Waarom een p=none DMARC-policy een vals gevoel van veiligheid geeft

Waarom p=none vaak verkeerd wordt begrepen

Veel organisaties zeggen dat DMARC actief is. Dat kan technisch kloppen, maar met p=none kan je domein nog steeds grootschalig worden gespoofd.

p=none vertelt ontvangende servers dat ze moeten monitoren en rapporteren. Het geeft geen instructie om niet-geauthenticeerde mail te blokkeren.

Tegenwoordig kan p=none voor sommige verzendrichtlijnen aan de minimale DMARC-vereiste voldoen, maar dat mag niet worden verward met bescherming. Het biedt zichtbaarheid, geen handhaving. Voor productiedomeinen hoort het doel een gecontroleerd traject naar quarantine of reject te zijn zodra legitieme mailbronnen correct zijn uitgelijnd.

Wat p=none in de praktijk doet

• Publiceert een DMARC-record voor zichtbaarheid.
• Verzamelt aggregate rapporten via rua.
• Laat handhaving uitgeschakeld.

Waarom organisaties op p=none blijven hangen

• Angst om legitieme mail te verstoren.
• DMARC-rapporten zijn zonder context lastig te duiden.
• Veel externe verzenders maken alignment complex.
• Tijdelijke monitoring wordt permanent door uitstel.

Zakelijke impact van alleen monitoren

• Meer risico op phishing en impersonatie.
• Afnemend vertrouwen bij klanten en partners.
• Deliverability-schade door misbruiksignalen.
• Langzamere incidentrespons door ruis in data.

Hoe je veilig naar handhaving beweegt

Handhaving hoort gefaseerd en gecontroleerd te verlopen: breng alle legitieme verzendbronnen in kaart, zorg voor SPF- en DKIM-alignment, ga stapsgewijs van monitor naar quarantine en reject, en houd doorlopende monitoring actief.