Come configurare il DMARC

Questa guida fa parte della nostra guida completa al DMARC. Correlate: il record DMARC e il criterio DMARC.

Per configurare il DMARC, prima fai in modo che SPF e DKIM superino il controllo e siano allineati per il tuo dominio. Poi pubblica un record TXT DMARC su _dmarc.yourdomain.com iniziando da p=none con un indirizzo di reporting rua. Monitora i report aggregati per alcune settimane, correggi eventuali mittenti legittimi che non superano l’allineamento e solo allora alza il criterio a quarantine e infine reject.

Il DMARC lega insieme SPF e DKIM e indica ai riceventi cosa fare quando un messaggio non supera l’autenticazione. Fatto in modo affrettato, elimina silenziosamente posta reale. Fatto nell’ordine giusto, blocca il tuo dominio contro lo spoofing senza danneggiare la recapitabilità. Ecco il percorso pratico, passo dopo passo.

Prerequisiti: prima SPF e DKIM

Il DMARC non ha nulla da applicare per conto proprio. Verifica solo se SPF o DKIM ha superato il controllo e si è allineato con il dominio nell’indirizzo From visibile. Se nessuno dei due è configurato, il DMARC non fa nulla di utile, quindi inizia da lì.

• Conferma che il tuo record SPF esista ed elenchi ogni servizio che invia per tuo conto. Usa lo SPF Checker per ispezionarlo e segui la guida alla configurazione SPF se hai bisogno di costruirlo o correggerlo.
• Configura la firma DKIM per ogni piattaforma di invio così i messaggi riportano una firma crittografica valida che si allinea con il tuo dominio.
• Mantieni SPF sotto il limite di 10 lookup. Troppi meccanismi include: causano un permerror, che fa fallire SPF e rompe l’allineamento — il motivo singolo più comune per cui il DMARC blocca la posta legittima. AutoSPF appiattisce automaticamente il tuo record così resti sotto il limite mentre aggiungi mittenti.

Una volta che sia SPF sia DKIM superano il controllo e si allineano, il DMARC ha qualcosa di reale da applicare.

Passo dopo passo

1. Conferma che SPF e DKIM superino il controllo e si allineino. Invia posta di prova a te stesso o a un indirizzo seed e controlla le intestazioni. Entrambi i meccanismi dovrebbero autenticarsi e almeno uno dovrebbe allinearsi con il tuo dominio From.
2. Pubblica un record DMARC iniziale. Aggiungi un record TXT su _dmarc.yourdomain.com con il valore v=DMARC1; p=none; rua=mailto:dmarc@example.com. p=none non applica ancora nulla — chiede solo ai riceventi di generare report. Consulta il record DMARC per ogni tag che puoi aggiungere.
3. Raccogli e leggi i report aggregati. L’indirizzo rua riceve report XML quotidiani dai riceventi che elencano quali origini hanno inviato a nome del tuo dominio e se hanno superato il controllo. Un visualizzatore di report li rende leggibili.
4. Correggi eventuali mittenti legittimi che non superano l’allineamento. Per ogni servizio reale che fallisce, aggiungilo a SPF, abilita DKIM per esso o correggi il dominio di invio — finché ogni origine genuina si autentica e si allinea.
5. Alza a p=quarantine. Una volta che i tuoi report sono puliti, passa a p=quarantine. Aumenta gradualmente con il tag pct (per esempio pct=25, poi 50, poi 100) così la posta non conforme finisce nello spam invece di andare persa mentre osservi eventuali sorprese.
6. Passa a p=reject. Quando la quarantena non mostra fallimenti legittimi, imposta p=reject. I riceventi ora bloccano del tutto la posta contraffatta. Questa è l’applicazione completa — leggi il criterio DMARC per capire esattamente cosa fa ciascun valore di criterio.
7. Verifica il tuo record. Conferma il record pubblicato e la sintassi con il DMARC checker dopo ogni modifica.

Quanto tempo richiede

Pubblicare il record richiede minuti; arrivare in sicurezza a reject richiede settimane. Prevedi da due a quattro settimane a p=none solo per avere un quadro completo dei tuoi mittenti — molti servizi inviano solo occasionalmente, quindi una finestra breve li manca. Trascorri altre poche settimane a quarantine con un aumento graduale di pct prima di applicare reject. Le grandi organizzazioni con molti mittenti terzi spesso impiegano un paio di mesi. Il monitoraggio è il lavoro; le modifiche DNS sono banali. Affrettare la tempistica è ciò che causa posta persa, non il record in sé.

Errori di configurazione comuni

• Passare direttamente a p=reject. Saltare la fase di monitoraggio none significa che qualsiasi mittente configurato in modo errato viene rifiutato silenziosamente dal primo giorno. Aumenta sempre gradualmente: none, poi quarantine, poi reject.
• Mittenti mancanti. Piattaforme di marketing, help desk, strumenti di fatturazione e CRM inviano tutti a nome del tuo dominio. Se applichi prima che appaiano nei report, la loro posta viene bloccata.
• Un record SPF danneggiato che uccide l’allineamento. Più di 10 lookup DNS innescano un permerror e fanno fallire SPF ovunque. Mantieni il record piatto e valido — è qui che la maggior parte delle distribuzioni DMARC si rompe silenziosamente.
• Non abbandonare mai p=none. Monitorare per sempre ti dà visibilità ma zero protezione. none è una linea di partenza, non una destinazione.

Domande frequenti

Come configuro il DMARC?

Per prima cosa assicurati che SPF e DKIM superino il controllo e si allineino per il tuo dominio. Poi pubblica un record TXT su _dmarc.yourdomain.com iniziando da p=none con un indirizzo di reporting rua. Monitora i report aggregati, correggi eventuali mittenti legittimi che falliscono e alza gradualmente il criterio a quarantine e poi reject.

Ho bisogno di SPF e DKIM prima del DMARC?

Sì. Il DMARC non ha nulla da applicare senza di essi — verifica solo se SPF o DKIM ha superato il controllo e si è allineato con il tuo dominio From visibile. Configura e verifica prima entrambi utilizzando lo SPF Checker e la tua configurazione DKIM, poi pubblica il DMARC al di sopra così ha risultati di autenticazione reali su cui agire.

Quanto tempo richiede la configurazione del DMARC?

Il record DNS richiede minuti, ma raggiungere un’applicazione sicura richiede settimane. Prevedi da due a quattro settimane a p=none per catturare ogni mittente, poi qualche settimana in più a quarantine con un aumento graduale di pct prima di passare a reject. I domini grandi con molti mittenti terzi possono impiegare un paio di mesi. Il monitoraggio, non il record, è il vero lavoro.

Con quale record DMARC dovrei iniziare?

Inizia con v=DMARC1; p=none; rua=mailto:dmarc@example.com pubblicato su _dmarc.yourdomain.com. Il criterio p=none non applica nulla e chiede semplicemente ai riceventi di inviare report al tuo indirizzo rua, così nessuna posta viene interessata mentre scopri quali origini inviano a nome del tuo dominio. Consulta il record DMARC per più tag.