Door Briolet: Misschien wel inconsistent, maar als laatste alinea van https://tools.ietf.org/html/rfc7489#section-6.6.1 lees ik: [...] Weet ik (heb ik bewust opgenomen in m'n eerste bijdrage). Door Briolet: Daar staat dat elk veld gecontroleerd moet worden en de strengste controle te gebruiken. Dus als één of meerdere from niet voldoen de strengste regel te hanteren die deze domeinen ingesteld hebben. Dat vind ik een onzin-oplossing. Sowieso is er maar 1 return-path-domein dat door SPF gecheckt wordt, dus wat is "het strengste"? Door Briolet: In dit geval heeft "mail.de" een dmarc policy van 'none' en waarschijnlijk is alleen deze afzender gecheckt door de software. Als daarop gecheckt zou zijn, hadden deze phishers heus wel een "sender-domein" gekozen waar dat wel goed geregeld is. Sterker, wellicht hebben ze die optie bewust nog niet ingezet om nog een kans te hebben zodra protonmail (of hun software-leverancier) de "fix" implementeert die jij voorstelt. In de DMARC spec had m.i. moeten staan dat ...