DMARC

Il DMARC (Domain-based Message Authentication, Reporting & Conformance) è un criterio DNS che si basa su SPF e DKIM per bloccare lo spoofing del dominio. Utilizza l‘“allineamento” per verificare che il dominio autenticato corrisponda all’indirizzo From visibile, indica ai server di posta riceventi cosa fare quando un messaggio non supera i controlli (none, quarantine o reject) e ti invia report che mostrano chi sta inviando email a nome del tuo dominio.

Il DMARC è il livello che trasforma SPF e DKIM da controlli isolati in un criterio applicabile e monitorato. Senza di esso, un ricevente può verificare che un messaggio abbia superato SPF ma non ha comunque alcuna istruzione su cosa fare con la posta che fallisce, né alcun modo per dirti che è successo.

Come funziona il DMARC

Il DMARC non sostituisce SPF e DKIM; si colloca al di sopra di essi e aggiunge un test cruciale: l’allineamento. Un messaggio supera il DMARC se SPF o DKIM autentica il messaggio e il dominio autenticato si allinea con il dominio nell’intestazione From: visibile che i destinatari vedono effettivamente.

Quell‘“o” è importante. Un messaggio ha bisogno che solo uno dei due superi il controllo e si allinei:

• Allineamento SPF — il messaggio supera SPF e il dominio nel Return-Path (mittente di busta) corrisponde al dominio From.
• Allineamento DKIM — il messaggio riporta una firma DKIM valida e il dominio firmatario (d=) corrisponde al dominio From.

Se nessuno dei due autentica e si allinea, il messaggio non supera il DMARC e il ricevente applica il criterio che hai pubblicato. Questo passaggio di allineamento è ciò che blocca effettivamente lo spoofing: gli aggressori possono inviare da un’infrastruttura che supera SPF o DKIM per il loro dominio, ma non possono allinearla con il tuo indirizzo From.

Le parti del DMARC

Il DMARC si scompone in alcuni elementi collegati, ciascuno trattato nella propria guida:

• Che cos’è il DMARC — il concetto, perché esiste e dove si colloca accanto a SPF e DKIM.
• Il record DMARC — il record TXT che pubblichi su _dmarc.yourdomain.com e i tag al suo interno.
• Il criterio DMARC — il valore p= che imposta l’applicazione: none, quarantine o reject.
• Come configurare il DMARC — una distribuzione passo dopo passo, dal monitoraggio all’applicazione completa.

Un tipico record di applicazione ha questo aspetto:

v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=s; aspf=s

Qui p=reject blocca la posta non conforme, rua imposta l’indirizzo per i report aggregati e adkim=s / aspf=s richiedono un allineamento rigoroso.

Perché SPF è importante per il DMARC

È qui che la maggior parte delle implementazioni DMARC si rompe silenziosamente. Il DMARC dipende dal fatto che SPF (o DKIM) superi il controllo e si allinei, quindi se il tuo record SPF è danneggiato, il DMARC si indebolisce senza alcun avviso evidente.

L’errore più comune è il limite di 10 lookup di SPF. SPF limita a dieci il numero di lookup DNS che un record può innescare. Quando concateni i meccanismi include: per il tuo provider di posta, la piattaforma di marketing, l’help desk e il CRM, puoi superare quel tetto. Quando lo fai, SPF restituisce un PermError e molti riceventi lo trattano come un fallimento SPF. La tua posta legittima improvvisamente smette di superare l’allineamento SPF e il DMARC ora si appoggia interamente a DKIM, senza lasciare alcun margine di errore.

Per mantenere solido il DMARC, mantieni SPF in salute:

• Analizza il tuo dominio con lo SPF Checker per confermare che si risolva correttamente e rimanga sotto i dieci lookup.
• Rivedi la sintassi del tuo record SPF affinché ogni meccanismo e qualificatore sia corretto.
• Lascia che AutoSPF appiattisca e mantenga automaticamente il tuo record SPF, in modo che resti valido, sotto il limite di lookup e sempre allineato, il che mantiene l’allineamento DMARC saldo indipendentemente da quanti mittenti aggiungi.

Un record SPF valido non è opzionale per il DMARC. È una delle due fondamenta su cui il DMARC verifica l’allineamento.

Il DMARC nel quadro più ampio

Il DMARC è il livello di applicazione e reporting di un sistema in tre parti. Per capire come si incastrano i pezzi — SPF che autorizza i mittenti, DKIM che firma i messaggi e DMARC che decide cosa succede in caso di fallimento — inizia dall’hub sull’autenticazione email, poi confronta direttamente i ruoli con SPF vs DMARC e DKIM vs DMARC. Comprendere queste relazioni è il modo più rapido per distribuire il DMARC senza bloccare accidentalmente la tua stessa posta.

Controlla il tuo DMARC

Non sei sicuro che il tuo record DMARC sia pubblicato o impostato sul criterio giusto? Analizza il tuo dominio con il DMARC checker gratuito per vedere in pochi secondi il tuo record attuale, il criterio e le impostazioni di allineamento.

Domande frequenti

Che cos’è il DMARC?

Il DMARC è un criterio di autenticazione email basato su DNS che si fonda su SPF e DKIM. Pubblicato come record TXT, utilizza l’allineamento per confermare che il dominio autenticato corrisponda all’indirizzo From visibile, indica ai riceventi se consentire, mettere in quarantena o rifiutare la posta non conforme, e invia report aggregati così puoi vedere chi invia email a nome del tuo dominio.

Come funziona il DMARC con SPF e DKIM?

Il DMARC verifica i risultati di SPF e DKIM, poi aggiunge un test di allineamento. Un messaggio supera il DMARC se SPF o DKIM lo autentica e quel dominio autenticato si allinea con il dominio From che i destinatari vedono. Solo uno dei due deve superare il controllo e allinearsi, ma almeno uno deve farlo, altrimenti si applica il criterio che hai pubblicato.

Il DMARC è obbligatorio?

Il DMARC non è universalmente imposto, ma i principali provider di caselle di posta come Google e Yahoo ora lo richiedono per i mittenti di massa e molti framework di sicurezza lo prevedono. Anche dove è opzionale, pubblicare il DMARC è fortemente consigliato: è l’unico meccanismo che blocca lo spoofing del tuo dominio e ti segnala i mittenti non autorizzati.

Cosa significa p=reject?

p=reject è il criterio DMARC più rigoroso. Indica ai server riceventi di rifiutare qualsiasi messaggio che non supera l’autenticazione e l’allineamento DMARC, così la posta contraffatta viene bloccata del tutto invece di essere recapitata nello spam. Prima di passare a p=reject, conferma che tutti i tuoi mittenti legittimi superino l’allineamento SPF o DKIM, altrimenti rischi di bloccare la tua stessa posta valida.