DMARC spiegato: policy e report
Cos'è esattamente DMARC?
DMARC è il terzo pilastro dell'autenticazione email, quello che sta sopra SPF e DKIM e li comprende. Il nome sta per Domain-based Message Authentication, Reporting and Conformance. SPF e DKIM controllano ciascuno un pezzo (quale server può inviare e se il messaggio è rimasto invariato), ma non dicono nulla su cosa deve succedere se un controllo fallisce. Questo vuoto lo colma DMARC.
DMARC fa due cose insieme. Stabilisce una policy: cosa deve fare il destinatario con un messaggio che non supera né SPF né DKIM? E gestisce i report: ricevi regolarmente panoramiche di chi invia a nome del tuo dominio, compresi i soggetti che lo fanno senza averne diritto.
C'è poi un concetto importante: l'alignment (allineamento). DMARC non richiede solo che SPF o DKIM vadano a buon fine, ma anche che il dominio di quel controllo coincida con il dominio che il lettore vede come mittente. Così eviti che qualcuno con una firma valida di un altro nome sembri comunque scrivere a nome tuo.
Cosa fa DMARC per te?
DMARC ti offre tre cose davvero utili.
- Controllo sugli abusi. Decidi tu cosa succede alla posta falsificata che si spaccia per il tuo dominio. Così rendi molto più difficili lo spoofing e il phishing a tuo nome.
- Visibilità tramite i report. I report mostrano quali server inviano posta a nome del tuo dominio. Utile per riconoscere le fonti legittime e scovare gli abusi.
- Deliverability e fiducia migliori. Una policy DMARC corretta dà ai grandi provider di posta una garanzia in più che la tua posta è autentica.
Dal 2024 i grandi provider di posta chiedono a chi invia in massa di pubblicare almeno una policy DMARC. Se la tua posta finisce comunque nello spam, leggi anche perché le tue email finiscono nello spam.
Come impostare bene DMARC?
Un record DMARC è un record DNS di tipo TXT su _dmarc.tuodominio.eu. Contiene la tua policy e l'indirizzo a cui inviare i report.
Un esempio semplificato:
v=DMARC1; p=none; rua=mailto:report@tuodominio.eu
v=DMARC1indica che si tratta di un record DMARC.p=è la tua policy:none(solo osservare),quarantine(nello spam) oreject(rifiutare).rua=è l'indirizzo a cui vengono inviati i report aggregati.
Il consiglio è di procedere con calma:
- Inizia con
p=none. Non cambi ancora nulla nella consegna, ma raccogli i report. - Guarda nei report quali fonti inviano posta a nome tuo e assicurati che tutte quelle legittime superino SPF e DKIM.
- Passa poi a
p=quarantinee infine ap=rejectquando sei sicuro che nulla di legittimo vada più perso.
A cosa fare attenzione:
- Non impostare mai DMARC subito su
reject. Senza una fase di osservazione rischi che la tua stessa posta venga rifiutata. - Assicurati prima che SPF e DKIM siano corretti. DMARC si basa su di essi; se non sono a posto, DMARC ottiene l'effetto contrario.
- Leggi i tuoi report. I report sono metà dell'utilità di DMARC; non ignorarli.
Se vuoi farlo da solo, segui la guida dedicata per configurare il record DMARC. Una definizione sintetica la trovi nel glossario alla voce DMARC.
DMARC si basa su SPF e DKIM
DMARC funziona solo se i due livelli sottostanti sono in ordine: SPF stabilisce quali server possono inviare, DKIM firma i tuoi messaggi e DMARC unisce tutto con una policy e i report. Per configurarli tutti e tre insieme usa la guida per configurare SPF, DKIM e DMARC insieme.
Come Mailflux se ne occupa per te
Con Mailflux non devi scrivere policy né decifrare report. Gestiamo noi SPF, DKIM e DMARC per il tuo dominio e sorvegliamo la reputazione IP dei nostri server di invio, così la tua posta arriva in modo affidabile e il tuo nome resta protetto. Ogni piano filtra inoltre spam, phishing e malware con il machine learning, con antivirus, antispam, antimalware e backup automatici di serie.
Ricevi email professionale sul tuo dominio, ospitata in Europa e conforme al GDPR, con autenticazione a due fattori opzionale. La policy dietro le quinte la gestiamo noi.
FAQ
Domande frequenti
Qual è la differenza tra DMARC, SPF e DKIM?
SPF stabilisce quali server possono inviare a nome tuo, DKIM firma il messaggio così una manipolazione salta all'occhio, e DMARC unisce i due: collega il controllo al mittente visibile e stabilisce cosa succede quando un controllo fallisce. DMARC aggiunge anche i report su chi invia posta a nome tuo.
Cosa significano `p=none`, `quarantine` e `reject`?
È la tua policy DMARC. none non cambia nulla nella consegna e ti permette solo di osservare tramite i report. quarantine manda nello spam la posta che non supera il controllo. reject la rifiuta del tutto. Passi gradualmente da none a reject quando sei sicuro che la posta legittima non vada persa.
Cosa faccio con i report DMARC?
I report mostrano quali server inviano posta a nome del tuo dominio, compreso l'uso non autorizzato. Li usi per verificare che tutte le tue fonti legittime superino SPF e DKIM e per scovare gli abusi. Solo quando tutto torna, rendi la tua policy più severa passo dopo passo.