Eseguire un controllo DMARC recupera il record TXT _dmarc del suo dominio e scompone ciò che dice ai destinatari di fare. Ecco come leggere quel risultato e agire sulle parti che contano di più.
Come leggere i risultati del tuo controllo DMARC
Il verificatore riporta quattro cose: se esiste un record v=DMARC1 valido, la policy di enforcement (p=), la modalità di allineamento per SPF e DKIM e dove vengono inviati i report (rua/ruf). Un risultato in salute ha un solo record, una policy più forte di none e almeno un indirizzo per i report aggregati, così da avere visibilità su chi invia a nome del suo dominio.
Le tre policy DMARC: none, quarantine, reject
p=none- solo monitoraggio. La posta che fallisce viene comunque consegnata; lei si limita a raccogliere i report. Questo è il punto di partenza, non la destinazione.p=quarantine- la posta che fallisce viene inviata nello spam/posta indesiderata. Il primo vero passo di enforcement.p=reject- la posta che fallisce viene bloccata del tutto. Questo è l'obiettivo, ed è ciò che ferma l'impersonificazione del dominio.
Il rollout corretto è none → quarantine → reject, salendo di livello solo quando i suoi report mostrano che ogni mittente legittimo passa. Restare a tempo indeterminato su p=none è l'errore DMARC più comune - non offre alcuna protezione.
Allineamento SPF e DKIM: perché DMARC fallisce anche quando SPF passa
DMARC non si limita a verificare che SPF o DKIM siano passati - controlla che siano allineati con il dominio nell'indirizzo From visibile. Un messaggio può superare SPF per il dominio del servizio di invio, eppure fallire DMARC perché quel dominio non corrisponde al suo header From. I tag aspf e adkim controllano quanto rigorosa debba essere quella corrispondenza: r (relaxed) consente i sottodomini, s (strict) richiede una corrispondenza esatta; la nostra guida per comprendere l'allineamento SPF spiega la differenza in modo approfondito. Quando un record SPF valido fallisce comunque DMARC, il disallineamento è quasi sempre la causa - e un record SPF che passa e sia allineato dipende dal fatto che il suo SPF sia corretto in primo luogo.
Configurazioni errate DMARC comuni
- Nessun record, o host errato. Il record deve trovarsi all'indirizzo
_dmarc.tuodominio.com, non nell'apex. - Due record DMARC. Ne è consentito uno solo; un secondo invalida entrambi.
- Bloccato su
p=none. Monitorare per sempre non offre alcuna enforcement. - Nessun indirizzo
rua. Senza i report aggregati sta applicando l'enforcement alla cieca.
Report aggregati vs forensi
I report aggregati (rua) sono riepiloghi XML giornalieri di ogni fonte che invia a nome del suo dominio e se ha superato l'autenticazione - è qui che individua i mittenti non autorizzati e conferma che i suoi siano allineati. I report forensi (ruf) catturano i singoli messaggi falliti per un'indagine più approfondita. Per trasformare l'XML grezzo in qualcosa di leggibile, il nostro prodotto affine DMARC Report lo analizza e lo visualizza per lei.
DMARC, SPF e DKIM lavorano insieme
DMARC è il livello di policy che sta sopra due controlli: SPF (il server di invio) e DKIM (una firma che dimostra che il messaggio non è stato alterato). Poiché l'enforcement DMARC richiede un risultato SPF che passi e sia allineato, mantenere il suo record SPF valido e sotto il limite di 10 ricerche è fondamentale - AutoSPF se ne occupa automaticamente. Legga il quadro completo nella nostra guida DMARC.