Autenticazione e DNS
DMARC
DMARC è una regola che pubblichi nel DNS del tuo dominio. Dice ai server che ricevono cosa fare con un'email che usa il tuo dominio ma non supera i controlli SPF e DKIM. Dice anche dove inviarti i report.
Cos'è DMARC?
DMARC sta per Domain-based Message Authentication, Reporting and Conformance. È una regola che pubblichi nel DNS del tuo dominio. Il dominio è la parte dell'indirizzo dopo la @, ad esempio example.com. Il DNS è l'elenco pubblico di impostazioni di un dominio. Ogni server di posta lo può leggere.
La regola DMARC dice due cose ai server che ricevono le email. Primo, cosa fare con un'email che dice di venire dal tuo dominio ma non supera i controlli SPF e DKIM. Secondo, a quale indirizzo inviarti i report su chi invia email con il tuo dominio.
DMARC esiste per un motivo semplice. Chiunque può scrivere il tuo indirizzo nel campo Da di un'email. Senza DMARC, il server che riceve non sa cosa vuoi che faccia con le email false.
Un esempio: la falsa fattura scaduta
La tua azienda usa il dominio example.com. Un truffatore invia un'email a un tuo cliente. Il campo Da mostra billing@example.com. L'oggetto è "La tua fattura è scaduta". Nel testo c'è un link per pagare.
Il cliente vede example.com e si fida. Ma l'email non l'hai inviata tu. Ecco cosa succede se il tuo dominio ha un record DMARC con p=reject.
- L'email falsa arriva al server Gmail del cliente.
- Gmail controlla SPF. Il server del truffatore non è nel tuo record SPF, quindi SPF non passa per example.com.
- Gmail controlla DKIM. L'email non ha una firma valida di example.com, quindi DKIM non passa.
- Gmail legge il tuo record DMARC. Dice
p=reject, cioè blocca. - Gmail blocca l'email. Il cliente non la vede mai.
Le tue email vere superano gli stessi controlli e arrivano normalmente.
Come decide DMARC: l'allineamento
Un truffatore può superare SPF e DKIM con un dominio suo. Per esempio, può firmare l'email con il dominio truffa.example. Nel campo Da, però, scrive comunque il tuo dominio. SPF e DKIM da soli non collegano il controllo all'indirizzo che il lettore vede.
DMARC aggiunge questa regola. SPF o DKIM deve passare per lo stesso dominio che compare nel campo Da. Questa corrispondenza si chiama allineamento DMARC. Basta che uno dei due controlli passi e sia allineato. Se nessuno dei due lo è, l'email non supera DMARC.
Le tre policy DMARC
La policy è il valore del tag p. Indica cosa fare con un'email che non supera DMARC.
| Policy | Cosa succede all'email che non supera DMARC | Quando usarla |
|---|---|---|
p=none | Niente. Viene consegnata come sempre e tu ricevi i report. | All'inizio, mentre trovi tutti i servizi che inviano per te |
p=quarantine | Finisce nella cartella spam. | Quando tutti i tuoi servizi di invio superano i controlli |
p=reject | Viene bloccata del tutto. | Quando sei sicuro che nessuna email vera fallirà |
Un primo record DMARC
Un record DMARC è un record TXT pubblicato al nome _dmarc.example.com. Un record TXT è una riga di testo semplice nelle impostazioni DNS. Molti domini iniziano con questo record:
v=DMARC1; p=none; rua=mailto:reports@example.comv=DMARC1dice che è un record DMARC. Deve venire per primo.p=noneè la policy. Per ora non cambia niente per le tue email.rua=mailto:reports@example.comè l'indirizzo che riceve i report. Di solito arriva un report al giorno da ogni provider. Il report elenca i server che hanno inviato email con il tuo dominio e dice se hanno superato i controlli.
Pubblica un solo record DMARC per dominio. Se un server ne trova due, li ignora entrambi.
Come iniziare con DMARC
- Pubblica un record con
p=nonee un indirizzorua. - Leggi i report per alcune settimane. Trova ogni servizio che invia email per te, come la piattaforma di newsletter e il software di assistenza clienti.
- Fai in modo che ognuno superi SPF o DKIM con il tuo dominio.
- Passa a
p=quarantine. - Quando i report non mostrano più email vere che falliscono, passa a
p=reject.
Il nostro generatore DMARC (in inglese) crea il record per te. La guida cos'è un record DMARC spiega ogni tag e come leggere i report.
Chi richiede DMARC
Google e Microsoft richiedono un record DMARC a chi invia 5.000 o più email al giorno ai loro account personali. Per Google sono gli account Gmail. Per Microsoft sono Outlook.com, Hotmail e Live. Per queste regole basta anche p=none, purché il dominio nel campo Da sia allineato con SPF o DKIM.
Ma p=none non blocca le email false. Per proteggere davvero il dominio serve p=quarantine o p=reject.
Lo standard attuale è la RFC 9989, pubblicata a maggio 2026. Ha sostituito la RFC 7489. I record esistenti continuano a funzionare, perché iniziano ancora con v=DMARC1.
DMARC e verifica email
DMARC protegge il tuo dominio da chi lo usa senza permesso. Non controlla se gli indirizzi della tua lista esistono. Un'email che supera DMARC rimbalza comunque se la casella del destinatario è stata chiusa. Prima di inviare, controlla un indirizzo con la verifica email o tutta la lista con la verifica email in blocco. Il nostro servizio di verifica email trova gli indirizzi inesistenti, così meno email rimbalzano.
Termini correlati
- Record SPFUn record SPF è un'impostazione pubblica del tuo dominio che elenca i server autorizzati a inviare email a tuo nome. I server che ricevono la tua email lo controllano. Così confermano che l'email arriva davvero da uno dei tuoi server.
- DKIMDKIM è una firma digitale che il tuo server aggiunge a ogni email. Chi riceve l'email la controlla con una chiave pubblicata nel DNS del tuo dominio. Se la firma è valida, l'email viene dal tuo dominio e nessuno l'ha modificata durante il viaggio.
- Email spoofingLo spoofing email è l'invio di un'email con un indirizzo mittente falso. L'email sembra arrivare da una persona o da un'azienda che conosci, ma l'ha inviata qualcun altro. I truffatori lo usano per chiedere soldi o password.
- BIMIBIMI è uno standard email che mostra il logo del tuo marchio accanto alle tue email, nelle caselle di posta che lo supportano. Funziona solo se il tuo dominio ha DMARC con una policy quarantine o reject. Il logo si pubblica con un record BIMI nel DNS.
- Record TXT DNSUn record TXT DNS è una riga di testo salvata nelle impostazioni del tuo dominio. I server di posta leggono i record TXT per controllare SPF, DKIM e DMARC. Altri servizi li leggono per confermare che il dominio è tuo.