Cos’è il DMARC
Il DMARC è la regola che dice ai server di posta cosa fare con le email che usano il tuo dominio ma non superano SPF e DKIM. È un record TXT su _dmarc.tuodominio.it. Serve soprattutto contro le email false inviate a nome tuo (phishing, truffe con finte fatture). Dal 2024 Gmail, Yahoo e Microsoft lo richiedono a chi invia molte email.
Le tre regole (policy)
| Policy | Cosa succede alle email che non superano i controlli | Quando usarla |
|---|---|---|
p=none |
Nulla: vengono consegnate, ma ricevi i report | All’inizio, per qualche settimana |
p=quarantine |
Finiscono nello spam | Quando i report confermano che le tue email passano |
p=reject |
Vengono rifiutate | Protezione completa, obiettivo finale |
Come leggere il risultato
DMARC con p=reject o p=quarantine. Il dominio è protetto. Controlla che tutte le tue email legittime superino SPF o DKIM: se un servizio non è configurato, le sue email vengono scartate.
DMARC con p=none. Il record c’è e soddisfa i requisiti minimi di Gmail e Microsoft, ma non protegge: le email false vengono consegnate. Leggi i report per qualche settimana, poi passa a quarantine.
Nessun record DMARC. Il dominio non ha regole contro le email falsificate e i grandi provider possono penalizzare le tue email. Crealo con il Generatore DMARC, partendo da p=none.
Più di un record DMARC. Come per l’SPF, ne deve esistere uno solo: con due, i server lo ignorano. Tienine uno.
Manca l’indirizzo per i report (rua). Senza report non sai chi invia email a tuo nome e non puoi passare con sicurezza a una policy più severa. Aggiungi rua=mailto: seguito da una casella dedicata.
I report vanno a un altro dominio. Se l’indirizzo dei report è su un dominio diverso, quel dominio deve autorizzarli con un record apposito, altrimenti molti provider non li inviano. I servizi di analisi DMARC lo fanno da soli.
Percentuale inferiore a 100 (pct). La regola si applica solo a una parte delle email. Va bene durante il passaggio graduale, poi riportala a 100.
Regola dei sottodomini (sp) più debole. I sottodomini (per esempio newsletter.tuodominio.it) hanno una protezione minore del dominio principale: verifica che sia voluto.
Allineamento rigido (adkim=s, aspf=s). Il dominio della firma o del mittente tecnico deve coincidere esattamente, senza sottodomini. È più severo: usalo solo se sai che tutti i tuoi servizi lo rispettano.
Domande frequenti
Cosa sono i report DMARC? Ogni giorno i provider inviano all’indirizzo rua un file XML con le statistiche delle email ricevute a nome tuo: da quali server, quante, se hanno superato SPF e DKIM. Sono file tecnici: conviene una casella dedicata o un servizio che li legga per te.
Passare a p=reject è rischioso? Lo è se qualche servizio legittimo non è configurato: le sue email verrebbero rifiutate. Per questo si passa da none a quarantine a reject guardando i report.
