Elke mail bounced DMARC policy

[hemiparo]

Mijn vraag:
Sinds een paar dagen wordt elke mail die ik stuur direct gebounced en komt het volgende bericht:

Bericht geblokkeerd
Je bericht aan *welke mail dan ook* is geblokkeerd. Bekijk de onderstaande technische details voor meer informatie.

Unauthenticated email from domeinnaam.nl is not accepted due to domain's DMARC policy. Please contact the administrator of domeinnaam.nl domain if this was a legitimate mail. To learn about the DMARC initiative, go to https://support.google.com/mail/?p=DmarcRejection 4fb4d7f45d1cf-60567278faasor712358a12.11 - gsmtp


Relevante software en hardware die ik gebruik
Mijn domeinen zijn ooit overgezet naar Google Workspace waar alles beheerd wordt. Ik heb beperkte kennis en het werkt al jaren zonder problemen, tot enkele dagen geleden dus. Zover bekend heb ik nergens instellingen aangepast of dingen veranderd. Ook bij mijn andere domeinen is dit aan de hand. Alles gaat dus via Google/Gmail en zover bekend kan ik daar ook geen aanpassingen doen.


Wat ik al gevonden of geprobeerd heb
Via andere mail diensten (Gmail direct, werkmail) lijkt het allemaal wel te werken dus het lijkt met mijn domeinen te maken te hebben. Is er ergens iets wat ik moet aanpassen maar zoals aangegeven: geen idee wat er anders zou kunnen zijn?

Ontvangen gaat (gelukkig) wel zonder problemen.

[GarBaGe]

DMARC is per definitie gedefinieerd op het domeinnaam van de verstuurder.
Het lijkt erop dat je email verstuurd namens een domeinnaam.nl, waarbij je zelf niet voldoen aan de DMARC eisen van je eigen domeinnaam.
Er zijn diverse online tools, die je kunnen helpen om de DMARC records van je domeinnaam op te vragen.

Als het je eigen domein is, kan je kiezen om:
1. wel te voldoen aan je eigen DMARC eisen
2. de eisen op je DMARC te verlagen, zodat je daarmee automatisch voldoet (bijvoorbeeld "p=none")

[pistole]

Wat @GarBaGe zegt. Wees ook scherp: áls je DMARC gebruikt en verplicht hebt gesteld, dan móeten alle versturende systemen zich hieraan houden.

[Exception]

Je kunt eens een mail sturen naar een tijdelijk e-mailadres wat je kunt krijgen van mail-tester.com, vervolgens kun je zien wat er moet worden ingesteld of gecorrigeerd.

[hemiparo]

GarBaGe schreef op vrijdag 30 mei 2025 @ 10:46:
DMARC is per definitie gedefinieerd op het domeinnaam van de verstuurder.
Het lijkt erop dat je email verstuurd namens een domeinnaam.nl, waarbij je zelf niet voldoen aan de DMARC eisen van je eigen domeinnaam.
Er zijn diverse online tools, die je kunnen helpen om de DMARC records van je domeinnaam op te vragen.

Als het je eigen domein is, kan je kiezen om:
1. wel te voldoen aan je eigen DMARC eisen
2. de eisen op je DMARC te verlagen, zodat je daarmee automatisch voldoet (bijvoorbeeld "p=none")

Zou ik dit in de instellingen van Google Workspace kunnen aanpassen/controleren?

Exception schreef op vrijdag 30 mei 2025 @ 10:51:
Je kunt eens een mail sturen naar een tijdelijk e-mailadres wat je kunt krijgen van mail-tester.com, vervolgens kun je zien wat er moet worden ingesteld of gecorrigeerd.

Je bericht is gezakt voor de DMARC test

Je hebt geen toestemming om een bericht te verzenden met dit adres

DMARC DNS vermelding gevonden voor het domein _dmarc.domeinnaam.nl:

"v=DMARC1;p=reject;"
Details verificatie:

mail-tester.com; dmarc=fail header.from=domeinnaam.nl
mail-tester.com; dkim=pass (2048-bit key; unprotected) header.d=domeinnaam-nl.20230601.gappssmtp.com header.i=@domeinnaam-nl.20230601.gappssmtp.com header.b=H14kSnv1; dkim-atps=neutral
From Domain: domeinnaam.nl
DKIM Domain: domeinnaam-nl.20230601.gappssmtp.com

(Voor alle duidelijkheid: op domeinnaam hoort natuurlijk mijn eigen naam te staan maar die hou ik liever even privé zolang dat kan)

Alvast dank voor de snelle reacties. Ik ben er ondertussen wel van overtuigd dat het 'iets' aan mijn kant is maar begrijp niet dat het 'opeens' niet meer werkt terwijl ik niks heb aangepast.
Ben onderweg dus kan helaas niet alles goed uitzoeken, vanavond meer tijd. Gelukkig is het probleem alleen met verzenden en niet ontvangen.

[Exception]

Volgens mij zie ik al waar het fout gaat; de DMARC-fout komt doordat het domein in het afzenderadres (domeinnaam.nl) niet overeenkomt met het domein dat is gebruikt voor de DKIM-handtekening (domeinnaam-nl.20230601.gappssmtp.com).

[ Voor 47% gewijzigd door Exception op 30-05-2025 11:12 ]

[bcome]

Heb je SPF ingesteld op je domein? DKIM validatie lijkt oké maar ik lees niks over SPF

[OnTracK]

Bij welke partij beheer je je DNS?
Heb je daar verstand van?

In je Google Admin kun je zien welke instellingen je moet maken in je DNS om correct mail te kunnen versturen.

[hemiparo]

Exception schreef op vrijdag 30 mei 2025 @ 11:11:
Volgens mij zie ik al waar het fout gaat; de DMARC-fout komt doordat het domein in het afzenderadres (domeinnaam.nl) niet overeenkomt met het domein dat is gebruikt voor de DKIM-handtekening (domeinnaam-nl.20230601.gappssmtp.com).

bcome schreef op vrijdag 30 mei 2025 @ 11:11:
Heb je SPF ingesteld op je domein? DKIM validatie lijkt oké maar ik lees niks over SPF

OnTracK schreef op vrijdag 30 mei 2025 @ 11:15:
Bij welke partij beheer je je DNS?
Heb je daar verstand van?

In je Google Admin kun je zien welke instellingen je moet maken in je DNS om correct mail te kunnen versturen.

En waar controleer ik dit/pas ik dit aan? Heb hier helaas geen ervaring mee/kennis van. Heb ook niet meer dan de instellingen van Google geloof ik... of wellicht via de hoster waar het domein actief is? Neem aan dat die de DNS beheert? Dat is via Strato en daar heb ik destijds gegevens moeten invoeren en daarna werkte het 'vanzelf'. Maar nu niet meer dus.

Voel me beetje dom en onwetend nu, wat dit betreft dan

[ Voor 25% gewijzigd door hemiparo op 30-05-2025 11:19 ]

[Jazzy]

hemiparo schreef op vrijdag 30 mei 2025 @ 11:07:
Je hebt geen toestemming om een bericht te verzenden met dit adres

DMARC DNS vermelding gevonden voor het domein _dmarc.domeinnaam.nl:

"v=DMARC1;p=reject;"

Met dit DMARC record vertel je aan ontvangende mailservers dat je de mail moeten weigeren als deze niet compliant is. Blijkbaar ben je hier niet klaar voor, dus zou de snelste klap nu zijn om je policy aan te passen naar none.

[OnTracK]

hemiparo schreef op vrijdag 30 mei 2025 @ 11:15:
[...]


[...]


[...]


En waar controleer ik dit/pas ik dit aan? Heb hier helaas geen ervaring mee/kennis van. Heb ook niet meer dan de instellingen van Google geloof ik... of wellicht via de hoster waar het domein actief is? Neem aan dat die de DNS beheert? Dat is via Strato en daar heb ik destijds gegevens moeten invoeren en daarna werkte het 'vanzelf'. Maar nu niet meer dus.

Voel me beetje dom en onwetend nu, wat dit betreft dan

Ja je hosting-partij beheert (typisch) ook je DNS.
Je eerste stap is dus de DNS record te vinden voor je domein(en) die zegt:
"v=DMARC1;p=reject;"

en deze aan te passen naar
"v=DMARC1;p=none;"

Dit is echter een tijdelijke oplossing, want effectief zeg je hier mee: "iedereen mag mail versturen vanuit mijn domeinnaam".

Daarnaa kun je inventariseren wat nodig is om het correct in te stellen.

Guides voor Google Workspace
voor SPF: https://support.google.com/a/answer/33786
voor DKIM: https://support.google.com/a/answer/174124
voor DMARC: https://support.google.com/a/answer/2466580

[ Voor 5% gewijzigd door OnTracK op 30-05-2025 11:33 ]

[hemiparo]

Ik waardeer de hulp maar het gaat echt boven mijn digitale pet... dat frustreert maar ook vooral: hoe kan het opeens niet meer werken. Maar goed, gaat om de oplossing natuurlijk.

Heb niet veel aan een tijdelijke oplossing idd, ook niet omdat het gewoon erg lastig is.

Ik ben wel bang dat ik hier echt gerichte stap voor stap dingen nodig heb, hopelijk willen jullie me daarmee helpen. Ben vooral bang iets verkeerds te doen waardoor ik ook niks meer kan ontvangen of nog erger...

Wil ook niet het forum of dit topic vervuilen met mijn onwetendheid... maar dat is al te laat denk ik!

[ Voor 9% gewijzigd door hemiparo op 30-05-2025 11:29 ]

[OnTracK]

Goed, misschien ben ik iets te hard als ik zeg dat het een tijdelijke oplossing is. Het is niet alsof het stuk gaat na een tijdje. Heel veel domeinen draaien nog steeds op een none-DMARC-policy.

Ik zeg vooral: Doe dit eerst, en lees je dan rustig in over de verschillende technieken die ervoor zorgen dat niemand spam kan versturen namens jou.

[Marc H]

Als dit zakelijk is, ga niet zelf experimenteren, maar haal er iemand bij die er verstand van heeft.

[Jazzy]

hemiparo schreef op vrijdag 30 mei 2025 @ 11:28:
Ik waardeer de hulp maar het gaat echt boven mijn digitale pet... dat frustreert maar ook vooral: hoe kan het opeens niet meer werken. Maar goed, gaat om de oplossing natuurlijk.

Je moet weten waar DNS voor je domeinnaam beheerd wordt, dit is doorgaans het bedrijf wat je elk jaar betaald om je domeinnaamregistratie te verlengen. In hun beheeromgeving kun je je DNS-records vinden, zoek daar het record wat als inhoud "v=DMARC1;p=reject;" heeft en pas dat aan in "v=DMARC1;p=none;". Als je dat zelf niet durft, neem dan even contact op met hun helpdesk.

[hemiparo]

Jazzy schreef op vrijdag 30 mei 2025 @ 11:47:
[...]

Je moet weten waar DNS voor je domeinnaam beheerd wordt, dit is doorgaans het bedrijf wat je elk jaar betaald om je domeinnaamregistratie te verlengen. In hun beheeromgeving kun je je DNS-records vinden, zoek daar het record wat als inhoud "v=DMARC1;p=reject;" heeft en pas dat aan in "v=DMARC1;p=none;". Als je dat zelf niet durft, neem dan even contact op met hun helpdesk.

Dank, hier ga ik vanavond mee beginnen en dan daarna rustig verder kijken. Of hier weer om hulp vragen.

Een laatste vraag: ik begrijp nog steeds niet hoe het 'opeens' niet meer kan werken. Is het iets van Google of van Strato (het is namelijk bij alle domeinen die daar gehost zijn).

[Aganim]

bcome schreef op vrijdag 30 mei 2025 @ 11:11:
Heb je SPF ingesteld op je domein? DKIM validatie lijkt oké maar ik lees niks over SPF

Wel of geen SPF heeft er in dit geval niets mee te maken, DKIM is geslaagd en dat is (normaal gesproken) voldoende. Het probleem is echter dat de headers niet aligned zijn, daardoor faalt DMARC alsnog.

[hemiparo]

En het werkt weer!
Gisteravond contact gehad met de klantenservice van Strato en bij de opmerking van mijn mail bounced gaf de medewerkster direct aan een nieuwe DMARC regel aan te maken... en het werkte! Ook voor alle andere domeinen gedaan.

Volgens de medewerkster kon het te maken hebben met een update aan de kant van Strato wat ik dan niet helemaal begrijp maar als het werkt is het goed.

Via mail-tester nu een 9 met de volgende opmerking, moet ik daar nog iets mee?

[SPF] domeinnaam.nl staat je server niet toe om [e-mail] te gebruiken
Sender Policy Framework (SPF) is een e-mail valideringssysteem ontworpen om spam e-mail te voorkomen door het herkennen van e-mail spoofing, een gangbare kwetsbaarheid, door het \nverifiëren van het IP adres van de verzender.
Je hebt geen SPF record, voeg één van de volgende toe aan je domein domeinnaam.nl:

v=spf1 a mx include:_spf.google.com ~all
De nameserver die verantwoordelijk is voor domeinnaam domeinnaam.nl is docks03.rzone.de.

Of zou ik nog het voorgestelde moeten toe (laten) voegen?

En, iedereen (nogmaals) heel erg dank voor de hulp, informatie en leesvoer!

[Aganim]

Ja, die wil je idealiter inderdaad ook nog toegevoegd hebben. 'mx' is overbodig als je Google Workspace gebruikt, als je nog andere partijen gebruikt die namens jouw domein mailen (MailChimp, marketingdiensten, etc) moeten die ook aan dit record toegevoegd worden middels een include.