Generatore record DMARC

Cos’è DMARC e perché ti serve?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) è il terzo pilastro dell’autenticazione email, basato su SPF e DKIM. Dice ai server di posta riceventi cosa fare quando un messaggio fallisce i controlli di autenticazione e dove inviare i report di tali fallimenti. Senza DMARC, avere SPF e DKIM è necessario ma non sufficiente — un attaccante può ancora falsificare l’indirizzo From visibile anche se SPF e DKIM passano su un altro dominio.

Gmail, Yahoo e Microsoft hanno reso DMARC un requisito per i mittenti bulk. I domini senza policy DMARC affrontano più filtraggio antispam e peggiore posizionamento in inbox presso i principali provider.

I tre livelli di policy DMARC

DMARC usa un rollout graduato con tre livelli di policy. La sequenza consigliata è partire da none, passare a quarantine e infine arrivare a reject.

• p=none — Solo monitoraggio. I messaggi falliti vengono consegnati normalmente, ma i report aggregati vanno all’indirizzo rua. Usalo per scoprire tutte le fonti di invio prima di applicare la policy.
• p=quarantine — I messaggi falliti finiscono in spam. Usalo dopo aver verificato che la posta legittima passi l’autenticazione.
• p=reject — I messaggi falliti vengono rifiutati del tutto. È la protezione più forte e l’obiettivo della maggior parte dei domini.

Capire l’allineamento DMARC

DMARC passa quando SPF o DKIM passano e il dominio autenticato si allinea con il dominio dell’header From. L’allineamento relaxed (r) consente corrispondenze di sottodominio — ad esempio, mail.example.com si allinea con example.com. L’allineamento strict (s) richiede corrispondenza esatta di dominio. Inizia con allineamento relaxed e passa a strict solo se hai un motivo specifico.

Report DMARC: rua vs ruf

Il tag rua specifica l’email per i report aggregati — riepiloghi XML giornalieri dei risultati di autenticazione da mittenti in tutto il mondo. Sono essenziali per capire la tua footprint di invio e individuare mittenti non autorizzati. Il tag ruf specifica l’indirizzo per i report forensi (di fallimento), con dettagli di singoli messaggi falliti. I report forensi sono meno supportati e possono contenere contenuto del messaggio, quindi richiedono una gestione più attenta.

Puoi ricevere report su qualsiasi email — anche su un altro dominio. Alcune organizzazioni usano servizi dedicati di elaborazione report DMARC per analizzare e visualizzare i dati XML aggregati.

Completare la configurazione di autenticazione email

DMARC funziona al meglio come strato finale su SPF e DKIM. Configura SPF per autorizzare gli IP di invio, abilita la firma DKIM sul server o provider email e poi aggiungi una policy DMARC per collegare tutto e ricevere report.

L’autenticazione ti protegge dall’abuso di dominio. L’igiene delle liste protegge la reputazione del mittente. Usa verifica email per rimuovere indirizzi non validi prima di ogni invio, o controlla liste grandi con verifica email in bulk. Vedi prezzi per i piani di verifica.