Cosa decide DMARC
SPF e DKIM dimostrano ciascuno qualcosa su un dominio, ma nessuno dei due controlla l'indirizzo nella riga From, quello che le persone leggono. DMARC li collega a quell'indirizzo. Un messaggio supera DMARC quando SPF o DKIM viene superato per un dominio che corrisponde al dominio From, mentre il record indica ai destinatari cosa fare con un messaggio che non supera il controllo.
Il record si trova nel DNS come record TXT, nel nome formato da _dmarc seguito dal tuo dominio. Quando non esiste alcun record per quel nome, i destinatari cercano invece il dominio organizzativo, cioè il dominio registrato, example.com per news.example.com. Per questo un sottodominio può essere coperto senza avere un record proprio.
Come leggere la policy
p=none chiede ai destinatari di non intervenire e di inviare soltanto i report. È il punto da cui tutti dovrebbero iniziare e nel quale troppi domini restano per anni. Finché è attivo, chiunque può inviare email con il tuo dominio nella riga From e al destinatario viene indicato di accettarle.
p=quarantine invia nello spam le email che non superano il controllo, mentre p=reject le rifiuta alla ricezione. Da febbraio 2024 Gmail e Yahoo richiedono ai mittenti di grandi volumi di pubblicare un record DMARC. Un record con p=none soddisfa formalmente questo requisito, ma lo strumento di verifica lo segnala comunque con un avviso.
Report che non arrivano mai
Gli indirizzi rua ricevono un report aggregato da ogni destinatario che vede le tue email, per impostazione predefinita una volta al giorno. Se un indirizzo appartiene a un dominio diverso da quello del record, RFC 7489 richiede che l'altro dominio pubblichi un record di autorizzazione che dichiari di accettare i report per il tuo dominio. Lo strumento di verifica cerca questo record per ogni indirizzo esterno. Senza tale record, i destinatari scartano i report.
Domande
Come aggiungo un record DMARC?
Pubblica un record TXT nel nome formato da _dmarc seguito dal tuo dominio, con v=DMARC1 e una policy, per esempio v=DMARC1; p=none; rua=mailto:dmarc@example.com. Inizia con p=none, leggi i report per alcune settimane, quindi passa a quarantine e in seguito a reject. Controlla qui il record dopo che è stato propagato nel DNS.
p=none è un problema?
Come primo passo svolge il suo compito: raccoglie i report senza influire sul recapito, permettendoti di individuare i servizi che inviano per tuo conto ma non sono ancora autenticati. Diventa un problema se rimane così, perché lo scopo dei report è arrivare prima alla quarantena e poi al rifiuto.
Serve un record separato per ogni sottodominio?
Un sottodominio senza un proprio record usa il record del dominio organizzativo, mentre il tag sp in quel record imposta la policy per i sottodomini. Quindi, in genere, un solo record li copre tutti.
Allineamento rilassato o rigoroso?
Rilassato, a meno che tu non abbia un motivo per scegliere diversamente. Con l'allineamento rilassato, una firma DKIM di mail.example.com è valida per gli indirizzi From di example.com. L'allineamento rigoroso impedisce questo e compromette molte configurazioni in cui un provider firma usando un sottodominio.
Cosa significa "DMARC policy not enabled"?
Significa che il record DMARC del dominio specifica p=none oppure che il dominio non ha alcun record DMARC. Con p=none, i destinatari consegnano normalmente i messaggi che non superano i controlli e inviano solo i report all'indirizzo rua, quindi nessuno viene ancora bloccato dall'inviare messaggi usando il tuo dominio.
Guida completa: DMARC policy not enabled
Un dominio può avere più di un record DMARC?
No. Quando _dmarc contiene due record TXT che iniziano con v=DMARC1, i destinatari li ignorano entrambi e considerano il dominio privo di un record DMARC. Conservane uno e aggiungici i tag necessari presenti nell'altro.
Quarantena o rifiuto?
Inizia con la quarantena. I server riceventi trattano le email che non superano il controllo come sospette, di solito spostandole nello spam. In questo modo, se hai dimenticato un servizio legittimo, il messaggio finisce in una cartella anziché andare perso. Passa a reject quando i report mostrano che nessuna delle tue email fallisce i controlli da alcune settimane.