Record DMARC: cos'è, le tre politiche e come leggere i rapporti
Una riga nel DNS, tre politiche e un rapporto che quasi nessuno legge. Come partire con il record DMARC senza bloccare le tue email.
Record DMARC: cos'è e cosa decide davvero
Il record DMARC è una riga di testo che pubblichi nel DNS del tuo dominio. Dice ai server che ricevono le tue email cosa fare quando un messaggio dichiara di arrivare da te ma non supera i controlli SPF o DKIM: lasciarlo passare, metterlo in quarantena o rifiutarlo. In più chiede di ricevere un rapporto.
Quel «dichiara di arrivare da te» è il punto. SPF e DKIM, da soli, controllano cose tecniche che l'utente non vede: il dominio della busta (quello che usa il server per il rimbalzo) e il dominio della firma. DMARC li collega all'indirizzo che compare davvero nel campo «Da:». Il messaggio passa se almeno uno dei due controlli riesce e usa lo stesso dominio del «Da:» (o un suo sottodominio, con l'allineamento rilassato). Se non riesce nessuno dei due, il messaggio è sospetto.
Un esempio che si incontra spesso: il gestionale spedisce i preventivi con mittente tuodominio.it, ma passando dai server del fornitore. L'SPF risulta «pass», però per il dominio del fornitore, non per il tuo. Se manca una firma DKIM col tuo dominio, quel messaggio fallisce il DMARC pur avendo un SPF verde.
Se cerchi «spf dkim dmarc» per capire da dove cominciare, l'ordine è questo: prima SPF e DKIM, poi DMARC. Per la parte precedente c'è SPF DKIM DMARC: cosa fanno, in che ordine configurarli e come verificarli. Qui parliamo dell'ultimo pezzo.
Come creare un record DMARC
Si crea aggiungendo un record di tipo TXT nel pannello DNS del dominio, con nome _dmarc (di solito il pannello aggiunge da solo il dominio dopo). Il valore parte sempre con v=DMARC1. Per cominciare basta questo:
v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it
Tre pezzi, separati da punto e virgola. Il primo dichiara che è un record DMARC. Il secondo, p, è la politica. Il terzo, rua, è l'indirizzo a cui i grandi provider mandano i rapporti aggregati. Gli altri tag sono facoltativi.
- Controlla che su _dmarc non esista già un record: ne deve esistere uno solo. Con due, i server che ricevono possono ignorarli entrambi.
- Crea una casella dedicata ai rapporti, o un alias. Arrivano ogni giorno, in automatico, e non vuoi che sommergano la posta di una persona.
- Pubblica il record con p=none.
- Verifica con una ricerca DNS di tipo TXT su _dmarc.tuodominio.it che la riga sia visibile, senza virgolette spezzate o spazi in più.
Se l'indirizzo dei rapporti è su un dominio diverso da quello protetto, il dominio che li riceve deve autorizzarlo con un record TXT apposito, del tipo tuodominio.it._report._dmarc.dominioricevente.it, con valore v=DMARC1. Dimenticarlo è l'errore classico: il record sembra perfetto, ma i rapporti non arrivano mai. Il modo più semplice per evitarlo è usare una casella sullo stesso dominio.
None, quarantine e reject: cosa cambia in pratica
La politica è l'unico tag che cambia il destino delle tue email. Gli altri sono sfumature.
| Politica | Cosa succede a un messaggio che non passa | Quando usarla |
|---|---|---|
| none | Nulla: viene trattato come prima. Ricevi solo i rapporti. | All'inizio, per osservare. |
| quarantine | Di norma finisce in spam o in una cartella separata. | Quando i rapporti mostrano che le fonti legittime passano. |
| reject | Il server destinatario lo rifiuta. | Quando hai coperto ogni fonte legittima. |
Il nostro consiglio: non fermarti a «none». È comodo, perché non rompe niente, ma non protegge nessuno. Chi falsifica il tuo dominio passa indisturbato. È un allarme installato e mai attivato.
Detto questo, saltare direttamente a «reject» è peggio. Il giorno in cui scopri che il programma che invia i preventivi, o il fornitore che manda le fatture, non era configurato, le email ai tuoi clienti vengono respinte e lo vieni a sapere da loro, non da un errore sul tuo schermo. Per questo esiste la scala.
Come si parte senza rompere niente
Il percorso ragionevole ha quattro tappe, e la durata di ciascuna la decidono i rapporti, non il calendario.
- Osserva con p=none. Lascia raccogliere i rapporti finché hai visto passare tutto ciò che il dominio manda davvero: il programma di posta, il gestionale, il sistema delle fatture, lo strumento di newsletter, la piattaforma per le cold email.
- Sistema le fonti che falliscono. Per ognuna aggiungi il server all'SPF oppure attiva una firma DKIM con il tuo dominio. La seconda strada è più robusta, perché sopravvive agli inoltri.
- Passa a quarantine. Se vuoi andare con cautela, usa il tag pct per applicare la politica solo a una parte dei messaggi (per esempio pct=25) e alzalo poco alla volta. Non tutti i destinatari lo rispettano allo stesso modo, quindi non trattarlo come un interruttore preciso.
- Passa a reject quando i rapporti sono puliti da abbastanza tempo da aver coperto anche gli invii mensili e stagionali: il sollecito trimestrale, l'estratto conto di fine anno. Quelli sfuggono sempre.
Una nota per chi fa outbound. Le nostre campagne a freddo partono da domini dedicati, mai dal dominio principale dell'azienda. Su un dominio nato per inviare le fonti legittime sono poche e note, quindi la scala è più corta. Sul dominio principale, dove convivono persone, fatture, strumenti e reparti, serve pazienza. In entrambi i casi il record DMARC va pubblicato prima di cominciare, insieme al warm up, non dopo il primo problema.
Come leggere i rapporti DMARC
I rapporti aggregati (quelli del tag rua) sono file XML compressi, uno per provider e per giorno. Aprirli a mano si può, ma è un'esperienza ingrata: righe e righe di indirizzi IP, numeri e sigle. Molti preferiscono un servizio che li raccoglie e li trasforma in una tabella. Che tu lo faccia a mano o con uno strumento, le colonne da guardare sono le stesse.
- Indirizzo IP di origine: chi ha spedito. Serve a capire se è un tuo sistema o qualcuno che non conosci.
- Numero di messaggi: quanto pesa quella fonte. Una fonte sconosciuta con due messaggi non è un'emergenza, una con migliaia sì.
- Esito SPF e DKIM, con l'allineamento: è la colonna decisiva. Un messaggio può avere SPF «pass» e fallire comunque il DMARC, perché il dominio verificato non coincide con quello del «Da:».
- Disposizione: cosa ha fatto il destinatario (nessuna azione, quarantena, rifiuto).
Il metodo è semplice: ordina per numero di messaggi e parti dalle fonti in cima. Per ognuna chiediti se la riconosci. Se sì e fallisce, la correggi. Se no, per ora la lasci stare e continui a osservare: potrebbe essere un inoltro automatico, una persona che gira i messaggi dalla casella aziendale a una privata, oppure qualcuno che si spaccia per te. Per distinguere questi casi servono le settimane in «none».
Il tag ruf serve per i rapporti su singoli messaggi falliti. Molti provider non li inviano, quindi non contarci. Il tag sp imposta la politica per i sottodomini (senza sp, i sottodomini ereditano la p del dominio principale). adkim e aspf decidono se l'allineamento è «rilassato» (r, accetta sottodomini del tuo dominio) o «stretto» (s, richiede coincidenza esatta). Lascia il rilassato, salvo motivi precisi.
Gli errori che si vedono più spesso
Il primo è pubblicare il record su un nome sbagliato: «dmarc» al posto di «_dmarc», oppure il nome ripetuto due volte perché il pannello aggiungeva già il dominio. Il secondo è mettere un indirizzo in rua e poi non guardare mai la casella. Il terzo, il più subdolo: passare a «reject» con in giro uno strumento di invio dimenticato, magari quello di un reparto che l'IT non ricordava.
Poi c'è la questione dell'effetto sulle consegne. Un DMARC corretto non porta le email in posta in arrivo da solo: toglie un motivo di sospetto, ma reputazione, ritmo di invio e contenuto continuano a pesare. Se hai problemi di spam, il record è una parte della risposta, non tutta. Per il ritmo guarda quante email al giorno per casella conviene mandare.
Dopo ogni cambio di politica tieni d'occhio anche il tasso di risposta. Se scende di colpo, è possibile che un messaggio legittimo stia finendo in quarantena, e il rapporto del giorno dopo di solito lo conferma.
Da dove cominciare
Fai una ricerca DNS di tipo TXT su _dmarc.tuodominio.it, per ognuno dei domini da cui mandi email. Se non c'è nulla, pubblica la riga con p=none e un indirizzo per i rapporti. Se c'è già qualcosa, leggi cosa dice il tag p: spesso scopri di essere fermo su «none» da anni. Poi fissa una data in agenda per aprire il primo rapporto e ordinare le fonti per numero di messaggi.
Domande frequenti
Che differenza c'è tra SPF, DKIM e DMARC?
SPF indica quali server possono spedire per il tuo dominio, DKIM firma il messaggio. DMARC verifica che almeno uno dei due passi e corrisponda all'indirizzo che il destinatario vede nel campo «Da:», e stabilisce cosa fare se non succede.
Si può partire direttamente con p=reject?
Si può, ma è rischioso: se una fonte legittima non è configurata, le sue email vengono rifiutate e lo scopri dai destinatari. Conviene partire da none, leggere i rapporti e salire solo quando risultano puliti.
Dove vado a scrivere il record DMARC?
Nel pannello DNS del dominio, come record TXT con nome _dmarc. Il valore inizia con v=DMARC1 e contiene almeno la politica (p). Dopo il salvataggio verifica con una ricerca DNS che sia visibile.