Che cos'è un record DMARC?
DMARC si basa su SPF e DKIM per indicare ai destinatari cosa fare con la posta che non supera l'autenticazione e dove inviare i report. Una policy 'p=none' si limita a monitorare; 'quarantine' e 'reject' proteggono davvero il tuo dominio dallo spoofing. IPeek legge il record su _dmarc.tuo-dominio, analizza ogni tag e valuta la solidità della policy.
Come funziona DMARC con l'allineamento
DMARC è un record TXT su _dmarc.tuo-dominio che inizia con v=DMARC1. Passa quando un messaggio supera SPF o DKIM e il dominio autenticato si allinea con il dominio From visibile. L'allineamento è la chiave: un truffatore può superare SPF o DKIM grezzo sul proprio dominio, ma non può allinearlo con il tuo. Un record come v=DMARC1; p=reject; rua=mailto:reports@tuo-dominio; adkim=s; aspf=s impone il rifiuto e richiede l'allineamento rigoroso sia per DKIM sia per SPF.
Come interpretare p=none, quarantine e reject
Il tag p definisce la tua policy. p=none si limita a monitorare — la posta continua a fluire, ma raccogli report per vedere chi invia a tuo nome. p=quarantine instrada la posta non conforme nello spam, mentre p=reject la blocca del tutto, la protezione più forte contro lo spoofing. Il tag pct consente di aumentare gradualmente l'applicazione (ad esempio pct=25), e sp imposta una policy separata per i sottodomini. Parti da none per raccogliere dati, poi stringi verso quarantine e reject una volta che i tuoi mittenti legittimi superano il controllo. IPeek valuta quanto è solida la tua policy attuale.
I report DMARC e il tag rua
Il sistema di reportistica è ciò che rende DMARC concreto. Il tag rua indica una casella che riceve report aggregati XML giornalieri, riepilogando quali fonti hanno inviato posta a nome del tuo dominio e se hanno superato SPF, DKIM e allineamento. Usa questi report per individuare mittenti legittimi che hai dimenticato di autorizzare prima di stringere la policy. Il tag opzionale ruf richiede report forensi (per singolo fallimento), anche se la maggior parte dei destinatari non li invia più per motivi di privacy. Senza rua applichi la policy alla cieca.