Come configurare DMARC: l'attivazione sicura, passo dopo passo

Configurare DMARC si riduce a un record DNS e a una regola di metodo: pubblicalo prima in modalità di monitoraggio, leggi i report che ti tornano indietro, sistema tutto ciò che non si autentica e solo a quel punto chiedi ai server riceventi di applicare la policy. Se corri subito all'applicazione della policy, rischi di mandare nello spam la tua stessa posta legittima. Ecco il modo sicuro e ordinato per farlo.

In breve#

DMARC sta in un unico record TXT su _dmarc.yourdomain.com. Il valore inizia con v=DMARC1, imposta una policy (p=none, p=quarantine o p=reject) e indica una casella che raccoglie i report aggregati (rua=). L'attivazione corretta è sempre la stessa: parti da p=none per osservare senza rompere nulla, usa i report per confermare che ogni flusso di posta legittimo superi SPF o DKIM con allineamento, poi porta la policy a quarantine e infine a reject. Questa guida spiega passo dopo passo come configurare DMARC: per capire come SPF, DKIM e DMARC si combinano sul piano concettuale, leggi SPF, DKIM e DMARC spiegati.

Cos'è un record DMARC e dove si trova#

Un record DMARC è una voce DNS in testo semplice che dice ai server di posta riceventi due cose: cosa fare con la posta che dichiara di provenire dal tuo dominio ma non supera l'autenticazione, e dove inviarti i report in merito. Non è magia: è un singolo record TXT che pubblichi una volta e poi modifichi nel tempo.

La posizione è fissa e non negoziabile: il record deve stare sull'hostname _dmarc sotto il tuo dominio. Quindi per example.com il nome completo del record è _dmarc.example.com. Se il tuo provider DNS chiede solo il campo "name" o "host", di solito inserisci _dmarc e il dominio viene aggiunto automaticamente.

Un record iniziale minimo e valido ha questo aspetto:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Per cominciare ti serve davvero solo questo. Non applica ancora nulla (p=none significa "non intervenire"), ma attiva i report che rendono possibile tutto il resto.

L'anatomia di un record DMARC#

Ogni record DMARC è un elenco di tag separati da punto e virgola. Solo due sono obbligatori (v e p); gli altri sono facoltativi ma utili. Ecco cosa fa ciascuno, in parole semplici.

In alcuni record vedrai anche un tag ruf=: richiede report forensi (per singolo messaggio). La maggior parte dei provider non li invia più per motivi di privacy, quindi puoi tranquillamente ometterlo e affidarti ai report aggregati di rua.

Come funziona l'allineamento DMARC con SPF e DKIM#

È il concetto su cui cade la maggior parte delle configurazioni, quindi vale la pena soffermarsi. Superare SPF o DKIM da solo non basta: DMARC richiede anche l'allineamento, cioè il dominio che si è autenticato deve corrispondere a quello che i destinatari vedono davvero nell'indirizzo "From".

Ecco perché conta. Uno spammer può inviare posta che supera SPF per il proprio dominio mentre falsifica il tuo nella riga "From" visibile. Il solo SPF lo considererebbe un pass, perché controlla il mittente nascosto della busta (envelope) e non l'indirizzo che il destinatario legge. DMARC chiude la falla pretendendo che il dominio autenticato e il dominio "From" coincidano. Un messaggio soddisfa DMARC quando è vera almeno una di queste condizioni:

• Allineamento SPF: il messaggio supera SPF e il dominio controllato da SPF corrisponde al dominio "From".
• Allineamento DKIM: il messaggio porta una firma DKIM valida e il dominio di firma corrisponde al dominio "From".

Basta che se ne allinei uno solo, ma almeno uno deve farlo. L'allineamento relaxed (il predefinito) accetta un dominio organizzativo corrispondente, quindi mail.example.com si allinea con example.com; l'allineamento strict richiede una corrispondenza esatta. Parti da relaxed, a meno che tu non abbia un motivo preciso per fare altrimenti: l'allineamento strict fa fallire più posta legittima e raramente aggiunge una protezione reale.

L'attivazione sicura, passo dopo passo#

DMARC è uno dei rari elementi dell'infrastruttura email in cui l'ordine delle operazioni conta più del record stesso. Segui la sequenza.

1. Pubblica p=none con un indirizzo per i report. Crea il record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Non cambia nulla nel modo in cui viene gestita la tua posta: attiva semplicemente i report aggregati giornalieri. Lascialo così per almeno un paio di settimane, in modo da coprire un intero ciclo di invio.

2. Leggi i report aggregati. I provider inviano report XML al tuo indirizzo rua una volta al giorno. Ogni report elenca gli indirizzi IP di invio che hanno usato il tuo dominio, quanti messaggi ha inviato ciascuno e se hanno superato SPF, DKIM e l'allineamento DMARC. L'XML grezzo è difficile da leggere a colpo d'occhio, quindi la maggior parte delle persone lo passa a un analizzatore di report DMARC o a una dashboard di monitoraggio che lo trasforma in una semplice tabella. Quello che cerchi: ogni sorgente legittima della tua posta (il tuo ESP, il tuo CRM, il tuo provider transazionale, il tuo server di posta) deve mostrare un pass DMARC con SPF o DKIM allineati. Tutto ciò che fallisce è un flusso da correggere oppure spoofing che sei contento di aver scoperto. I report servono anche a scoprire servizi di invio di cui ti eri completamente dimenticato, cosa comune in qualsiasi organizzazione che esista da qualche anno. Se preferisci non leggere l'XML grezzo, i report DMARC di Qualisend raggruppano i report di ogni dominio per sorgente di invio con conteggi di superamento e fallimento. Quando le sorgenti sembrano pulite, quanto restare su p=none spiega i criteri di uscita per ogni passo successivo.

3. Correggi l'allineamento di ogni flusso legittimo. È qui il vero lavoro. Per ogni servizio di invio che fallisce, assicurati che si autentichi come il tuo dominio: aggiungi i suoi server al tuo record SPF, configura la firma DKIM con il tuo dominio (non quello predefinito del provider) e imposta un dominio "From" o Return-Path personalizzato dove il provider lo consente. Di solito conviene dare priorità all'allineamento DKIM, perché la firma DKIM viaggia con il messaggio e sopravvive all'inoltro, mentre l'allineamento SPF si rompe non appena la posta viene inoltrata. La maggior parte delle piattaforme email documenta esattamente quali record DNS aggiungere per un dominio di firma personalizzato: è qui che se ne va la gran parte del tempo di configurazione. Continua a iterare finché i report non mostrano che tutta la tua posta legittima supera i controlli.

4. Passa a p=quarantine. Quando i report sono puliti, cambia la policy in modo che la posta non conforme finisca nello spam anziché nella posta in arrivo. Non pianificare la progressione su pct=: l'RFC 9989 rimuove quel tag, anche se i record più vecchi possono ancora contenerlo e il monitoraggio della salute del dominio di Qualisend segnala un pct inferiore a 100. Procedi invece per ambito, partendo dai domini che non inviano, poi dai sottodomini, infine dal dominio principale. Dal p=none al p=reject illustra ogni fase.

5. Passa a p=reject. Il punto d'arrivo. p=reject dice ai server riceventi di rifiutare direttamente la posta non conforme: è l'impostazione che ferma davvero lo spoofing e quella che i grandi provider premiano. Arrivaci solo dopo che i report sono rimasti puliti per un po' con quarantine. È anche la policy con cui i mittenti di grandi volumi soddisfano pienamente i requisiti per i mittenti di Google e Yahoo.

Perché DMARC oggi è obbligatorio#

Un tempo DMARC era una buona pratica avanzata. Dal 2024 è un requisito d'accesso. In base ai requisiti per i mittenti di Google e Yahoo, i mittenti di grandi volumi, cioè chiunque invii più di 5.000 messaggi al giorno a Gmail, devono pubblicare un record DMARC con almeno una policy p=none, oltre a SPF, DKIM, allineamento e disiscrizione in un clic. Il requisito è una policy pubblicata, non necessariamente applicata, ma fermarsi per sempre a p=none significa essere formalmente in regola lasciando il tuo dominio completamente esposto allo spoofing. Avanzare verso reject è ciò che protegge la tua reputazione del mittente e impedisce a chi ti impersona di bruciarla a tuo nome.

Errori comuni#

Una manciata di errori spiega la maggior parte delle configurazioni DMARC difettose:

• Saltare direttamente a p=reject. Senza la fase di monitoraggio, scoprirai a tue spese quali flussi non si autenticano: facendo rimbalzare le tue stesse fatture e newsletter.
• Nessun indirizzo rua. Un record senza indirizzo per i report ti lascia al buio. Non puoi correggere ciò che non vedi: includi sempre rua.
• Dimenticare un servizio di invio. Piattaforme di marketing, strumenti di help desk, sistemi di fatturazione e inviti di calendario inviano tutti "a tuo nome". Ognuno ha bisogno di SPF e DKIM configurati per il tuo dominio, altrimenti non supererà DMARC quando applicherai la policy.
• Usare l'allineamento strict come impostazione predefinita. La modalità strict rompe i sottodomini e molte configurazioni ESP con pochi vantaggi. L'allineamento relaxed è il valore predefinito giusto.
• Più record DMARC. Su _dmarc può esistere un solo record TXT: un secondo invalida entrambi. Lo stesso vale per SPF.
• Confondere DMARC con la deliverability. L'autenticazione dimostra chi sei; non fa di te un buon mittente. Un messaggio perfettamente autenticato da un dominio che scrive a indirizzi inesistenti finisce comunque nello spam, ed è uno dei principali motivi per cui le email legittime finiscono nello spam.

DMARC dimostra che la tua posta è davvero tua, ma l'autenticazione è solo il biglietto d'ingresso per la posta in arrivo. Il piano Free esegue l'intero processo di verifica, così togli indirizzi inesistenti e spam trap dalla lista prima che generino bounce: un'identità affidabile si guadagna il posizionamento solo se la lista che ha alle spalle è pulita.