Guida
Verifica DMARC: leggere un record DMARC tag per tag
DMARC dice ai server di posta che ricevono cosa fare con i messaggi che dichiarano di venire dal tuo dominio ma non superano SPF e DKIM. Un record sbagliato fa passare la posta contraffatta, oppure manda la tua posta nello spam. Ecco come controllarlo.
Dove si trova il record DMARC
DMARC è un record TXT su _dmarc. davanti al tuo dominio. Per example.com, interroga il record TXT di _dmarc.example.com:
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"Deve esistere esattamente un record di questo tipo. Con due record DMARC, i destinatari li ignorano entrambi.
I tag che contano
| Tag | Significato | Esempio |
|---|---|---|
v | Versione. Deve essere il primo e valere DMARC1. | v=DMARC1 |
p | Policy del dominio: none (solo report), quarantine (trattare come sospetto, di solito cartella spam) o reject (rifiutare il messaggio). | p=reject |
sp | Policy per i sottodomini. Di default uguale a p. | sp=quarantine |
pct | Percentuale di messaggi non conformi a cui si applica la policy, da 0 a 100. Di default 100. | pct=25 |
rua | Dove vengono inviati i report aggregati. | rua=mailto:dmarc@example.com |
ruf | Dove vengono inviati i report sui singoli errori. Molti provider non li inviano. | ruf=mailto:forensic@example.com |
adkim, aspf | Modalità di allineamento per DKIM e SPF: r relaxed (i sottodomini corrispondono, default) o s strict. | adkim=s |
p=none, quarantine o reject?
- p=none non protegge nulla; i destinatari inviano solo report. Usalo per qualche settimana per capire chi invia posta a nome del tuo dominio.
- p=quarantine manda nello spam la posta che non supera il controllo. Un passo sicuro quando tutti i tuoi servizi lo superano.
- p=reject blocca del tutto la posta contraffatta. L’obiettivo per la maggior parte dei domini.
Un record con p=none e senza rua non ti dà né protezione né report, quindi non serve a nulla.
Come decide DMARC: l’allineamento
Un messaggio supera DMARC quando SPF o DKIM vengono superati e il dominio controllato corrisponde al dominio nell’intestazione From. SPF controlla il mittente della busta (Return-Path); DKIM controlla il dominio d= nella firma. Un servizio di newsletter che firma con il proprio dominio supera DKIM ma non l’allineamento DMARC, finché non configuri DKIM per il tuo dominio presso quel servizio.
Errori comuni
- Il record è sul dominio stesso invece che su
_dmarc. - Due record DMARC, oppure un record DMARC dentro un record SPF.
pctlasciato sotto 100 dopo i test, così la maggior parte della posta contraffatta viene ancora consegnata.- Passare a
p=rejectprima che ogni servizio di invio (CRM, helpdesk, newsletter) superi SPF o DKIM con allineamento. - Report inviati a un indirizzo di un altro dominio senza il record di autorizzazione di quel dominio.
Controlla anche SPF e DKIM
DMARC dipende dagli altri due. Un record SPF deve restare entro 10 lookup DNS, include annidati compresi, altrimenti fallisce con un errore permanente. Le chiavi DKIM si trovano sotto un nome di selettore (per esempio google._domainkey) che il DNS non può elencare, quindi devi conoscere il selettore usato dal tuo provider.