DMARC-aggregatierapporten begrijpen — Wat de XML u vertelt
· DMARC Analyzer Pro
DMARC-aggregatierapporten bevatten essentiële gegevens over uw e-mailbeveiligingsstatus. Leer hoe u deze XML-rapporten leest en waar u op moet letten.
U heeft uw DMARC-record gepubliceerd, een RUA-adres ingesteld en de rapporten stromen binnen. Wat nu? De XML-bestanden die in uw inbox aankomen — soms tientallen per dag — bevatten een schat aan informatie, maar er handmatig wijs uit worden is een uitdaging.
Opbouw van een DMARC-aggregatierapport
Elk aggregatierapport volgt hetzelfde XML-schema. Op het hoogste niveau vindt u metadata over de rapporterende organisatie (de ontvangende server die het rapport heeft gegenereerd), het datumbereik dat het rapport bestrijkt en uw gepubliceerde DMARC-beleid. Daaronder bevat het rapport individuele ``-elementen, die elk een groep berichten vertegenwoordigen van hetzelfde bron-IP met identieke authenticatieresultaten.
Elk record bevat het bron-IP-adres, het aantal berichten van dat IP, het toegepaste beleid en de authenticatieresultaten voor zowel SPF als DKIM — inclusief of deze overeenkwamen met uw domein.
Waar u op moet letten
Het eerste dat u moet onderzoeken is de algehele slaag/faal-verhouding. Een gezond domein toont de overgrote meerderheid van berichten die zowel SPF als DKIM doorstaan met correcte afstemming. Als u een aanzienlijk aantal fouten ziet, moet u de bron-IP's onderzoeken.
Bekijk de bron-IP's voor mislukte berichten. Zijn ze van u? Als een bekend IP SPF niet doorstaat, heeft u waarschijnlijk een configuratieprobleem — misschien een verzenddienst die niet is opgenomen in uw SPF-record. Als de IP's onbekend zijn, kunnen ze toebehoren aan doorstuurservices (die SPF legitiem kunnen breken) of aan kwaadwillende actoren die uw domein proberen te spoofen.
Let speciaal op DKIM-afstemmingsfouten. Als een bericht DKIM doorstaat maar het ondertekeningsdomein niet overeenkomt met uw Van-domein, zal de DKIM-controle niet voldoen aan DMARC. Dit is een veelvoorkomend probleem bij externe verzenders die ondertekenen met hun eigen domein in plaats van het uwe.
Volume is belangrijk
Kijk niet alleen naar slaag/faal-percentages — kijk naar volumes. Een enkel IP dat duizenden berichten verstuurt die zowel SPF als DKIM niet doorstaan, is een sterke indicatie van een spoofingcampagne. Aan de andere kant zijn kleine aantallen fouten van bekende e-maildoorstuurservices meestal onschuldig.
Waarom u automatisering nodig heeft
De rapporten van één enkele dag kunnen gegevens bevatten van honderden unieke bron-IP's over tientallen rapporterende organisaties. Vermenigvuldigd over weken en maanden wordt het volume onbeheersbaar zonder specifieke tooling.
DMARC Analyser Pro verwerkt uw aggregatierapporten automatisch, extraheert de relevante datapunten en presenteert ze in overzichtelijke dashboards. U krijgt trendanalyse, anomaliedetectie en waarschuwingen — waardoor ruwe XML wordt omgezet in bruikbare intelligentie zonder handmatige inspanning.