Vanaf 16 april 2026 draagt DMARC voor het eerst bij aan de Bitsight Security Rating van een organisatie, met een gewicht van 1% in de jaarlijkse update van het algoritme. Voor bedrijven die DMARC als "nice to have" hebben beschouwd, heeft die instelling nu meetbare gevolgen voor een score waarop verzekeraars, leveranciers en besturen vertrouwen bij het evalueren van cyberrisico's.
Wat is veranderd en waarom het belangrijk is
DMARC draagt nu bij aan de Bitsight Rating met een gewicht van 1%, overgeheveld van de categorie Gecompromitteerde Systemen. Dit maakt het trio van fundamentele e-mailgebaseerde risicovoerders compleet: Sender Policy Framework (SPF) domeinen, DomainKeys Identified Mail (DKIM) records en DMARC.
DMARC-graderingen waren al zichtbaar in het Bitsight-platform, maar voor deze update hadden ze geen invloed op de totale rating. DKIM en SPF hebben elk een gewicht van 1%, en organisaties die DMARC-beleid implementeren zien die investering nu direct teruggespiegeld in hun Bitsight Rating.
De 2026 Bitsight Ratings Algorithm Update is in preview beschikbaar vanaf 16 april. Om transparantie te waarborgen en organisaties tijd te geven zich voor te bereiden, biedt Bitsight een preview-venster van drie maanden voordat de update live gaat.
De inzet reikt ver voorbij een enkel percentage. Van bestuurskamers tot ratingbureaus, van verzekeraars tot regelgevers en van compliance officers tot SOC-analisten, Bitsight Security Ratings zijn verweven in het weefsel van wereldhandel. Het ratingsysteem van het platform correleert met inbreukwaarschijnlijkheid en wordt veel gebruikt door verzekeraars en financiële instellingen. Voor marketing- en groeiteams betekent dit dat een zwakke DMARC-positie nu indirect gevolgen kan hebben voor cyberassurantie-premies, leveranciersgoedkeuring en inkoopbeslissingen, niet alleen voor e-mailbezorging.
Wat DMARC werkelijk doet
DMARC is een e-mailverificatieprotocol dat voortbouwt op SPF en DKIM door domeineigenaars meer controle te geven over e-mailverificatie. Dit omvat de mogelijkheid om te vereisen dat SPF of DKIM slaagt zodat e-mail als geverifieerd wordt beschouwd, aan te geven welke maatregel mailservers moeten nemen bij mislukte verificatie (zoals afwijzen of isoleren van het bericht), en verificatiestatistieken van ontvangende mailservers op te vragen om de effectiviteit van hun implementatie te beoordelen.
Voor e-mailmarketingspecialisten heeft dit een directe dimensie in bezorging. Marketers realiseren zich dat DMARC niet alleen de beveiliging verbetert maar ook e-mailbezorging verhoogt. Wanneer ISP's zien dat een afzender een sterke verificatiehouding heeft, is het waarschijnlijker dat legitieme campagnes niet als spam worden gemarkeerd, wat kritiek is voor succes in e-mailmarketing.
De aanvaardingskloof die risico creëert
De uitdaging is dat de meeste organisaties nog niet volledig DMARC-handhaving hebben bereikt. DMARC-acceptatie onder topdomeinen steeg van 27,2% naar 47,7% tussen 2023 en 2025, een stijging van 75% in beveiligde domeinen, met handhavingsbeleidsregels (quarantaine en afwijzen) die in deze periode met 50% groeiden. Die groei klinkt bemoedigend, maar de details van handhaving vertellen een ander verhaal.
Geldig DMARC-gebruik groeide van 523.921 domeinen in 2023 naar 858.782 in 2025 en 937.931 begin 2026. Echter, p=none blijft het meest voorkomende beleid wereldwijd, en veel organisaties gebruiken DMARC nog steeds vooral voor zichtbaarheid in plaats van actieve bescherming. In 2026 bleven 525.996 domeinen op p=none.
Een p=none-beleid genereert rapportagegegevens maar blokkeert gespoofde of niet-geverifieerde e-mail niet. Analyse van de top 10 miljoen internetdomeinen toonde aan dat slechts 22,9% van domeinen die DMARC-rapportagegegevens naar zichzelf sturen een DMARC-afwijzingsbeleid hebben. Onder de nieuwe Bitsight-scoring zal een p=none-configuratie waarschijnlijk een lagere graad krijgen dan een volledig afgedwongen p=reject-beleid, wat betekent dat de ratingkloof tussen organisaties die handhaving hebben geïmplementeerd en die dat niet hebben gedaan binnenkort zichtbaar wordt in een externe score.
Hoe Bitsight DMARC gradeert
Aller domeinen met specifieke criteria genereren een DMARC-bevinding: domeinen beschermd door een DMARC-record en domeinen niet beschermd door een DMARC-record die aan een MX-record zijn gekoppeld. Als een MX-record aanwezig is en geen DMARC-record is geconfigureerd, resulteert dit in een bevinding met het probleem "Record does not exist" en een Bad graad.
Voor entiteiten zonder bijbehorende domeinen krijgen SPF en DKIM nu standaard N/A en hebben ze geen negatieve invloed op de rating. Eerder kregen deze entiteiten standaardgraderingen ondanks het ontbreken van domeinen om te evalueren.
Door DMARC naast SPF en DKIM te meten, versterkt Bitsight de mogelijkheid van de Rating om op bewijsvoering gebaseerde beschermingen tegen spoofing en phishing aan het licht te brengen, wat beveiligings- en riskoteams een duidelijkere, meer handelbare indicator geeft om een verbeterde e-mailbeveiligingspositie aan te tonen.
Wat e-mailmarketingspecialisten en bedrijfseigenaars nu moeten doen
Het preview-venster is een praktische mogelijkheid om de kloof voor scorewijzigingen te dichten. Dit zijn de stappen die het meest relevant zijn voor marketing- en groeiteams:
- Controleer uw huidige DMARC-record. Controleer of uw verzendingsdomeinen een geldige
_dmarcTXT-record in DNS hebben. Hulpmiddelen als MXToolbox kunnen dit in seconden verifiëren. - Ga voorbij
p=none. Een alleen-monitoring-beleid levert geen sterke Bitsight-graad op. Werk toe naarp=quarantineofp=rejectmetpct=100. Een actief beleid metp=rejectofp=quarantinedat op alle verificatiefouten werkt metpct=100is vereist voor de best mogelijke graad. - Controleer alle verzendingsdomeinen, ook niet-e-maildomeinen. Bitsight zoekt naar correct geconfigureerde SPF-records voor alle domeinen van een organisatie, zelfs die niet voor e-mailverzending worden gebruikt, omdat aanvallers e-mail van een domein kunnen proberen te spoofen, zelfs als de organisatie het niet voor e-mail gebruikt.
- Informeer stakeholders voordat de preview-periode eindigt. Veel organisaties delen hun Bitsight Rating met leveranciers, partners, besturen en verzekeraars. Het preview-period is een kans om deze stakeholders in te lichten en alignment te verzekeren.
De bredere gegevens maken duidelijk waarom dit belangrijk is. Landen met verplichte DMARC-vereisten tonen dramatisch verschillende phishing-aanvalspatronen. De VS reduceerde succesvolle phishing-bezorging van 69% naar 14%, terwijl landen zonder handhavingsmandate als Nederland een toename naar 97% zagen. Voor elke organisatie die e-mailmarketing op grote schaal beheert, is het zakelijke geval voor DMARC-handhaving nu zowel een beveiligingsargument als een ratingsargument.
