I tuoi primi report DMARC contengono quasi sempre una sorpresa: un indirizzo IP che non riconosci, da cui partono migliaia di messaggi con il tuo dominio nel campo From. A volte è uno strumento che il team commerciale ha attivato la primavera scorsa. A volte è un servizio di inoltro. Più raramente è qualcuno che si spaccia per te. Questa guida ti dà un metodo ripetibile per identificare ogni mittente sconosciuto, classificarlo e decidere cosa fare, senza tirare a indovinare e senza bloccare posta legittima.
In breve#
Per identificare un mittente sconosciuto in un report DMARC, prendi il suo IP di origine e segui in ordine quattro controlli: il nome DNS inverso (PTR) dell'IP, se l'IP è coperto da un include SPF pubblicato da te o da un fornitore, il dominio nella firma DKIM (d=) ricavato dal report grezzo e il proprietario del blocco di IP tramite una ricerca nel registro. Poi classifica la sorgente come servizio dimenticato, server o script tuo, inoltro, provider di posta del tuo staff oppure spoofer. Autentica quelle legittime, ignora la maggior parte degli inoltri e lascia che p=reject si occupi dello spoofer. Non bloccare né "sistemare" mai una sorgente prima di sapere a quale gruppo appartiene. Il reverse DNS lookup gratuito copre il primo passaggio, mentre l'analizzatore di report DMARC gratuito ti permette di ispezionare i campi grezzi di un singolo report.
Parti da ciò che il report ti dice già#
Prima di cercare qualsiasi cosa, raccogli tutto quello che la riga ti offre. Per ogni IP sconosciuto annota:
- L'indirizzo IP e quanti messaggi ha inviato.
- I risultati SPF e DKIM e se ciascuno era allineato con il tuo dominio From.
- La disposition, cioè cosa ha fatto il ricevente: none, quarantine o reject.
- I domini usati nei controlli SPF e DKIM grezzi, se puoi vedere l'XML originale.
Quest'ultimo punto è più utile di quanto sembri. Una riga in cui DKIM ha superato il controllo con d=example.com significa che il mittente firma con una chiave pubblicata sotto il tuo dominio, quindi l'hai configurata tu o un fornitore da te autorizzato. Una riga in cui DKIM ha superato il controllo con d=vendor.example.net e SPF con il dominio di bounce del fornitore significa che il fornitore sta inviando posta autenticata per sé, con il tuo dominio solo nel campo From. È il classico mittente terzo non allineato. Una riga in cui SPF e DKIM sono entrambi falliti o assenti indica con molta più forza uno spoofing o un relay non configurato.
Se il tuo strumento di monitoraggio mostra già un nome leggibile per la sorgente, consideralo un indizio, non una prova. I nomi derivano da schemi del DNS inverso e vanno comunque confermati con i passaggi seguenti.
Passaggio 1: cerca il nome DNS inverso#
La maggior parte dei mittenti legittimi pubblica un record PTR per i propri IP di invio. Esegui una ricerca inversa:
dig -x 203.0.113.42 +short
mail-42.sendingplatform.example.net.
Spesso il nome host indica direttamente il servizio. Due avvertenze:
- Confermalo con la ricerca diretta. Cerca il record A di quel nome host e verifica che restituisca lo stesso IP. Il record PTR è controllato da chi possiede l'IP, quindi chiunque può rivendicare qualsiasi nome. Vale la pena fidarsi solo di un nome che risolve di nuovo sullo stesso IP.
- Un PTR assente o generico è già un'informazione. Nomi host come
static-203-0-113-42.hosting.exampledi solito indicano un server in affitto o una linea domestica, non una piattaforma di posta. Questo si adatta meglio a uno spoofer o a uno script self-hosted che a un fornitore affidabile.
Puoi fare la ricerca con un clic usando lo strumento di reverse DNS lookup se non hai un terminale a portata di mano.
Passaggio 2: verifica se l'IP rientra nel tuo SPF#
Guarda il tuo record SPF e controlla se questo IP è coperto, direttamente o tramite un include:
example.com. TXT "v=spf1 include:_spf.google.com include:sendingplatform.example.net ~all"
Se il nome del fornitore emerso al passaggio 1 compare già in un include:, qualcuno l'ha autorizzato in passato. La sorgente è tua e resta da capire perché non supera l'allineamento. Di solito è perché l'SPF del fornitore passa per il suo dominio di bounce, che non è allineato al tuo dominio From, e non è mai stata configurata una firma DKIM per il tuo dominio. La correzione sta sul lato DKIM, trattato in errori di allineamento DMARC.
Se l'IP non è coperto e il PTR punta a un fornitore che non hai mai sentito nominare, hai un servizio dimenticato oppure un estraneo. Continua. Puoi anche passare il dominio nel verificatore SPF, DKIM e DMARC per vedere cosa contiene oggi il tuo record SPF.
Passaggio 3: leggi il dominio della firma DKIM#
Quando il report grezzo riporta un risultato DKIM, indica il dominio di firma e il selettore. Sono comuni tre esiti:
d=è il tuo dominio. Un sistema interno o un fornitore che hai configurato firma con la tua chiave. Trova il selettore nel tuo DNS per capire di quale chiave si tratta. Se non riconosci il selettore, consulta come trovare un selettore DKIM.d=è il dominio del fornitore. Autenticato per il fornitore, non per te. Risolvibile una volta identificato il fornitore.- Nessun risultato DKIM. Il mittente non firma. Piccoli script, stampanti, vecchi plugin di CMS e spoofer hanno tutti questo aspetto.
Se hai solo l'header di un messaggio ricevuto e non un report, l'analizzatore di header email mostra il verdetto DKIM e se è presente una firma, e il dominio d= lo leggi tu dalla riga DKIM-Signature.
Passaggio 4: scopri chi possiede il blocco di IP#
Se il PTR manca o non aiuta, interroga il registro internet regionale per quell'indirizzo (una ricerca WHOIS o RDAP). Il risultato indica l'organizzazione che detiene il blocco, spesso una società di hosting o un cloud provider. Questo ti dice da dove parte il traffico, non chi ne è responsabile, quindi usalo per restringere la ricerca e non per accusare qualcuno. Un blocco di proprietà di una nota piattaforma di email sostiene l'ipotesi del "fornitore dimenticato". Un blocco di un hosting economico senza DNS inverso va nella direzione opposta.
Classifica la sorgente, poi agisci#
Dopo i quattro controlli, la maggior parte delle sorgenti rientra in cinque gruppi.
| Classe | Come appare nei report | Cosa fare |
|---|---|---|
| Servizio dimenticato o non approvato | Il PTR indica una piattaforma nota; SPF o DKIM passano per il dominio del fornitore, non per il tuo | Chiedi al responsabile. Se la posta serve, aggiungi la firma DKIM per il tuo dominio. Altrimenti chiudi l'account |
| Un tuo server o script | L'IP corrisponde al tuo hosting; spesso senza DKIM; volume basso in orari insoliti | Fallo passare dal tuo vero sistema di posta, oppure firmalo con la tua chiave |
| Inoltro o mailing list | La sorgente è un provider di posta o un host di liste; SPF fallisce, DKIM può passare o rompersi se il messaggio viene modificato | Di solito ignora; affidati all'allineamento DKIM e non rincorrere ogni inoltro |
| Provider di posta che inoltra la posta del tuo staff | Corrisponde al provider che usi per la posta dello staff | Verifica che il provider sia nell'SPF e firmi con la tua chiave DKIM |
| Spoofer | Nessun legame con te; nessun PTR o uno generico; fallisce SPF e DKIM; picchi improvvisi di volume | Lascialo fallire; è per questo che esiste una policy reject |
Il rischio da evitare è trattare come spoofer tutto ciò che non si conosce. Irrigidire la policy mentre uno strumento di fatturazione dimenticato continua a fallire l'allineamento è il modo in cui un'azienda finisce per rifiutare le proprie fatture. Prima classifica. L'ordine sicuro per irrigidire è trattato in passare da p=none a p=reject.
Rendi l'identificazione più economica la prossima volta#
Il primo giro è lento. Dopo non dovrebbe più esserlo. Alcune abitudini aiutano:
- Tieni un inventario. Una riga per ogni sorgente legittima, con responsabile, tipo di posta e modalità di autenticazione. Il monitoraggio DMARC illustra un semplice foglio.
- Chiedi dei nuovi strumenti prima del lancio. Un breve passaggio di raccolta ("questo strumento invia con il nostro dominio?") evita la maggior parte delle sorgenti sconosciute.
- Ricontrolla i vecchi account. Prove gratuite e strumenti di agenzia lasciati attivi sono una fonte frequente di mittenti a sorpresa.
- Registra le decisioni. Quando decidi che una sorgente è rumore da inoltro, scrivilo, così chi rivede dopo di te non ripete l'indagine.
DMARC Reports aiuta con la parte dei nomi. Risolve il DNS inverso di ogni IP di origine e riconosce circa 25 mittenti comuni, come Google, Microsoft 365, Amazon SES, SendGrid e Mailchimp. Tutto ciò che non riconosce appare come nome host grezzo o come "Unknown sender". Non permette di taggare, etichettare o inserire in allow-list una sorgente, quindi il tuo foglio di inventario resta il sistema di riferimento. Non mostra neppure il dominio di firma DKIM o il selettore di una sorgente, quindi il passaggio 3 richiede un report grezzo o l'header di un messaggio ricevuto; se vuoi i file grezzi, tieni un indirizzo di casella accanto nell'elenco rua=.
E se la sorgente è uno spoofer?#
Se le prove indicano che la sorgente non c'entra nulla con te, c'è poco da riparare. Il tuo compito è far sì che il fallimento abbia conseguenze. Con una policy reject e posta legittima autenticata, i riceventi che rispettano DMARC rifiuteranno o manderanno in spam i messaggi falsificati. Non puoi impedire a uno spoofer di inviare. Puoi solo far fallire la sua posta presso i riceventi che applicano la tua policy.
Alcuni passi in più sono ragionevoli:
- Annota volume e date per confrontarli con le settimane successive.
- Controlla l'IP di invio sulle blacklist pubbliche con il blacklist checker.
- Se la campagna è ampia e prende di mira i tuoi clienti, spiega al tuo team di assistenza che aspetto hanno i messaggi.
I report dei riceventi più piccoli, che non inviano dati aggregati, non ti mostreranno mai l'intera portata del fenomeno, quindi non interpretare una settimana tranquilla come la fine di una campagna di abusi.
Domande frequenti
01Come scopro chi possiede un indirizzo IP in un report DMARC?
Parti da una ricerca DNS inversa (PTR) e verifica con la ricerca diretta che il nome host risolva sullo stesso IP. Poi controlla se quell'IP è coperto da un include SPF nel tuo record e leggi il dominio della firma DKIM dal report grezzo. Se non bastano, una ricerca WHOIS o RDAP indica l'organizzazione che detiene il blocco di IP, restringendo la ricerca senza provare la responsabilità.
02Una sorgente sconosciuta nel mio report DMARC è sempre uno spoofer?
No. Molte delle sorgenti sconosciute in un primo report sono legittime: uno strumento di marketing o fatturazione attivato da qualcuno, un servizio di inoltro o il tuo stesso server che esegue uno script. Trattare ogni IP sconosciuto come un attaccante rischia di farti rifiutare la tua posta quando irrigidisci la policy. Classifica prima la sorgente e considerala uno spoofer solo se non ha alcun legame con te.
03Perché un inoltro fallisce DMARC nei report?
Quando un messaggio viene inoltrato, l'IP del server che lo inoltra non è nel tuo record SPF, quindi SPF fallisce o non è allineato. DKIM può comunque passare se il messaggio non è stato alterato, ed è per questo che l'allineamento DKIM è la strada più affidabile. Il rumore degli inoltri di solito si può lasciar stare invece di rincorrerlo sorgente per sorgente.
04Posso bloccare un mittente sconosciuto aggiungendolo a una deny list?
DMARC non ha una deny list. Controlli i risultati tramite la policy: i mittenti legittimi si autenticano con allineamento e tutto il resto fallisce. Con una policy reject, i riceventi che rispettano DMARC rifiutano o mandano in spam la posta che fallisce. Non puoi impedire a qualcuno di inviare con il tuo dominio, puoi solo far fallire quella posta presso i riceventi che applicano la tua policy.
Identificare chi invia con il tuo dominio è metà dell'igiene della posta; l'altra metà è la lista a cui scrivi. Il piano gratuito nella pagina dei prezzi ti dà 100 crediti per eseguire la verifica completa su una lista, e il verificatore email gratuito copre i singoli indirizzi. Un quadro di autenticazione pulito ha comunque bisogno di una lista sana alle spalle.
