Record DMARC

Ti serve davvero?

Se invii email da un indirizzo Gmail o Outlook personale, non devi occuparti di DMARC. Ci pensano Google e Microsoft per te.

Ma se invii da un dominio personalizzato (tu@tuaazienda.com), è una tua responsabilità. Google e Yahoo hanno annunciato nel 2023 che i mittenti di massa devono avere DMARC configurato e, alla fine del 2025, Gmail ha iniziato un'applicazione rigorosa, con i messaggi non conformi che ora rischiano rifiuti temporanei o permanenti. Microsoft ha seguito con regole simili per i mittenti ad alto volume nel 2025.

Potresti imbatterti in DMARC per la prima volta quando le tue email iniziano a finire nello spam senza motivo apparente. Oppure il tuo registrar di dominio segnala un record di autenticazione mancante. O il team IT di un cliente ti chiede perché i tuoi messaggi non superano i loro controlli di sicurezza. È il momento in cui questo smette di essere astratto.

Invii newsletter o email ai clienti da un dominio personalizzato? Configuralo. Non è più facoltativo.

Cosa fa davvero DMARC

Senza una policy DMARC, un server ricevente deve prendere una decisione autonoma quando riceve un'email che non supera i controlli di autenticazione. A volte la consegna comunque. A volte no. Non hai né visibilità né controllo.

DMARC cambia le cose. Il tuo record indica al server ricevente esattamente cosa fare con quelle email non riuscite: consegnare normalmente (p=none), inviare allo spam (p=quarantine) o respingere del tutto (p=reject). Ricevi anche dei report. I server riceventi ti inviano dati giornalieri che mostrano quali messaggi hanno superato l'autenticazione, quali no e quali indirizzi IP hanno inviato email per conto del tuo dominio.

È in quest'ultima parte che DMARC si dimostra prezioso per le piccole imprese. Senza di esso, qualcuno potrebbe inviare email di phishing che sembrano provenire esattamente dall'indirizzo della tua azienda. I tuoi clienti vengono truffati, danno la colpa al tuo brand e tu non hai idea che stia accadendo. I report te lo dicono. La policy di applicazione lo blocca.

Non è solo una misura di sicurezza. È anche una questione di deliverability delle email.

Come è strutturato un record DMARC

I record DMARC risiedono nel tuo DNS come record TXT, pubblicati su _dmarc.tuodominio.com. Uno di base ha questo aspetto:

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Le parti chiave da comprendere:

p= è la tua policy. Inizia con none (solo monitoraggio, nessuna azione intrapresa). Una volta confermato che le tue email legittime superano l'autenticazione, passa a quarantine, poi a reject.

rua= è dove vanno i tuoi report aggregati. È l'indirizzo email che riceve i riepiloghi XML giornalieri dai server riceventi. Ti conviene usare una casella dedicata per questi, poiché il volume può accumularsi rapidamente.

v=DMARC1 è solo il tag di versione. Sempre DMARC1.

Onestamente, è la maggior parte di ciò che ti serve per una configurazione di base. Gli altri tag (adkim=, aspf=, sp=) controllano la rigidità dell'allineamento e la policy dei sottodomini, ma non devi preoccupartene il primo giorno.

Come configurare un record DMARC

DMARC è un'operazione DNS. Stai aggiungendo un record di testo al tuo dominio. Ma prima di toccare qualsiasi cosa, assicurati che SPF e DKIM siano già configurati e funzionanti. Google consiglia di attendere 48 ore dopo aver configurato SPF e DKIM prima di aggiungere il record DMARC. Se salti questo passaggio, probabilmente creerai problemi di consegna alle tue stesse email.

Configurazione generale (funziona con qualsiasi registrar di dominio):

1. Conferma che SPF e DKIM siano attivi per il tuo dominio. Usa il controllo DMARC gratuito di MXToolbox per verificare.
2. Genera il tuo record DMARC usando uno strumento gratuito come il generatore di record di EasyDMARC o il generatore DMARC di MXToolbox. Inizia con p=none.
3. Accedi al tuo registrar di dominio o provider DNS (Cloudflare, GoDaddy, Namecheap, ecc.)
4. Aggiungi un nuovo record TXT. Imposta il Nome su _dmarc e incolla la stringa della policy generata come Valore.
5. Salva e attendi fino a 48 ore per la propagazione DNS.
6. Verifica che sia attivo usando il controllo DMARC di MXToolbox.

Per Google Workspace: la guida ufficiale alla configurazione DMARC di Google illustra la procedura specificamente per i domini Workspace.

Per Microsoft 365: la documentazione di configurazione DMARC di Microsoft copre la configurazione per gli ambienti 365.

Non devi configurare nulla all'interno di Gmail, Outlook o Spark. DMARC risiede interamente a livello DNS, non all'interno del tuo client di posta.

Come implementare DMARC senza compromettere le tue email

Configura prima SPF e DKIM. DMARC non funzionerà senza di essi. Se salti questo passaggio, probabilmente causerai problemi di consegna alle tue stesse email prima di risolvere qualsiasi cosa. Non saltarlo.

Inizia con p=none e attendi. Non avere fretta di passare a p=reject. Dedica una o due settimane solo a raccogliere i report. Probabilmente scoprirai strumenti che avevi dimenticato inviassero per tuo conto. È normale. Tra i più comuni ci sono Mailchimp, CRM, software di fatturazione, qualsiasi cosa che invii email usando l'indirizzo del tuo dominio.

Controlla ogni strumento che invia email per te. Ciascuno deve essere correttamente autenticato prima di irrigidire la tua policy. Dimenticarne uno è il modo più comune in cui questo va storto. Passi a p=reject e improvvisamente le tue newsletter di Mailchimp smettono di essere consegnate perché hai dimenticato di configurare DKIM tramite il tuo ESP.

Usa uno strumento dashboard per i report. I report grezzi sono file XML. Illeggibili per la maggior parte delle persone. I piani gratuiti di EasyDMARC o MXToolbox li trasformano in qualcosa di comprensibile. Usane uno.

Passa a p=reject prima o poi. p=none è un punto di partenza, non una destinazione. Finché non ci arrivi, il tuo dominio è ancora vulnerabile allo spoofing. L'obiettivo è l'applicazione completa. Ci vogliono solo poche settimane per arrivarci in sicurezza.

Termini correlati

• DKIM