Controllo DMARC:
la tua policy blocca davvero qualcosa?

Digita il tuo dominio qui sopra. Recuperiamo il record TXT su _dmarc.yourdomain, confermiamo che ce ne sia esattamente uno v=DMARC1 (due significa che i destinatari non ne vedono nessuno), e analizziamo ogni tag secondo RFC 7489 con i valori predefiniti resi espliciti (p=, sp=, pct=, adkim=/aspf=, rua=/ruf=, fo=). Poi valutiamo il livello di enforcement e verifichiamo che le destinazioni dei report da noi valutate possano ricevere davvero i report. Gratis, senza registrazione.

Dice a ogni destinatario: «quando la mail fallisce DMARC, non fare nulla — consegnala, ma mandami un report». Non viene messo nulla in quarantena e non viene rifiutato nulla. Una fattura contraffatta arriva nella casella del tuo cliente esattamente come se tu non avessi DMARC. Ciò che p=none ti dà è visibilità: i report aggregati elencano ogni server che invia a nome del tuo dominio, legittimo o no. Per questo è il primo gradino corretto di un rollout, e un pessimo posto dove restare per sempre. Se il tuo record dice p=none da più di 2 trimestri, non stai «facendo DMARC». Stai guardando altri impersonarti in alta definizione.

Una scala, non un salto. Primo: p=none con rua= per un trimestre. Leggi i report, individua ogni mittente legittimo (lo strumento di fatturazione che nessuno ricordava) e correggi il loro allineamento SPF/DKIM. Poi: p=quarantine; pct=10, alzando pct a 50 e poi a 100 mentre i report restano puliti. Poi: p=reject. Se un sottodominio è in ritardo (una piattaforma di newsletter a metà migrazione), dagli un suo record _dmarc.sub separato invece di tenere l'intero dominio a none. Vincola ogni passo ai dati dei report — sono i report la rete di sicurezza che rende sicura la severità.

rua= è il reporting aggregato: riepiloghi XML giornalieri da ogni destinatario — quali IP hanno inviato a tuo nome, quanti sono passati o falliti, con quale policy. È quello che conta davvero; è così che guidi la scala. ruf= è il reporting forense: copie dei singoli messaggi falliti. La maggior parte dei grandi destinatari, Gmail e Microsoft inclusi, non li invia più per motivi di privacy. Considera ruf= un bonus da destinatari minori, non una fonte di dati su cui contare. Entrambi accettano solo URI mailto:, ed entrambi sono soggetti al controllo di autorizzazione della destinazione esterna che questo strumento esegue.

La causa classica è proprio il controllo per cui esiste questo strumento: il tuo rua= punta a un dominio che non è il tuo, e quel dominio non ha mai pubblicato il record di autorizzazione. RFC 7489 §7.1 impone ai destinatari di verificare prima il consenso: interrogano yourdomain._report._dmarc.destinationdomain aspettandosi una risposta v=DMARC1. Nessuna risposta → il report viene scartato in silenzio, senza bounce e senza errori visibili. Succede quando il dominio del vendor ha un refuso, o quando cambi vendor ma non il record. Succede anche quando i report finiscono su una casella di un'agenzia mai configurata per il reporting cross-domain. Eseguiamo la query per ogni destinazione che valutiamo e ti mostriamo esattamente il record mancante.

L'allineamento è il modo in cui DMARC collega SPF/DKIM alla riga From: che il lettore vede. Relaxed (il valore predefinito, r) accetta una corrispondenza a livello di dominio organizzativo — la mail firmata da news.yourdomain.com si allinea con yourdomain.com. Strict (s) richiede una corrispondenza esatta. Relaxed è la scelta giusta per quasi tutti; strict chiude una falla stretta (un sottodominio compromesso o delegato che garantisce per la tua radice) al prezzo di rompere ogni mittente su sottodominio che avevi dimenticato. Passa a strict solo dopo che i report mostrano un trimestre di allineamento pulito ed esatto.

Blocca lo spoofing a dominio esatto presso i destinatari che collaborano — che è la maggior parte del volume di caselle di posta su internet. Restano tre falle. DMARC giudica solo l'allineamento, quindi vale esattamente quanto SPF e DKIM sottostanti. Un SPF in permerror o una chiave DKIM revocata indeboliscono reject silenziosamente. Un pct<100 o uno sp= più debole lasciano buchi deliberati. E i domini simili (yourcompany-billing.com) sono fuori portata, perché nessun tuo record DMARC può parlare per un dominio che non possiedi. Controlla l'intero stack: i nostri strumenti SPF e DKIM coprono la prima falla.