deze controles komt. Bijvoorbeeld afleveren, als spam markeren of volledig weigeren.
Daardoor wordt het voor kwaadwillenden veel lastiger om een domeinnaam te misbruiken voor phishing of andere vormen van e-mailfraude.
Wie meer wil weten over de werking van DMARC kan terecht in ons eerdere artikel over deze standaard.
Bewezen in de praktijk
DMARC werd al in 2015 vastgelegd in RFC 7489. Opvallend genoeg had deze specificatie destijds niet de status van officiële internetstandaard. Het document werd gepubliceerd als een zogeheten Informational RFC.
In de jaren daarna groeide DMARC uit tot een van de belangrijkste standaarden voor e-mailbeveiliging. Grote e-mailproviders, overheden en organisaties over de hele wereld gebruiken de techniek inmiddels om hun domeinnamen te beschermen tegen misbruik.
De internetgemeenschap vond daarom dat het tijd was voor een volgende stap. De standaard is herzien en opnieuw gepubliceerd als een officiële IETF-standaard.
Wat is er veranderd met de update?
De oorspronkelijke specificatie uit 2015 is vervangen door 3 nieuwe RFC's.
RFC 9989 beschrijft de werking van DMARC zelf. Daarnaast zijn de rapportagefuncties ondergebracht in 2 aparte documenten: RFC 9990 beschrijft de zogeheten aggregate reports, waarmee domeinnaamhouders inzicht krijgen in al het e-mailverkeer dat namens hun domein wordt verstuurd. RFC 9991 behandelt failure reports, die informatie bevatten over individuele berichten die een authenticatiecontrole niet doorstaan.
De nieuwe documenten bevatten vooral verduidelijkingen en verbeteringen op basis van meer dan 10 jaar praktijkervaring. Onderdelen die weinig werden gebruikt zijn vereenvoudigd of vervallen. Ook zijn verschillende onduidelijkheden uit de oorspronkelijke specificatie opgelost.
Voor organisaties die DMARC al hebben geïmplementeerd zijn meestal geen grote wijzigingen nodig. Bestaande DMARC-records blijven in de meeste gevallen gewoon werken.
Waarom is deze stap belangrijk?
De nieuwe standaard laat vooral zien dat DMARC volwassen is geworden.
Waar de oorspronkelijke specificatie nog vooral beschreef hoe de techniek werkte, is DMARC nu officieel opgenomen in het standaardisatietraject van de IETF. Daarmee krijgt de standaard een steviger fundament voor toekomstige doorontwikkeling.
Voor organisaties die DMARC nog niet gebruiken, is dit bovendien een goed moment om ermee aan de slag te gaan. De standaard is breed geaccepteerd, wordt door grote mailproviders ondersteund en speelt een belangrijke rol bij het voorkomen van phishing en domeinnaammisbruik.
Zelf aan de slag
Wil je DMARC implementeren of controleren of je domeinnaam correct is beschermd? Op onze pagina over e-mailbeveiliging vind je praktische uitleg over DMARC, SPF, DKIM en andere moderne internetstandaarden voor veilige e-mail.
SIDN stimuleert de adoptie van deze standaarden ook via de Registrar Scorecard. Registrars die moderne internetstandaarden toepassen voor de domeinnamen die zij beheren, kunnen hiervoor worden beloond.
Let op: op het moment van publicatie ondersteunt Internet.nl nog niet alle onderdelen van de nieuwe DMARC-standaard (RFC 9989). Daardoor kunnen sommige DMARC-records die volgens de nieuwe standaard geldig zijn, toch een melding of afkeuring opleveren. Naar verwachting wordt de controle op een later moment aangepast.
Wat verandert er technisch aan DMARC?
De nieuwe DMARC-specificatie blijft grotendeels compatibel met bestaande implementaties. Een bestaand DMARC-record blijft gewoon werken. Wel zijn er enkele technische wijzigingen doorgevoerd.
Er zijn 3 nieuwe tags toegevoegd:
np(non-existent subdomain policy): maakt het mogelijk om een apart beleid te definiëren voor niet-bestaande subdomeinen. Daarmee wordt het moeilijker om verzonnen subdomeinen te misbruiken voor spoofing.t(testing mode): ondersteunt een gecontroleerde invoering van strengere DMARC-beleidsregels. Hiermee kunnen organisaties eerst ervaring opdoen voordat beleid volledig wordt afgedwongen.psd(public suffix domain): bedoeld voor beheerders van publieke domeinstructuren, zoals topleveldomeinen en vergelijkbare omgevingen.Tegelijkertijd zijn enkele tags verwijderd die in de praktijk weinig werden gebruikt of nauwelijks werden ondersteund. Het gaat onder meer om
pct(percentage policy),rf(report format) enri(report interval).
Voor de meeste domeineigenaren verandert er daardoor weinig. De belangrijkste winst zit in een duidelijkere standaard en betere ondersteuning van moderne e-mailomgevingen.
