Cos'è il DMARC?

Definizione

Domain-based Message Authentication, Reporting, and Conformance è il livello di policy dell'autenticazione email. SPF e DKIM eseguono ciascuno un controllo utile per conto proprio, ma nessuno dei due, da solo, guarda l'indirizzo From che il destinatario vede effettivamente, e nessuno dei due dice a un server ricevente cosa fare quando un controllo fallisce. Il DMARC colma entrambe le lacune. Indica ai destinatari come trattare la posta non autenticata e produce report che danno al proprietario del dominio visibilità su come il dominio viene usato.

Il nome stesso descrive i tre compiti che svolge. La parte authentication significa che il DMARC si basa direttamente sui risultati di SPF e DKIM. La parte reporting significa che i destinatari inviano al proprietario del dominio dati aggregati sui messaggi che dichiarano di provenire dal dominio, compreso quanti hanno passato il controllo e quanti hanno fallito. La parte conformance significa che il proprietario del dominio può dichiarare una policy a cui i destinatari dovrebbero conformarsi, che va dal non intervenire, al consegnare nello spam, fino al rifiutare del tutto. Insieme, questi trasformano SPF e DKIM da controlli isolati in una difesa applicabile e osservabile dell'identità del dominio.

Come funziona

Una policy DMARC viene pubblicata come un singolo record DNS TXT al sottodominio _dmarc.yourdomain.com. Il record inizia con v=DMARC1, dichiara la policy richiesta in un tag p= e di solito include un tag rua= che indica un indirizzo a cui inviare i report aggregati. Quando un messaggio arriva, il server ricevente esegue SPF e DKIM come al solito, poi effettua la valutazione DMARC sopra quei risultati.

Il cuore di DMARC è l'allineamento. Non basta che SPF o DKIM superino semplicemente il controllo. Il dominio convalidato da quei controlli deve anche corrispondere al dominio mostrato nell'header From visibile, perché proteggere quell'indirizzo From visibile è l'intero scopo di DMARC. Esistono due modalità di allineamento. L'allineamento rilassato, quello predefinito, accetta una corrispondenza a livello di dominio organizzativo, così un sottodominio può allinearsi con il suo dominio principale. L'allineamento rigido richiede una corrispondenza esatta del dominio. DMARC passa quando almeno uno tra SPF e DKIM supera il controllo e si allinea con il dominio del From. Ecco perché un messaggio può superare SPF o DKIM da solo e fallire comunque DMARC se il dominio convalidato non coincide con l'indirizzo From: una sorpresa comune quando chi invia stringe per la prima volta la propria policy.

Quando un messaggio fallisce DMARC, il destinatario applica la policy pubblicata. Una policy p=none chiede al destinatario di non intraprendere alcuna azione particolare e di includere semplicemente il messaggio nei report: è l'impostazione di monitoraggio. Una policy p=quarantine chiede al destinatario di trattare con sospetto la posta che fallisce, in genere instradandola nella cartella spam. Una policy p=reject chiede al destinatario di bloccare del tutto la posta che fallisce, così non raggiunge mai né la inbox né la cartella spam. Il rollout consigliato è graduale: parti da none, studia i report aggregati per confermare che ogni fonte di invio legittima si autentichi e si allinei, poi passa a quarantine e infine a reject una volta che i dati dimostrano che è sicuro. Applicare una policy rigida prima di aver completato la configurazione può portare un dominio a bloccare la propria posta legittima.

Perché è importante per la deliverability delle email

DMARC conta per due ragioni collegate. La prima è la sicurezza. Senza DMARC, un attaccante può inviare email di phishing che mostrano nell'indirizzo From il dominio esatto di un'azienda affidabile, perché SPF e DKIM da soli non controllano quel campo visibile. Una policy DMARC di quarantine o reject permette al vero proprietario del dominio di istruire i provider di posta di tutto il mondo a fermare quella posta contraffatta prima che raggiunga chiunque. La seconda ragione è la deliverability. Un record DMARC segnala ai provider che un dominio prende sul serio l'autenticazione, il che sostiene la reputazione del dominio e il suo posizionamento in inbox.

DMARC è diventato anche un requisito obbligatorio. In base ai requisiti per i mittenti del 2024 di Google e Yahoo, chi invia in massa deve pubblicare un record DMARC con una policy di almeno p=none e deve autenticarsi con SPF e DKIM in modo da allinearsi sotto DMARC. Un dominio senza record DMARC può vedere la propria posta di massa rallentata o rifiutata. Allo stesso tempo, i report che DMARC restituisce sono preziosi di per sé, perché rivelano ogni servizio che invia posta sotto il dominio. Questa visibilità aiuta chi invia a confermare che tutti i suoi strumenti legittimi, dalle piattaforme di marketing ai sistemi di supporto, si stiano autenticando correttamente prima di applicare qualsiasi policy più rigida.

Come la gestisce VeriMails

DMARC e la verifica delle email difendono la deliverability dai due estremi opposti del messaggio. DMARC protegge l'identità del tuo dominio sulla posta che invii, assicurando che i destinatari possano fidarsi che un messaggio che dichiara di provenire dal tuo dominio lo faccia davvero. La verifica delle email protegge la qualità della lista a cui invii, assicurando che ogni indirizzo sia reale e raggiungibile. Un dominio può avere una policy DMARC impeccabile e danneggiare comunque la propria reputazione inviando a indirizzi morti, quindi le due pratiche si completano a vicenda invece di sovrapporsi.

VeriMails si occupa del lato destinatario. Ogni indirizzo che invii viene controllato tramite validazione della sintassi, lookup MX e DNS, handshake SMTP dal vivo, rilevamento catch-all, rilevamento degli indirizzi usa e getta e rilevamento role-based, rimuovendo gli indirizzi non validi che genererebbero bounce ed eroderebbero la reputazione che i tuoi record DMARC, SPF e DKIM lavorano per proteggere. Per aiutarti sul lato autenticazione, VeriMails offre un generatore DMARC gratuito che costruisce un record formattato correttamente, così puoi iniziare in modalità di monitoraggio e stringere la policy man mano che i tuoi report confermano che è sicuro. Puoi verificare una lista tramite la REST API o un caricamento CSV in blocco, con categorie di deliverability chiare per le tue decisioni di campagna. La verifica parte da $0.0019 per email, con 10.000 crediti a $19 e piani annuali da $12.50/mese con fatturazione annuale, e ogni account inizia con 100 crediti gratuiti, senza bisogno di carta di credito, che non scadono mai.

Domande frequenti