Record DMARC: come aggiungerlo nel modo giusto

Cos’è un record DMARC?

Gmail e Yahoo ora si aspettano un record DMARC da chi invia molta posta. Senza, i tuoi messaggi possono tornare indietro o finire nello spam. Un record DMARC è un record TXT nel tuo DNS che dice ai destinatari cosa fare quando un messaggio non supera SPF e DKIM.

Inoltre DMARC controlla una cosa che SPF da solo non verifica: che il dominio visibile nel campo Da corrisponda al dominio che ha superato SPF o DKIM. Di conseguenza impedisce a sconosciuti di inviare posta che sembra tua.

Come leggere un record DMARC

Un buon primo record DMARC è così:

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

• v=DMARC1 indica che il record è DMARC.
• p=none osserva soltanto. La posta arriva come prima, ma ricevi i report.
• p=quarantine manda nello spam la posta che fallisce.
• p=reject rifiuta del tutto la posta che fallisce.
• rua= è l’indirizzo che riceve i report giornalieri.

Quindi parti con p=none. Non cambia nulla nella consegna, eppure ti mostra ogni server che invia posta con il tuo dominio.

Come aggiungere un record DMARC

Prima di tutto assicurati che SPF sia attivo, perché DMARC si basa su di esso. Poi crea il record con il nostro generatore DMARC e SPF gratuito. Scegli la policy none e inserisci un indirizzo per i report.

Quindi aggiungi un record TXT nel pannello DNS. L’errore più comune è il nome. Deve essere _dmarc, non @. Su @ nessun destinatario lo cerca mai.

Infine cercalo per verificare che sia attivo:

nslookup -type=txt _dmarc.example.com

Puoi vederlo anche nel nostro DNS Records Checker.

Leggere i report DMARC

Dopo uno o due giorni, destinatari come Google e Microsoft iniziano a inviare report all’indirizzo rua. Ognuno è un piccolo file XML con i server che hanno inviato posta con il tuo dominio e se hanno superato SPF e DKIM.

Cerca i servizi reali che falliscono, come uno strumento per newsletter o un helpdesk. Sistemali per primi, di solito aggiungendoli a SPF o configurando DKIM. Invece i server sconosciuti che falliscono sono spesso falsificatori, ed è proprio ciò che DMARC bloccherà dopo.

Da p=none a p=reject

Quando tutti i tuoi servizi reali passano, rendi la policy più severa a gradini. Perciò non saltare subito a reject:

1. p=none per due-quattro settimane mentre leggi i report.
2. p=quarantine; pct=25 per mandare nello spam un quarto della posta che fallisce.
3. p=quarantine per tutta la posta che fallisce.
4. p=reject quando i report restano puliti.

In breve, ogni gradino è una piccola modifica che puoi annullare lo stesso giorno se qualcosa si rompe.

Cosa significa l’allineamento DMARC

DMARC non chiede solo se SPF o DKIM sono passati. Chiede inoltre se sono passati per lo stesso dominio che il lettore vede nel campo Da. Questa corrispondenza si chiama allineamento.

Allineamento SPF

SPF controlla l’indirizzo di ritorno nascosto, non il campo Da. Quindi, se uno strumento per newsletter invia con il proprio indirizzo di ritorno, SPF può passare mentre l’allineamento fallisce. Molti strumenti permettono un dominio di ritorno personalizzato per risolvere.

Allineamento DKIM

DKIM è allineato quando il dominio che firma, il valore d=, corrisponde al tuo dominio Da. Perciò configura DKIM con il tuo dominio in ogni servizio che invia per te, non con il dominio predefinito del servizio.

Rilassato e rigoroso

Di base l’allineamento è rilassato: mail.example.com vale come corrispondenza per example.com. La modalità rigorosa richiede una corrispondenza esatta. Quindi la maggior parte dei siti dovrebbe tenere il valore predefinito.

Altri tag DMARC utili

Quasi tutti i record hanno bisogno solo di v, p e rua. Tuttavia qualche tag in più serve quando le basi funzionano.

• sp= fissa una policy separata per i sottodomini.
• pct= applica la policy solo a una parte della posta che fallisce, per esempio il 25 per cento.
• ruf= chiede report dettagliati sui singoli errori; molti destinatari non li inviano più.
• adkim= e aspf= passano l’allineamento DKIM o SPF tra rilassato (r) e rigoroso (s).

In breve, aggiungi un tag solo quando sai perché ti serve. Infatti ogni tag in più è una cosa in più che può essere sbagliata.

DMARC per sottodomini e domini parcheggiati

Un record DMARC sul dominio principale copre anche i suoi sottodomini, a meno che un sottodominio non ne abbia uno suo. Quindi di solito basta un record su _dmarc.example.com.

I domini che non inviano mai posta sono un bersaglio facile per i falsificatori. Per questi pubblica subito una policy rigorosa, insieme a un record SPF che non permette nulla:

v=DMARC1; p=reject;

Poiché da un dominio parcheggiato non parte posta vera, non si blocca nulla di buono. Nel frattempo la posta falsa che usa il suo nome viene rifiutata.

Errori comuni

• Mettere il record su @ invece che su _dmarc.
• Partire con p=reject, così un servizio dimenticato perde tutta la posta.
• Aggiungere DMARC prima che SPF o DKIM funzionino.
• Usare un indirizzo per i report su un altro dominio senza il record di autorizzazione che quel dominio richiede.
• Non leggere mai i report, così la policy resta none per sempre.

In breve: nome _dmarc, si parte da none, si leggono i report e poi si stringe. Per i dettagli, leggi la guida di Google su DMARC.

Domande e risposte