Controllo DMARC: leggi un record DMARC in modo chiaro
Un record DMARC è una riga di testo che decide cosa succede alla posta che finge di essere tua. Inserisci un dominio per recuperarlo, vedere ogni tag spiegato e scoprire se la policy protegge davvero il dominio o si limita a osservare.
Cosa aggiunge DMARC a SPF e DKIM
Una policy DMARC si trova in un record TXT a _dmarc.tuodominio.com. Quando arriva un messaggio che dichiara di provenire dal tuo dominio, il destinatario controlla SPF e DKIM. DMARC viene superato se almeno uno dei due è superato e il suo dominio coincide con l’indirizzo From che vede il lettore. Se nessuno dei due lo è, il destinatario applica la tua policy.
Quest’ultimo punto, l’allineamento, è il motivo per cui DMARC è più di SPF e DKIM messi insieme. Impedisce a un malintenzionato di superare SPF con un proprio dominio mostrando il tuo nella riga From.
Le tre policy e quando passare a quella successiva
| Policy | Cosa fanno i destinatari con la posta non conforme | Quando usarla |
|---|---|---|
| p=none | La consegnano normalmente e ti inviano i report | Il punto di partenza: osservi e impari |
| p=quarantine | La trattano come sospetta, di solito nella cartella spam | Quando i report mostrano che la tua posta reale supera i controlli |
| p=reject | Rifiutano il messaggio | L’obiettivo per i domini che inviano posta in modo affidabile |
Ogni tag DMARC in modo chiaro
| Tag | Significato |
|---|---|
| v=DMARC1 | La versione. Deve comparire per prima |
| p | Policy per il dominio: none, quarantine o reject |
| sp | Policy per i sottodomini. Se manca, i sottodomini seguono p |
| pct | La percentuale di posta non conforme a cui si applica la policy |
| rua | Dove inviare i report aggregati giornalieri, come indirizzi mailto: |
| ruf | Dove inviare i singoli report sugli errori. Pochi destinatari li inviano |
| adkim e aspf | Modalità di allineamento per DKIM e SPF: r (relaxed, il valore predefinito) o s (strict) |
| fo | Quali errori devono attivare i report sugli errori |
Introdurre DMARC senza perdere la posta vera
- Pubblica v=DMARC1; p=none; rua=mailto:dmarc-reports@tuodominio.com. Per la consegna non cambia nulla, e iniziano ad arrivare i report.
- Leggi i report per alcune settimane. Elencano ogni fonte che invia posta a nome del tuo dominio e se ha superato i controlli. Un servizio di report DMARC può trasformare l’XML in qualcosa di leggibile.
- Correggi ogni mittente legittimo che non supera i controlli aggiungendolo a SPF o attivando per lui la firma DKIM.
- Passa a p=quarantine, eventualmente con pct=25 e poi più alto mentre cerchi eventuali problemi.
- Passa a p=reject quando i report mostrano che solo la posta non autorizzata non supera i controlli.