Che cos'è il DMARC?

Questa guida fa parte della nostra guida completa al DMARC. Correlate: il record DMARC e il criterio DMARC.

Il DMARC - Domain-based Message Authentication, Reporting, and Conformance - è il protocollo che lega insieme SPF e DKIM in un framework unificato di autenticazione email. Senza DMARC, SPF e DKIM operano in modo indipendente e non esiste un modo standardizzato per indicare ai server riceventi cosa fare quando l’autenticazione fallisce, né per ricevere report sui risultati dell’autenticazione attraverso internet.

RFC 7489 definisce il DMARC come un meccanismo scalabile con cui un’organizzazione che invia posta può esprimere criteri e preferenze a livello di dominio per la validazione, la disposizione e il reporting dei messaggi. I server di posta riceventi possono utilizzare questi criteri per migliorare le decisioni sulla gestione della posta.

Il DMARC risolve tre problemi che SPF e DKIM da soli non possono risolvere:

1. Applicazione dei criteri - Indica ai server riceventi se rifiutare, mettere in quarantena o accettare i messaggi che non superano l’autenticazione
2. Allineamento - Richiede che il dominio autenticato da SPF o DKIM corrisponda al dominio nell’intestazione From visibile, colmando il divario in cui SPF o DKIM potrebbero passare su un dominio diverso da quello che vede il destinatario
3. Reporting - Fornisce un meccanismo di reporting standardizzato così i proprietari del dominio possono vedere esattamente chi sta inviando email utilizzando il loro dominio - e se quei messaggi superano o meno l’autenticazione

Come funziona il DMARC

La valutazione DMARC avviene dopo che SPF e DKIM sono già stati verificati. Il flusso è:

1. Il server ricevente verifica SPF (l’IP di invio è autorizzato dal record SPF del dominio?)
2. Il server ricevente verifica DKIM (il messaggio riporta una firma DKIM valida?)
3. Il server ricevente verifica l’allineamento DMARC (il dominio autenticato da SPF o DKIM corrisponde al dominio dell’intestazione From?)
4. Se né SPF né DKIM supera il controllo con allineamento, il server ricevente applica il criterio DMARC

L’intuizione chiave è che il DMARC non esegue un proprio controllo di autenticazione. Valuta i risultati di SPF e DKIM e vi aggiunge la verifica dell’allineamento e l’applicazione del criterio.

Il record DNS DMARC

Un record DMARC è un record DNS TXT pubblicato su _dmarc.yourdomain.com. Ecco un esempio tipico:

_dmarc.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-forensic@example.com; adkim=r; aspf=r; pct=100"

Tag	Significato	Valori
v=DMARC1	Versione (obbligatorio)	Sempre DMARC1
p=	Criterio (obbligatorio)	none, quarantine, reject
rua=	Destinatari dei report aggregati	URI mailto:
ruf=	Destinatari dei report forensi	URI mailto:
adkim=	Modalità di allineamento DKIM	r (relaxed) o s (strict)
aspf=	Modalità di allineamento SPF	r (relaxed) o s (strict)
pct=	Percentuale di messaggi a cui applicare il criterio	1-100 (predefinito 100)
sp=	Criterio per i sottodomini	none, quarantine, reject
fo=	Opzioni dei report forensi	0, 1, d, s

Puoi verificare il record DMARC di qualsiasi dominio utilizzando il DMARC Checker.

Criteri DMARC: none, quarantine, reject

Il tag p= è l’elemento più importante di un record DMARC. Indica ai server riceventi cosa fare con i messaggi che non superano l’allineamento sia SPF sia DKIM.

p=none (Solo monitoraggio)

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

Questo è il punto di partenza per la distribuzione del DMARC. Indica ai server riceventi di non intraprendere alcuna azione sui messaggi non conformi - recapitandoli normalmente. Lo scopo di p=none è raccogliere report aggregati così puoi vedere:

• Quali servizi stanno inviando email per tuo conto
• Se quei servizi superano SPF e DKIM
• Se l’allineamento è configurato correttamente
• Se qualche mittente non autorizzato sta utilizzando il tuo dominio

Usa p=none per almeno 2-4 settimane prima di passare a un criterio più rigoroso. Questo ti dà il tempo di identificare e correggere le fonti di invio legittime che non sono autenticate correttamente.

p=quarantine

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com; pct=25

La quarantena indica ai server riceventi di trattare i messaggi non conformi come sospetti. In pratica, questo di solito significa indirizzarli alla cartella spam o posta indesiderata. Il tag pct= ti consente di applicare il criterio di quarantena solo a una percentuale dei messaggi non conformi, permettendo una distribuzione graduale.

Una strategia di distribuzione comune è:

1. Inizia con p=quarantine; pct=10 - Applica la quarantena al 10% dei messaggi non conformi
2. Monitora i report per i falsi positivi
3. Aumenta a pct=25, poi pct=50, poi pct=100
4. Passa a p=reject una volta che sei sicuro

p=reject

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com

Il rifiuto indica ai server riceventi di bloccare completamente i messaggi che non superano l’allineamento sia SPF sia DKIM. Il messaggio non viene recapitato affatto - il mittente riceve un messaggio di rimbalzo.

p=reject fornisce la protezione più forte contro lo spoofing del dominio, ma deve essere distribuito con attenzione. Se una qualsiasi fonte di invio legittima non è autenticata correttamente, i suoi messaggi verranno rifiutati. Un’applicazione forte è sempre più importante man mano che le minacce di phishing basate sull’IA diventano più sofisticate.

Guida dettagliata: Dal monitoraggio all’applicazione: costruire una strategia DMARC scalabile

Allineamento DMARC: il pezzo mancante

L’allineamento è ciò che rende il DMARC fondamentalmente diverso dall’esecuzione di SPF e DKIM in modo indipendente. Senza allineamento, un aggressore potrebbe configurare SPF e DKIM per il proprio dominio e poi utilizzare quel dominio nel Return-Path o nella firma DKIM mentre falsifica il tuo dominio nell’intestazione From visibile. Il destinatario vedrebbe il tuo dominio, ma l’autenticazione starebbe in realtà verificando il dominio dell’aggressore.

Il DMARC colma questo divario richiedendo che almeno una delle seguenti condizioni sia vera:

• Allineamento SPF - Il dominio nel Return-Path (mittente di busta) corrisponde al dominio nell’intestazione From
• Allineamento DKIM - Il dominio nella firma DKIM (valore d=) corrisponde al dominio nell’intestazione From

Allineamento relaxed vs strict

Il DMARC supporta due modalità di allineamento per ciascun protocollo:

Allineamento relaxed (predefinito): Il dominio organizzativo deve corrispondere, ma i sottodomini sono consentiti.

• From: user@example.com con Return-Path: bounce@mail.example.com - Supera l’allineamento SPF relaxed
• From: user@example.com con d=mail.example.com - Supera l’allineamento DKIM relaxed

Allineamento strict: I domini devono corrispondere esattamente.

• From: user@example.com con Return-Path: bounce@mail.example.com - Non supera l’allineamento SPF strict
• From: user@example.com con d=example.com - Supera l’allineamento DKIM strict

La maggior parte delle organizzazioni dovrebbe iniziare con l’allineamento relaxed. L’allineamento strict è appropriato per ambienti ad alta sicurezza in cui il controllo dei sottodomini è critico.

Guide dettagliate:

• I tuoi identificatori SPF e DKIM sono allineati?
• Una spiegazione semplice delle leggi di conformità DMARC
• Correggere l’errore di allineamento SPF fallito

Reporting DMARC: visibilità sul tuo ecosistema email

Una delle funzionalità più preziose del DMARC è il suo meccanismo di reporting. I report DMARC ti danno visibilità su ogni email inviata utilizzando il tuo dominio - che tu l’abbia autorizzata o meno.

Report aggregati (rua)

I report aggregati sono documenti XML inviati dai server di posta riceventi (in genere quotidianamente) che riassumono i risultati dell’autenticazione per il tuo dominio. Includono:

• Gli indirizzi IP di origine che hanno inviato email utilizzando il tuo dominio
• Il numero di messaggi da ciascuna origine
• I risultati pass/fail di SPF e DKIM per ciascuna origine
• I risultati dell’allineamento DMARC
• Il criterio DMARC applicato ai messaggi non conformi

I report aggregati sono lo strumento principale per:

• Scoprire i mittenti non autorizzati che utilizzano il tuo dominio
• Identificare i servizi legittimi che non sono autenticati correttamente
• Monitorare l’efficacia del tuo criterio DMARC nel tempo
• Prepararsi agli aggiornamenti del criterio (da none a quarantine a reject)

I report aggregati grezzi sono in XML e difficili da leggere manualmente. Uno strumento di reporting DMARC dedicato come DMARC Report analizza questi report trasformandoli in dashboard leggibili, mostrandoti esattamente quali origini superano o non superano l’autenticazione. DMARC Report è il prodotto complementare di DuoCircle progettato specificamente per questo scopo: acquisisce i tuoi report aggregati e fornisce approfondimenti concreti, analisi delle tendenze e avvisi.

Guida dettagliata: Come utilizzare i report DMARC per risolvere gli errori SPF

Report forensi (ruf)

I report forensi (chiamati anche report di fallimento) vengono inviati quasi in tempo reale per i singoli messaggi che non superano il DMARC. Includono informazioni dettagliate sul messaggio specifico, comprese le intestazioni e talvolta contenuti parziali del messaggio.

I report forensi sono utili per:

• Indagare su specifici incidenti di spoofing
• Eseguire il debug dei fallimenti di autenticazione per singoli messaggi
• Identificare il punto esatto di fallimento nella catena di autenticazione

Nota sulla privacy: Molti server riceventi non inviano report forensi per motivi di privacy, e alcuni oscurano le informazioni personali dai report che inviano. Non fare affidamento sui report forensi come tua unica fonte di dati DMARC.

Il tag fo= controlla quando vengono generati i report forensi:

Valore	Significato
fo=0	Segnala se sia SPF sia DKIM falliscono (predefinito)
fo=1	Segnala se SPF o DKIM fallisce
fo=d	Segnala se DKIM fallisce
fo=s	Segnala se SPF fallisce

DMARC e anti-spam: problemi diversi

Un’idea sbagliata comune è che il DMARC sia uno strumento anti-spam. Non lo è. Il DMARC autentica l’identità del dominio - ti dice se il mittente è chi afferma di essere. Non valuta il contenuto del messaggio per caratteristiche di spam.

Un’email può superare il DMARC ed essere comunque spam (se il mittente è autenticato ma invia contenuti indesiderati). Al contrario, un’email legittima può non superare il DMARC (se l’autenticazione è configurata in modo errato). Il DMARC e i filtri anti-spam operano a livelli diversi e si completano a vicenda.

Guida dettagliata: DMARC e anti-spam non sono la stessa cosa!

Distribuire il DMARC: una strategia passo dopo passo

La distribuzione del DMARC dovrebbe seguire un approccio graduale per evitare di interrompere il recapito della posta legittima.

Fase 1: Preparazione

1. Verifica le tue fonti di invio - Documenta ogni servizio, server e piattaforma che invia email utilizzando il tuo dominio
2. Configura SPF - Assicurati che il tuo record SPF includa tutti i mittenti autorizzati
3. Configura DKIM - Imposta la firma DKIM per tutte le piattaforme di invio
4. Verifica l’allineamento - Conferma che i domini SPF e DKIM si allineino con il dominio della tua intestazione From

Fase 2: Monitoraggio (p=none)

1. Pubblica un record DMARC con p=none e un indirizzo rua= per i report aggregati
2. Configura un elaboratore di report DMARC (come DMARC Report) per analizzare i report in arrivo
3. Monitora i report per 2-4 settimane
4. Identifica e correggi eventuali fonti legittime che non superano l’autenticazione o l’allineamento

Fase 3: Quarantena

1. Aggiorna a p=quarantine; pct=10 per iniziare a indirizzare una piccola percentuale di messaggi non conformi allo spam
2. Monitora i report per i falsi positivi (posta legittima messa in quarantena)
3. Aumenta gradualmente il valore pct= man mano che cresce la fiducia
4. Una volta a pct=100 senza falsi positivi, passa alla Fase 4

Fase 4: Rifiuto

1. Aggiorna a p=reject per bloccare completamente i messaggi non autenticati
2. Continua a monitorare i report aggregati per eventuali nuovi servizi o configurazioni errate
3. Mantieni le tue configurazioni SPF e DKIM man mano che i servizi cambiano nel tempo

Guide dettagliate:

• Dal monitoraggio all’applicazione: costruire una strategia DMARC scalabile
• Come dovresti implementare il DMARC come MSP o azienda?
• Individuare le email contraffatte con il DMARC: una guida

Requisiti di conformità DMARC

Il DMARC sta diventando sempre più un requisito normativo e di settore, non solo una buona pratica. Lo stesso vale per la conformità SPF, che sta alla base dell’applicazione del DMARC.

Requisiti di Google e Yahoo (2024+)

Da febbraio 2024, Google e Yahoo richiedono l’autenticazione DMARC per i mittenti di massa (quelli che inviano più di 5.000 messaggi al giorno a indirizzi Gmail o Yahoo). I domini senza DMARC potrebbero riscontrare una recapitabilità ridotta.

Guida dettagliata: I principali provider di servizi email sottolineano la distribuzione del DMARC

PCI DSS 4.0

Il Payment Card Industry Data Security Standard (PCI DSS) versione 4.0 rende il DMARC obbligatorio per le organizzazioni che elaborano dati delle carte di pagamento, con piena applicazione a partire dal 2025.

Guida dettagliata: Il DMARC diventerà obbligatorio per la conformità PCI DSS entro il 2025

GDPR e protezione dei dati

I report aggregati DMARC forniscono visibilità sul traffico email che può aiutare le organizzazioni a soddisfare i requisiti del GDPR per la protezione dei dati e la notifica delle violazioni.

Guida dettagliata: Implementare il DMARC per ottenere visibilità e mantenere la conformità GDPR

Requisiti governativi

Diversi governi hanno reso obbligatorio o fortemente raccomandato il DMARC per i domini governativi, tra cui il Regno Unito (tramite l’NCSC), la Nuova Zelanda e gli Stati Uniti (tramite il BOD 18-01).

Guide dettagliate:

• I nuovi requisiti DMARC del governo neozelandese
• Strumenti DMARC efficienti necessari dopo i cambiamenti dell’NCSC del Regno Unito

DORA (Digital Operational Resilience Act)

Il regolamento DORA dell’UE si interseca con i requisiti DMARC per gli istituti finanziari.

Guida dettagliata: Il punto in cui DORA e DMARC si intersecano

Errori DMARC comuni e risoluzione dei problemi

554 5.7.5 Permanent Error in DMARC

Questo errore indica che un server ricevente ha rifiutato un messaggio in base al criterio DMARC. In genere significa che sia SPF sia DKIM non sono riusciti ad allinearsi con il dominio dell’intestazione From.

Guida dettagliata: Che cos’è l’errore 554 5.7.5 Permanent Error in DMARC e come risolverlo?

SPF supera ma DMARC fallisce

Questo accade quando SPF autentica il dominio del mittente di busta, ma quel dominio non corrisponde al dominio dell’intestazione From (fallimento dell’allineamento). La soluzione è configurare il mittente di busta per utilizzare il tuo dominio, oppure impostare DKIM con un dominio d= corrispondente.

Guide dettagliate:

• Come SPF, DKIM e DMARC lavorano insieme durante i fallimenti di autenticazione
• Come SPF e DMARC lavorano insieme per migliorare la sicurezza email

La posta inoltrata non supera il DMARC

L’inoltro delle email rompe SPF (l’IP del server di inoltro non è nel record SPF del dominio originale). Se DKIM non è configurato o il server di inoltro modifica il messaggio (rompendo la firma DKIM), il DMARC fallisce. La soluzione è assicurarsi che DKIM sia configurato correttamente, poiché le firme DKIM sopravvivono all’inoltro se il contenuto del messaggio non viene modificato.

La relazione tra DMARC e SPF

Il DMARC dipende fortemente dalla corretta configurazione di SPF. Se il tuo record SPF presenta errori - che superi il limite di 10 lookup DNS, contenga errori di sintassi o manchi di mittenti autorizzati - l’applicazione del DMARC farà sì che quei fallimenti di autenticazione si traducano in posta messa in quarantena o rifiutata. Scopri come correggere gli SPF troppi lookup DNS prima che rompano il DMARC. Consolida i tuoi include con un servizio di appiattimento SPF per rimanere sotto il limite di 10 lookup.

Prima di distribuire il DMARC in modalità di applicazione, verifica il tuo record SPF con lo SPF Checker e assicurati che il conteggio dei lookup DNS sia entro i limiti utilizzando lo SPF Validator.

Per i domini con record SPF complessi che si avvicinano al limite di lookup, AutoSPF fornisce un appiattimento SPF dinamico che mantiene automaticamente il tuo record entro i limiti - una base critica per un’applicazione DMARC affidabile.

DMARC Report - il prodotto complementare di DuoCircle

DMARC Report è la piattaforma dedicata di reporting e analisi DMARC di DuoCircle. È progettata per lavorare a fianco di AutoSPF per fornire una gestione completa dell’autenticazione email:

• AutoSPF gestisce il lato SPF - appiattimento dinamico, gestione dei lookup DNS e ottimizzazione del record SPF
• DMARC Report gestisce il lato della visibilità - analisi dei report aggregati, identificazione dei fallimenti di autenticazione, monitoraggio delle tendenze di conformità e avvisi sui problemi

Insieme, ti danno il pieno controllo sulla tua postura di autenticazione email. DMARC Report acquisisce i tuoi report aggregati rua=, normalizza i dati e presenta dashboard concrete che ti mostrano esattamente quali mittenti superano o non superano l’autenticazione per il tuo dominio.

Strumenti diagnostici

• DMARC Checker - Convalida il tuo record DMARC e verifica i problemi di configurazione comuni
• Domain Auth Checker - Controllo combinato di SPF, DKIM e DMARC in un’unica ricerca
• SPF Checker - Verifica che SPF sia corretto prima di applicare il DMARC
• DKIM Lookup - Verifica che le chiavi DKIM siano pubblicate e valide
• SPF Validator - Valutazione SPF completa con conteggio dei lookup

Passi successivi

1. Controlla il tuo stato DMARC attuale - Usa il DMARC Checker per vedere se hai un record DMARC e quale criterio specifica
2. Inizia con p=none - Se non hai il DMARC distribuito, inizia in modalità di monitoraggio per raccogliere dati
3. Configura l’elaborazione dei report - Punta il tuo indirizzo rua= a DMARC Report per dashboard leggibili
4. Correggi le lacune di autenticazione - Usa i report aggregati per identificare e correggere i servizi che non superano SPF o DKIM
5. Progredisci verso l’applicazione - Passa dalla quarantena al rifiuto man mano che la tua copertura di autenticazione matura
6. Mantieni nel tempo - L’infrastruttura email cambia costantemente. Monitora i report e aggiorna le configurazioni SPF/DKIM secondo necessità

Per un confronto completo degli strumenti di gestione SPF, consulta Alternative a PowerDMARC, Alternative a EasyDMARC e Alternative a DMARCLY.