Pubblicare un record DMARC è un lavoro una tantum. Monitorarlo è la parte che non finisce mai, ed è dove la maggior parte dei domini cede in silenzio: un nuovo strumento di marketing inizia a inviare a tuo nome, un fornitore cambia la configurazione della firma, una modifica al DNS fa sparire l'indirizzo rua= e nessuno se ne accorge per mesi. Questa guida riguarda la routine continua dopo che il record è attivo: cosa osservare, con che frequenza, chi dovrebbe occuparsene, quali soglie meritano un avviso e cosa i dati aggregati non possono dirti.
La risposta breve#
Il monitoraggio DMARC consiste nel raccogliere i report aggregati giornalieri che i provider di posta inviano al tuo indirizzo rua=, trasformarli in una vista per sorgente e rivedere quella vista a intervalli regolari. Tieni d'occhio quattro cose: una nuova sorgente di invio che non hai autorizzato, una sorgente nota il cui tasso di superamento cala, un calo del volume dei report (spesso un indirizzo rua= rotto) e la deriva della policy nel record stesso. Una revisione settimanale di dieci minuti più un avviso per i fallimenti improvvisi coprono la maggior parte dei domini. Per leggere un singolo file di report basta l'analizzatore di report DMARC gratuito. Per continuare a sorvegliare senza aprire XML serve qualcosa che riceva i report al posto tuo. I dati hanno sempre uno o due giorni di ritardo e coprono solo i provider che inviano report, quindi considerali un rilevatore di fumo, non un flusso in tempo reale.
Leggere i report o monitorarli#
Come leggere i report DMARC spiega cosa c'è dentro un file XML: l'IP sorgente, il numero di messaggi e i risultati SPF e DKIM. Quella competenza conta, ma risponde a una domanda singola: cosa ha visto questo ricevente in questo giorno?
Il monitoraggio risponde a domande diverse nel tempo:
- Una sorgente che il mese scorso passava ha iniziato a fallire questa settimana?
- È comparsa una sorgente che non aveva mai inviato a nome nostro?
- Il numero totale di messaggi segnalati si è dimezzato?
- Il record è ancora quello che abbiamo pubblicato?
Non puoi rispondere a queste domande da una cartella di allegati non letti. Un dominio con molto traffico riceve decine di report al giorno da riceventi diversi, ciascuno con il proprio elenco di IP. Qualcuno, o qualcosa, deve unirli in una tabella per dominio e confrontare oggi con il passato. Se non hai ancora pubblicato un record con i report attivati, parti da come configurare DMARC e torna quando arrivano i primi report, di solito entro 24-48 ore.
Cosa osservare, in ordine di priorità#
Non tutti i numeri meritano attenzione. Questi sono i segnali che hanno cambiato un esito per domini reali, più o meno dal più al meno urgente.
| Segnale | Cosa significa di solito | Prima azione |
|---|---|---|
| Nuova sorgente con posta che fallisce | Uno strumento dimenticato, un inoltro o qualcuno che falsifica il tuo dominio | Identifica l'IP di invio, vedi la guida ai mittenti sconosciuti |
| Una sorgente nota scende sotto il suo normale tasso di superamento | Un fornitore ha cambiato dominio di firma, è stata rimossa una chiave DKIM o SPF non lo include più | Controlla le impostazioni di autenticazione attuali del fornitore e il tuo DNS |
| Il volume totale segnalato cala bruscamente | L'indirizzo rua= si è rotto, oppure un mittente ha smesso di inviare | Controlla il record attivo, vedi report non ricevuti |
| La quota dei fallimenti sale mentre le sorgenti restano le stesse | Inoltri o mailing list, oppure un cambiamento nel modo in cui un ricevente valuta | Confronta per ricevente e vedi i fallimenti di allineamento |
| Record modificato | Qualcuno ha modificato il DNS: policy allentata, rua= rimosso, aggiunto un secondo record | Confronta con l'ultimo record valido noto |
Due parole sulla seconda riga, perché è quella che le persone fraintendono. DMARC passa quando o SPF o DKIM passa e si allinea con il dominio visibile del From. Una sorgente può fallire l'allineamento SPF ogni singolo giorno e mostrare comunque il 100 percento di DMARC superato perché la regge DKIM. Va bene finché la chiave DKIM non viene ruotata o rimossa, e a quel punto la sorgente precipita. Quando rivedi una sorgente, guarda entrambe le colonne, non solo il risultato combinato.
Una routine settimanale da dieci minuti#
La revisione quotidiana è eccessiva per la maggior parte dei team e quella mensile è troppo lenta. Un passaggio settimanale è un giusto compromesso. Ecco una routine che puoi adattare:
- Apri gli ultimi 7 giorni per ogni dominio che possiedi, compresi i domini parcheggiati o da cui non parte mai posta.
- Ordina le sorgenti per volume. Conferma che le prime cinque siano quelle che ti aspetti.
- Cerca nuovi IP o nomi che non erano nell'elenco della settimana scorsa. Annota ciascuno con la data in cui lo hai visto la prima volta.
- Controlla ogni sorgente sotto il 100 percento di DMARC superato. Decidi per ciascuna: correggere, oppure accettare come rumore da inoltro.
- Confronta il volume totale con la settimana precedente. Un calo netto merita un'occhiata al record prima di qualsiasi altra cosa.
- Annota la policy (
p=esp=) e conferma che sia quella che hai impostato per ultima.
Tieni un semplice foglio di inventario con una riga per ogni sorgente legittima: nome del servizio, responsabile interno all'azienda, che posta invia e come si autentica (DKIM con dominio proprio, include SPF o entrambi). I report ti dicono cosa sta inviando. Solo il tuo foglio ti dice se dovrebbe farlo.
Source Owner Mail type Authenticates via
Google Workspace IT Staff mail DKIM d=example.com
Newsletter tool Marketing Campaigns DKIM d=example.com, include in SPF
Billing system Finance Invoices DKIM d=example.com
Chi dovrebbe occuparsene#
Il monitoraggio DMARC fallisce più spesso perché non appartiene a nessuno. Il DNS sta con l'IT, gli strumenti di invio stanno con marketing, prodotto, assistenza e finanza, e i report finiscono in una casella condivisa creata da una persona che poi se n'è andata.
Scegli un responsabile con nome e cognome per ogni dominio e dagli due poteri: poter vedere ogni report e l'autorità di chiedere agli altri team cos'è una sorgente. Un nuovo mittente dovrebbe essere una richiesta che raggiunge quel responsabile prima del lancio, non una sorpresa scoperta in un report tre settimane dopo. Se la tua azienda gestisce molti domini, assegna il responsabile per dominio e non per azienda, perché le persone che sanno quali strumenti inviano come shop.example.com raramente sono quelle che conoscono example.com.
Soglie di avviso che vale la pena impostare#
Gli avvisi dovrebbero essere abbastanza rari da essere ancora letti. Queste soglie sono consigli, non standard, quindi adattale al tuo volume:
- Qualsiasi nuova sorgente che invia posta che fallisce, una volta superata una piccola soglia minima (per esempio 5 messaggi falliti in un giorno) così che un singolo inoltro isolato non allarmi nessuno.
- Un totale di fallimenti sopra un livello fisso nella giornata (per esempio 10 messaggi) sui domini con volumi modesti. Sui domini grandi usa invece una percentuale del volume.
- Una sorgente nota che scende sotto il suo tasso di superamento abituale per due giorni di fila, il che filtra il rumore di un giorno.
- Un volume di report che si dimezza settimana su settimana.
Su cosa non impostare avvisi: un singolo ricevente che segnala pochi fallimenti, oscillazioni del tasso di superamento di un punto o due e qualsiasi cosa sia solo rumore da p=none mentre stai ancora scoprendo i mittenti.
DMARC Reports di Qualisend copre la versione di base di tutto questo. Ogni giorno esamina il giorno UTC precedente e ti invia un'email quando un dominio ha 10 o più messaggi che hanno fallito sia SPF sia DKIM, oppure quando una sorgente non vista per quel dominio negli ultimi 30 giorni invia 5 o più messaggi che falliscono. Non avvisa sui cali del tasso di superamento che restano sotto quei numeri, sui cambi di policy o sullo spoofing che nessun provider ha segnalato, quindi mantieni anche la tua revisione settimanale.
Limiti dei dati aggregati#
I report aggregati sono utili e incompleti. Conosci i loro confini prima di fidarti di essi per una decisione:
- Sono in ritardo. I provider di solito inviano una volta al giorno, quindi vedi ieri o l'altro ieri. Non è una vista in tempo reale.
- Arrivano solo dai riceventi che li inviano. I grandi provider di posta lo fanno. Molti riceventi più piccoli no. I tuoi numeri descrivono la fetta che segnala, non tutta la tua posta.
- Non hanno il contenuto dei messaggi. Ottieni conteggi e risultati di autenticazione per sorgente, mai oggetti o destinatari. È voluto e rispettoso della privacy, e significa anche che non puoi vedere esattamente quale messaggio è fallito.
- Non possono mostrare lo spoofing che nessuno ha segnalato. Se un ricevente non invia report, la posta falsificata verso quel ricevente è invisibile per te.
- I report forensi (di fallimento) sono raramente disponibili. Il tag
ruf=chiede report di fallimento per singolo messaggio, ma molti grandi provider non li inviano, quindi pianifica basandoti solo sui dati aggregati. DMARC Reports non riceve affatto report di fallimento. - Il volume per sorgente è un conteggio di messaggi, non di destinatari. Una sorgente con 3 messaggi e 3 fallimenti è un problema diverso da una con 30.000 messaggi e 3 fallimenti.
Niente di tutto ciò rende i dati meno preziosi. Significa che un pannello pulito dice "niente di sbagliato in ciò che è stato segnalato", non "niente di sbagliato".
Dove si colloca il monitoraggio nel ciclo completo di sicurezza#
Il monitoraggio DMARC è uno strato. Il record può essere perfetto ed essere comunque vanificato da un altro problema DNS, come un record SPF che supera il limite di query o una chiave DKIM eliminata. La routine più ampia è descritta nella guida al monitoraggio della salute del dominio, che copre i record da cui DMARC dipende. Quando i tuoi report sono puliti e stabili, il passo naturale successivo è irrigidire la policy, trattato in passare da p=none a p=reject. Se stai valutando strumenti per la raccolta, come scegliere uno strumento di monitoraggio DMARC illustra i criteri e confronta prezzi reali.
Per le regole che rendono tutto questo importante nella pratica, vedi i requisiti per i mittenti di Google e Yahoo e, per il quadro più ampio sul perché la posta autenticata finisce comunque nello spam, la guida al recapito delle email.
Domande frequenti
01Cos'è il monitoraggio DMARC?
Il monitoraggio DMARC è la pratica continua di raccogliere i report aggregati che i provider di posta inviano al tuo indirizzo rua, unirli in una vista per sorgente e rivedere i cambiamenti nel tempo. Osservi le nuove sorgenti di invio, le sorgenti note il cui tasso di superamento cala, il calo del volume dei report e le modifiche al tuo record. È diverso dal leggere un singolo file XML, che mostra solo un giorno da un solo ricevente.
02Ogni quanto dovrei rivedere i report DMARC?
Per la maggior parte dei domini basta una revisione settimanale di una decina di minuti, affiancata da un avviso per i fallimenti improvvisi. La revisione quotidiana di solito richiede più impegno di quanto i dati giustifichino, perché i report arrivano una volta al giorno e con ritardo. Rivedi più spesso mentre scopri i mittenti o poco prima di irrigidire la policy, poi passa al ritmo settimanale.
03I report DMARC possono mostrare lo spoofing in tempo reale?
No. I provider di solito inviano i report aggregati una volta al giorno, quindi vedi ieri o l'altro ieri. Sono inclusi solo i riceventi che inviano report, quindi la posta falsificata verso un ricevente che non li invia è invisibile. Considera i report un rilevatore di fumo per ciò che è stato segnalato e affidati a una policy reject per far fallire la posta falsificata.
04Quali soglie di avviso hanno senso per DMARC?
Sono consigli, non standard. Imposta un avviso per una nuova sorgente che invia posta che fallisce una volta superata una piccola soglia minima come 5 messaggi falliti al giorno, per un totale giornaliero di fallimenti come 10 messaggi sui domini con volumi modesti, per una sorgente nota sotto il suo tasso di superamento abituale per due giorni e per un volume di report che si dimezza settimana su settimana. Evita avvisi per piccole oscillazioni di un singolo ricevente.
Il monitoraggio ti dice chi invia a nome del tuo dominio; non può dirti se la lista dietro quella posta è in salute. Parti dal piano gratuito (prezzi) e usa i 100 crediti su una lista reale per vederne il rischio di rimbalzo. Un dominio ben monitorato ha comunque bisogno di una lista pulita per guadagnarsi la inbox.
