Il DMARC (Domain-based Message Authentication, Reporting and Conformance) è una politica DNS che indica ai server destinatari come gestire i messaggi che dichiarano di provenire dal proprio dominio quando non superano l’autenticazione — se consegnarli, metterli in quarantena o respingerli — e a chi inviare i relativi rapporti.
Come funziona
Si pubblica un record TXT all’indirizzo _dmarc.yourdomain. Un messaggio supera il controllo DMARC quando superano il controllo sia SPF che DKIM e il dominio che ha superato il controllo corrisponde al dominio presente nell’indirizzo “Da” visibile. Tale corrispondenza è l’aspetto che SPF e DKIM non sono in grado di garantire da soli ed è ciò che impedisce definitivamente a qualcuno di inserire il Suo dominio nella riga “Da”. Lo standard di riferimento è RFC 7489.
Le tre politiche
p=none: solo monitoraggio. Nulla viene bloccato; riceverete segnalazioni che indicano chi sta inviando messaggi utilizzando il vostro dominio. Il punto di partenza ideale.p=quarantine: la posta che non supera i controlli viene trattata come sospetta e, di norma, convogliata nella cartella dello spam.p=reject: la posta che non supera il controllo viene rifiutata immediatamente. Questo è l’obiettivo.
Il tag «rua=» indica un indirizzo per i rapporti aggregati giornalieri. È grazie a tali rapporti che potrete individuare lo strumento di newsletter dimenticato che invia messaggi a nome del vostro dominio, prima che una politica rigorosa inizi a respingerne la posta.
Come verificare la propria configurazione
dig +short TXT _dmarc.yourdomain.comDMARC su Mailotte
mailotte.com applica p=reject, la politica più rigorosa: le e-mail contraffatte come provenienti da mailotte.com vengono rifiutate, non messe in quarantena. Quando collega il Suo dominio, Mailotte Le chiede di iniziare con l’impostazione «p=none» con i rapporti abilitati — monitorando innanzitutto, in modo che nulla di cui fa affidamento venga respinto mentre scopre quali altri soggetti inviano messaggi utilizzando il Suo dominio. Passi alla quarantena e poi al rifiuto una volta che i rapporti risultano puliti.
Domande
Devo iniziare con p=reject?
Solo se è certo che ogni servizio che invia messaggi a nome del Suo dominio sia coperto da SPF o DKIM. In caso contrario, inizi con p=none, legga i rapporti, risolva i problemi segnalati, quindi inasprisca le impostazioni.
Che cos’è l’allineamento DMARC?
Il requisito secondo cui il dominio che ha superato il controllo SPF o DKIM corrisponda al dominio presente nell’indirizzo «Da» visibile. È ciò che impedisce a un messaggio firmato dal dominio di un truffatore di passare per suo.
Ho bisogno di DMARC se dispongo già di SPF e DKIM?
Sì. Senza di esso, nulla collega tali controlli all’indirizzo “Da” che gli utenti leggono effettivamente, e i destinatari non ricevono alcuna indicazione in merito alle e-mail che non superano i controlli.
Termini correlati
- SPF — Sender Policy Framework
- DKIM — DomainKeys Identified Mail
- MTA-STS — SMTP MTA Strict Transport Security
- Tutti i termini