DMARC-aggregaatroof lezen
Zodra DMARC rapportage vraagt, begint de wereld van de aggregaatroof: elke grote ontvanger die post voor jouw domein ziet, stuurt periodiek een XML-rapport — gebundeld in een zip of gzip. Daarin staat niet de inhoud van berichten, maar wie er namens je domein onderweg was, via welke routes, en met welk authenticatie-resultaat.
De DMARC-rapportlezer pakt die roof uit en leest hem in jouw browser: rapporteur, beleid, de dispositions (onder welke policy de post viel), de authenticatie-combinaties en de bron-IP's waar SPF en DKIM samen faalden. De roof zelf is het document; wat erin staat zegt wat de rapporteur meldde, niet wat de wereld is.
Dit artikel legt de kolommen uit en de volgorde waarin je een roof leest — want een roof van p=none is iets anders dan een roof na p=reject, en percentages zonder noemer zijn ruis.
Wat erin staat, en wat erin zelden staat
Een roof is aggregaat: aantallen per bron-IP, per header-from, per authenticatie-combinatie, per disposition. Individuele berichten en koppen staan er niet in — het is een overzicht van aantallen, geen inbox. Dat betekent ook: wat de roof níét meldt (post die nooit bij een rapporterende ontvanger aankwam) is geen nul, het is onbekend.
Dispositions: de policy die op dat moment gold
Elke regel in de roof draagt de disposition die de ontvanger gaf: none, quarantine, reject, of een van de specials (p_subcase, sp, fo). Onder p=none zie je het verkeer; onder p=reject zie je welk verkeer dan geblokkeerd zou zijn. De overgang tussen die twee — en de aantallen eronder — is precies het materiaal waarmee je DMARC dichtzet.
Authenticatie-combinaties: waar het echt faalt
De velden `spf` en `dkim` per regel laten zien of beide lagen uitkwamen, één faalde of beide faalden. Eén falende laag is vaak een legitieme forwarding-route; beide falend is meestal vreemde post. De groep regels waar beide lagen falen, samengevat per bron-IP, is de lijst die je wilt zien vóór je p=reject zet — en SPF, DKIM en DMARC uitgelegd stapelt die lagen weer op elkaar.
De roof als startpunt, niet als waarheid
Percentages in een roof zijn deel van wat de rapporterende ontvangers zagen, niet van wat er bestaat. Een hoge reject-disposition na een beleidswijziging kan een oude cache zijn — daarom staat de rapportdatum in het rapport en niet de datum van vandaag. Zie je iets vreemds, test dan de records zelf (SPF-naberekening, Mailbeveiliging) voordat je een beleid verbreed of intrekt.