Sinds begin november 2026 weigert Microsoft bepaalde e-mails naar Outlook.com, Hotmail en Live wanneer het verzendende domein geen DMARC-record heeft. Bij Hoasted kregen we hierover meerdere supporttickets. Daarom voegen we het ontbrekende record nu automatisch toe aan domeinen waarvan de DNS bij ons wordt beheerd.
Zo voorkomen we dat je e-mail onnodig wordt geweigerd en hoef je als klant of reseller niet ieder domein handmatig te controleren.
Wat is er veranderd bij Microsoft?
Vanaf vrijdag 6 november ontvingen we meerdere meldingen van klanten die geen e-mail meer konden versturen naar Microsoft-adressen. De terugmelding was telkens hetzelfde:
550 5.7.23 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records
Opvallend was dat dezelfde e-mails bij andere providers, zoals Gmail, wel aankwamen. Ook stond het SPF-record bij de meeste getroffen domeinen correct ingesteld.
De overeenkomst tussen deze domeinen was het ontbreken van een DMARC-record. Microsoft controleert de authenticatie van inkomende e-mail strenger, waardoor berichten zonder de vereiste authenticatiegegevens kunnen worden geweigerd.
Wat is een DMARC-record?
DMARC is een beveiligingsstandaard waarmee ontvangende mailservers kunnen controleren of e-mail daadwerkelijk namens een domein mag worden verstuurd. Het werkt samen met SPF en DKIM, twee technieken die helpen om vervalste e-mail en misbruik van domeinnamen tegen te gaan.
Het DMARC-record dat we standaard toevoegen is:
v=DMARC1; p=none;
De instelling p=none betekent dat het domein een DMARC-beleid heeft, maar dat ontvangende mailservers op basis van dit beleid geen berichten hoeven te weigeren of in quarantaine te plaatsen.
Dit is een veilige eerste stap om DMARC in te stellen zonder direct een strenger beleid af te dwingen. Het record vervangt geen correcte SPF- of DKIM-configuratie en garandeert op zichzelf geen aflevering.
Wat hebben we bij Hoasted gedaan?
Nieuwe domeinen krijgen bij Hoasted al jaren standaard een DMARC-record. Bij oudere domeinen en domeinen die vanuit andere hostingproviders zijn verhuisd, ontbrak dit record soms nog.
Bij de eerste meldingen hebben we het record handmatig toegevoegd. Daarmee werd het verzendprobleem voor de betreffende domeinen opgelost.
Omdat dit probleem meer klanten kan raken, hebben we het proces geautomatiseerd.
Onze automatische controle werkt als volgt:
- Alleen ontbrekende records toevoegen. Heeft een domein al een DMARC-record, bijvoorbeeld met
p=quarantine,p=rejectof via EasyDMARC? Dan wijzigen we niets. - Alleen DNS bij Hoasted aanpassen. We voegen uitsluitend records toe aan domeinen waarvan de DNS via onze nameservers wordt beheerd.
- Bestaand beleid respecteren. Heeft een bovenliggend domein al een DMARC-beleid dat ook voor een subdomein geldt? Dan voegen we geen onnodig extra record toe.
- Iedere wijziging controleren. Na het toevoegen controleren we of het record correct in onze DNS staat. Bij een afwijking stopt het proces direct.
96% van de domeinen had al DMARC
Op de eerste server waar we deze automatisering uitrolden, bleek 96% van de domeinen al een DMARC-record te hebben.
Bij de overige domeinen met DNS bij Hoasted hebben we het ontbrekende record toegevoegd. De wijzigingen waren direct beschikbaar op onze nameservers.
We controleren nu dagelijks of er nieuwe domeinen zonder DMARC-record zijn bijgekomen.
Voor resellers en webprofessionals betekent dit minder handmatige DNS-controles, minder supportvragen en een kleinere kans op problemen met e-mailaflevering bij Microsoft.
Moet je zelf iets doen?
In de meeste gevallen niet. Als de DNS van je domein bij Hoasted staat, verzorgen wij het ontbrekende DMARC-record automatisch.
Er zijn drie situaties waarin je zelf iets moet controleren.
1. Je DNS staat bij een andere provider
Beheer je de DNS van je domein ergens anders? Dan kunnen wij het record niet automatisch toevoegen.
Maak bij je DNS-provider een nieuw TXT-record aan met de volgende gegevens:
Naam: _dmarc
Type: TXT
Waarde: v=DMARC1; p=none;
Gebruik deze instelling alleen als er nog geen DMARC-record aanwezig is.
Bekijk onze handleiding DMARC-record toevoegen voor meer uitleg.
2. Je verstuurt e-mail via Microsoft 365
Gebruik je Microsoft 365 voor je e-mail? Controleer dan of je SPF-record de juiste Microsoft-verwijzing bevat:
include:spf.protection.outlook.com
Let erop dat een domein maar één SPF-record mag hebben. Gebruik je meerdere verzenddiensten, dan moeten deze in hetzelfde SPF-record worden opgenomen.
Lees hoe je SPF en DKIM correct instelt.
3. Je verstuurt e-mail via Google Workspace
Gebruik je Google Workspace? Controleer dan ook of DKIM daadwerkelijk is geactiveerd in de Google Workspace-beheeromgeving.
Alleen het plaatsen van een DKIM-record in de DNS is niet voldoende. Google moet de uitgaande e-mail ook daadwerkelijk ondertekenen.
Bekijk hiervoor onze handleiding Google Workspace DKIM activeren.
Minder handmatig werk, betrouwbaardere e-mail
Met deze automatische controle zorgen we ervoor dat ontbrekende DMARC-records bij domeinen met Hoasted DNS worden aangevuld, zonder bestaande instellingen te overschrijven.
Zo hoef je als klant of reseller niet zelf al je domeinen langs te lopen en beperken we problemen met e-mailaflevering.
Wil je om een specifieke reden geen DMARC-record op je domein? Of wordt je e-mail nog steeds geweigerd door Microsoft? Maak dan een supportticket aan. We kijken graag met je mee en kunnen je domein indien gewenst uitsluiten van de automatische controle.
