Record DMARC spiegato: esempi, tag e come passare da p=none a p=reject

Record DMARC: esempio e risposta breve

Un record DMARC adatto a quasi ogni dominio fin dal primo giorno è v=DMARC1; p=none; rua=mailto:[email protected], pubblicato come record TXT sull'host _dmarc.esempio.it. Questo record chiede ai server di posta destinatari di consegnare tutto come sempre, ma di inviarti ogni giorno un report su chi spedisce email con il tuo dominio nell'indirizzo del mittente (From). Quando i report mostrano che tutta la tua posta legittima supera il controllo, rendi più severa la policy DMARC un passo alla volta: prima quarantine, poi reject.

Questa guida ti offre record DMARC pronti da copiare per ogni fase, una tabella di tutti i tag definiti dalla specifica DMARC (RFC 7489), un piano sicuro per passare da p=none a p=reject, una guida alla lettura dei report aggregati e gli errori di configurazione che più spesso rompono DMARC. Per le basi, consulta la nostra panoramica su DMARC e la FAQ cos'è un record DMARC; questo articolo è dedicato agli esempi di record e all'implementazione.

In sintesi

• Un record DMARC è un unico record TXT su _dmarc.tuodominio. Deve iniziare con v=DMARC1 e contenere una policy p=.
• La policy DMARC ha tre valori: none (solo monitoraggio), quarantine (trattare la posta che fallisce come sospetta) e reject (rifiutare la posta che fallisce).
• Un messaggio supera DMARC quando SPF o DKIM superano il controllo e il dominio verificato è allineato con il dominio dell'indirizzo From visibile.
• Parti sempre da p=none con un indirizzo rua, leggi i report, correggi ogni mittente legittimo e poi passa a quarantine e reject.
• Un solo record DMARC per dominio. Due record sullo stesso host significano che nessuno dei due viene applicato.

Record DMARC: cos'è e come è fatto?

Un record DMARC è un'istruzione pubblicata nel DNS che dice ai destinatari cosa fare delle email che usano il tuo dominio senza autenticarsi correttamente, e dove inviare i report. Ha la forma di una breve riga di coppie tag=valore separate da punto e virgola, salvata come record TXT sul sottodominio _dmarc del dominio da cui invii. Se il tuo indirizzo mittente è [email protected], il record si trova su _dmarc.esempio.it. Il formato è sempre lo stesso: prima il tag di versione, poi la policy, poi i tag facoltativi in qualsiasi ordine.

Record DMARC nel DNS: cosa inserire in ogni campo

DMARC non sostituisce SPF né DKIM: si appoggia su di essi. Se non li hai ancora configurati, parti dalla nostra spiegazione di cos'è l'SPF di un'email e torna a DMARC quando entrambi sono attivi.

Esempi di record DMARC per ogni situazione

Gli esempi di record DMARC qui sotto usano esempio.it e indirizzi di report inventati. Sostituiscili con il tuo dominio e con una casella che leggi davvero (o l'indirizzo di uno strumento di analisi dei report).

1. Solo monitoraggio (p=none): il record di partenza

v=DMARC1; p=none; rua=mailto:[email protected]

Per la consegna non cambia nulla. I destinatari applicano il loro filtro abituale e ti inviano report aggregati. Usa questo record nelle prime settimane, mentre individui tutti i servizi che inviano email a nome del tuo dominio.

2. Mettere in quarantena una parte della posta che fallisce (p=quarantine con pct)

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

Un quarto dei messaggi che non superano DMARC viene trattato come sospetto (in pratica, di solito finisce nella cartella spam). Secondo la RFC 7489, il restante 75% viene gestito come se la policy fosse none. È un primo passo prudente verso l'applicazione della policy.

3. Quarantena completa

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Senza il tag pct, la policy si applica al 100% della posta che fallisce, perché 100 è il valore predefinito.

4. Applicazione totale (p=reject)

v=DMARC1; p=reject; rua=mailto:[email protected]

Si chiede ai destinatari di rifiutare ogni messaggio che non supera DMARC. È il record che impedisce ad altri di inviare email che dicono di provenire esattamente dal tuo dominio. Mantieni il tag rua: vuoi continuare a vedere cosa viene bloccato.

5. Policy diversa per i sottodomini (sp)

v=DMARC1; p=reject; sp=quarantine; rua=mailto:[email protected]

Il dominio principale è in reject, mentre la posta dei sottodomini come negozio.esempio.it senza un proprio record DMARC finisce in quarantena. Senza tag sp, i sottodomini ereditano il valore di p.

6. Allineamento stretto (adkim=s, aspf=s)

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected]

L'allineamento stretto richiede una corrispondenza esatta del dominio: una firma DKIM di mail.esempio.it non vale più per un indirizzo From su esempio.it. Usalo solo se sei sicuro che tutti i mittenti firmino e gestiscano i rimbalzi con l'esatto dominio From.

7. Dominio che non invia mai email

v=DMARC1; p=reject; sp=reject

Per un dominio parcheggiato o difensivo, rifiuta tutto. Abbinalo a un record SPF che non autorizza nessuno (v=spf1 -all). Un indirizzo rua qui è facoltativo, ma ti mostra chi tenta di abusare del dominio.

8. Più indirizzi di report e report di errore (ruf, fo)

v=DMARC1; p=none; rua=mailto:[email protected],mailto:[email protected]; ruf=mailto:[email protected]; fo=1

I report aggregati vanno a due caselle (separate da una virgola). I report di errore vanno a una terza, e fo=1 richiede un report di errore quando fallisce SPF o DKIM, non solo quando falliscono entrambi.

I tag DMARC spiegati: v, p, sp, rua, ruf, pct, adkim, aspf

La RFC 7489 definisce un piccolo insieme di tag DMARC. Solo v e p sono obbligatori; tutti gli altri hanno un valore predefinito che si applica quando il tag manca.

Cosa fa ogni policy DMARC: none, quarantine o reject?

La policy DMARC indica ai destinatari come trattare la posta del tuo dominio che non supera DMARC. Riguarda solo la posta che fallisce: i messaggi che superano il controllo vengono consegnati secondo il normale filtro del destinatario.

Una policy quarantine o reject è ciò che blocca davvero chi mette il tuo dominio nell'indirizzo From delle proprie email. Il nostro articolo su come prevenire l'usurpazione di identità via email descrive questi attacchi e le altre difese che accompagnano DMARC.

DMARC funziona solo se SPF e DKIM sono configurati per ogni servizio che invia a nome del tuo dominio. Scopri come funziona l'autenticazione email con Mailpro™ e metti prima a posto queste basi.

Come funziona l'allineamento DMARC?

DMARC è superato quando almeno uno dei due controlli riesce ed è allineato con il dominio From: SPF passa e il dominio di ritorno (Return-Path) corrisponde al dominio From, oppure DKIM passa e il dominio di firma (il valore d= della firma) corrisponde al dominio From. Superare SPF o DKIM sul dominio di qualcun altro non basta.

Ecco come funziona l'allineamento per un messaggio con indirizzo From visibile [email protected]:

• DKIM firmato con d=esempio.it: allineato sia in modalità rilassata sia stretta.
• DKIM firmato con d=mail.esempio.it: allineato in modalità rilassata (stesso dominio organizzativo), non allineato in modalità stretta.
• DKIM firmato con d=piattaforma-invio.net: DKIM può passare, ma non è allineato, quindi non conta per DMARC.
• Return-Path su rimbalzi.esempio.it e SPF che passa: allineato in modalità rilassata, non in modalità stretta.

È il motivo più comune per cui un dominio non supera DMARC anche se nelle intestazioni compare «SPF e DKIM pass»: passano per il dominio del servizio di invio, non per il tuo. La soluzione è configurare in ogni servizio la firma DKIM con il tuo dominio, ed è anche il motivo per cui le notifiche di un negozio online finiscono nello spam; la nostra guida sulle conferme d'ordine nello spam mostra questa configurazione per un e-commerce.

Come aggiungere un record DMARC al DNS

Per aggiungere un record DMARC, crea un record TXT sull'host _dmarc del tuo dominio nel pannello DNS di chi gestisce il tuo DNS (registrar, hosting o provider DNS).

1. Verifica che non esista già un record DMARC. Interroga i record TXT di _dmarc.tuodominio. Se ce n'è già uno, modificalo invece di aggiungerne un secondo.
2. Crea una casella o un alias per i report, per esempio report-dmarc@tuodominio. I report arrivano come allegati XML compressi, quindi un indirizzo dedicato evita di intasare le caselle di lavoro.
3. Aggiungi il record TXT: host _dmarc, valore v=DMARC1; p=none; rua=mailto:report-dmarc@tuodominio.
4. Salva e attendi la propagazione DNS, di solito da pochi minuti a qualche ora a seconda del TTL.
5. Interroga di nuovo il record per confermare che restituisce un solo valore che inizia con v=DMARC1.

Se invii con Mailpro, la nostra FAQ passo passo su come configurare DMARC con Mailpro copre la parte relativa all'account.

Come passare da p=none a p=reject, passo dopo passo

Passare da p=none a p=reject in sicurezza significa dimostrare, con i report, che ogni fonte legittima della tua posta supera DMARC prima di chiedere ai destinatari di bloccare ciò che fallisce. I tempi qui sotto sono un esempio di implementazione prudente per un dominio con diversi servizi di invio; un piccolo dominio con un solo mittente può procedere più in fretta, una grande organizzazione più lentamente.

1. Settimane da 1 a 4: pubblica p=none con rua. Lascia accumulare i report per almeno un ciclo di attività completo, in modo che compaiano fatture mensili, newsletter ed email di sistema rare.
2. Elenca tutti i mittenti. Raggruppa le righe dei report per origine e associa ognuna a un servizio: il tuo provider di posta, la piattaforma di newsletter, il negozio online, il CRM, l'helpdesk, il software di fatturazione, stampanti e scanner che inviano email.
3. Correggi ogni mittente legittimo. Aggiungilo a SPF se usa il tuo Return-Path e configura la firma DKIM con il tuo dominio. Attendi nuovi report per confermare che ora passa con allineamento.
4. Passa a p=quarantine; pct=25. Tieni d'occhio i report e la casella dell'assistenza per una o due settimane. Poi porta pct a 50 e quindi a 100 (o rimuovi pct, visto che 100 è il valore predefinito).
5. Passa a p=reject; pct=25 e aumenta allo stesso modo. Con pct inferiore a 100 su una policy reject, la RFC 7489 prevede che il resto della posta che fallisce venga messo in quarantena.
6. Resta su p=reject e continua a leggere i report. Ogni nuovo strumento che invia a nome del tuo dominio ha bisogno di SPF e DKIM prima di entrare in funzione, altrimenti la sua posta verrà rifiutata.

Alcuni provider di posta si aspettano già un record DMARC dai mittenti di grandi volumi. Il nostro articolo sulle nuove regole per Gmail e Yahoo spiega il ruolo di DMARC in queste regole.

Come leggere i report aggregati DMARC

I report aggregati DMARC sono file XML, di solito compressi in zip o gzip, che un destinatario invia al tuo indirizzo rua per riassumere tutta la posta vista dal tuo dominio in un periodo, di norma un giorno. Ogni report elenca gli indirizzi IP di invio con il numero di messaggi e i relativi risultati SPF, DKIM e DMARC. Puoi aprirli con un editor di testo, ma uno strumento che li elabora e li trasforma in grafici è molto più rapido quando i volumi crescono.

Quando analizzi un report, classifica ogni riga in uno di questi quattro casi:

• Servizio noto, DMARC pass: nulla da fare.
• Servizio noto, DKIM pass ma non allineato: il servizio firma con il proprio dominio. Configura DKIM con il tuo dominio in quel servizio.
• Servizio noto, SPF fail: il servizio manca nel tuo record SPF, oppure usa un proprio Return-Path (in quel caso affidati a un DKIM allineato).
• IP sconosciuto, tutto fallisce: o un sistema interno dimenticato (trovalo), o qualcuno che invia email a nome del tuo dominio, esattamente ciò che quarantine e reject fermeranno.

Anche la posta inoltrata o passata da una mailing list può risultare in errore, perché l'inoltro di solito rompe SPF e il software delle liste può modificare il messaggio e rompere DKIM. Una piccola quota stabile di errori provenienti da server di inoltro è normale e non è un motivo per restare su p=none.

Errori comuni nel record DMARC e come correggerli

La maggior parte dei problemi DMARC nasce da pochi errori di configurazione e di implementazione:

• Due record DMARC sullo stesso host. Secondo la RFC 7489, i destinatari ignorano allora DMARC per il dominio. Uniscili in un unico record.
• v=DMARC1 non in prima posizione o scritto male (DMARC 1, dmarc1 con uno spazio, virgolette iniziali). Il record non viene riconosciuto.
• Record sull'host sbagliato. Alcuni pannelli DNS aggiungono il dominio automaticamente, quindi scrivere _dmarc.esempio.it crea _dmarc.esempio.it.esempio.it. In quei pannelli scrivi solo _dmarc.
• rua senza mailto:, oppure indirizzi separati da punto e virgola invece che da virgole. I report non arrivano mai.
• Indirizzo di report su un altro dominio senza autorizzazione. Se esempio.it invia i report a un indirizzo di report.esempio.net, il dominio ricevente deve pubblicare un record TXT su esempio.it._report._dmarc.report.esempio.net con valore v=DMARC1, altrimenti i destinatari non invieranno i report.
• Saltare direttamente a p=reject. Qualsiasi mittente dimenticato, come lo strumento di fatturazione o il modulo di contatto del sito, si vedrà rifiutare la posta.
• Allineamento stretto come impostazione di base. adkim=s e aspf=s rompono i servizi che firmano o gestiscono i rimbalzi da un sottodominio. L'allineamento rilassato è il predefinito per una buona ragione.
• Restare su p=none per sempre. Il solo monitoraggio non impedisce a nessuno di usare il tuo dominio. Pianifica il passaggio all'applicazione fin dall'inizio.
• Dimenticare i sottodomini. Senza sp, i sottodomini ereditano p, che di solito è ciò che vuoi, ma verifica che ogni sottodominio che invia email compaia nei report prima di arrivare a reject.

Quando il tuo dominio è in quarantine o reject, soddisfi uno dei requisiti per mostrare il tuo logo accanto alle email; la nostra guida a BIMI spiega il resto. Per una definizione breve da condividere con i colleghi, consulta la definizione di DMARC nel glossario.

Domande frequenti sul record DMARC

Qual è un buon esempio di record DMARC per iniziare?

Inizia con v=DMARC1; p=none; rua=mailto:report-dmarc@tuodominio, pubblicato come record TXT su _dmarc.tuodominio. Non cambia nulla per la consegna e attiva i report di cui hai bisogno prima di applicare una policy.

Cosa significa «la policy DMARC non è abilitata»?

«Policy DMARC non abilitata» significa che il tuo dominio non ha un record DMARC, o ne ha uno con p=none, quindi ai destinatari non viene chiesto di intervenire sulla posta che fallisce. Pubblicare un record e passare a quarantine o reject risolve il problema; la nostra FAQ sull'avviso la politica DMARC non è abilitata spiega il messaggio in dettaglio.

p=none è sufficiente?

p=none basta per ricevere report e avere un record DMARC pubblicato, ma non protegge il tuo dominio. Solo quarantine o reject chiedono ai destinatari di fermare la posta che non supera DMARC.

I sottodomini hanno bisogno di un proprio record DMARC?

No. Se un sottodominio non ha un record DMARC, i destinatari usano il record del dominio organizzativo e applicano il suo valore sp, oppure p se sp manca. Pubblica un record _dmarc separato su un sottodominio solo se gli serve una policy diversa.

Quanto tempo serve per ricevere i report DMARC?

I report aggregati vengono di solito inviati una volta al giorno, perché l'intervallo predefinito nello standard DMARC è di 86.400 secondi. Aspettati i primi entro uno o due giorni dalla pubblicazione del record, dai destinatari che hanno visto posta del tuo dominio.