Come configurare il DMARC — guida passo passo

Il DMARC (Domain-based Message Authentication, Reporting & Conformance) indica ai server di posta riceventi cosa fare quando le e-mail del tuo dominio non superano l'autenticazione. Si basa su SPF e DKIM per darti controllo e visibilità sulla tua posta.

SPF controlla il server che invia, DKIM controlla la firma e DMARC decide cosa succede quando uno dei due fallisce.

Prerequisiti

Prima di configurare il DMARC dovresti avere:

SPF record configurato per il tuo dominio
la firma DKIM impostata presso il tuo provider di posta

Il DMARC verifica che almeno uno tra SPF e DKIM sia allineato con il dominio del From:.

Passo 1: creare un record DMARC di monitoraggio

Start with p=none — così monitori senza rifiutare alcuna e-mail. Aggiungi un record TXT su _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

In questo modo i server riceventi invieranno i report aggregati al tuo indirizzo e-mail.

Passo 2: esaminare i report

Dopo qualche giorno riceverai report XML che mostrano quali server inviano e-mail dal tuo dominio e se superano SPF/DKIM. Esaminali per assicurarti che la posta legittima si autentichi correttamente.

Usa un analizzatore di report DMARC (esistono molte opzioni gratuite) per convertire l'XML in un formato leggibile.

Passo 3: passare alla quarantena

Quando la tua posta legittima passa in modo costante, cambia in p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

The pct=10 significa applicare la policy solo al 10% della posta che fallisce. Aumenta gradualmente fino al 100% man mano che acquisisci sicurezza.

Passo 4: applicare con reject

La policy più severa: le e-mail che falliscono vengono rifiutate direttamente:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parametri del record DMARC

Tag	Example	Description
`p`	`p=reject`	Policy: none, quarantine o reject
`sp`	`sp=quarantine`	Policy per i sottodomini (se omessa, eredita p)
`pct`	`pct=50`	Percentuale di posta a cui applicare la policy (1-100)
`rua`	`rua=mailto:[email protected]`	Destinazione dei report aggregati
`ruf`	`ruf=mailto:[email protected]`	Destinazione dei report forensi (di errore)
`adkim`	`adkim=s`	Allineamento DKIM: s (rigido) o r (rilassato)
`aspf`	`aspf=r`	Allineamento SPF: s (rigido) o r (rilassato)

L'allineamento DMARC spiegato

Il DMARC richiede l'«allineamento»: il dominio nell'intestazione From: dell'e-mail deve corrispondere al dominio usato nell'autenticazione SPF o DKIM:

Relaxed (r) — i sottodomini sono ammessi (valore predefinito). mail.example.com aligns with example.com
Strict (s) — è richiesta la corrispondenza esatta. mail.example.com NON è allineato con example.com

Errori comuni

Passare subito a p=reject senza monitorare prima: la posta legittima potrebbe fallire
Mettere il record sulla radice del dominio invece che su _dmarc.yourdomain.com
Non configurare prima SPF e DKIM
Dimenticare di includere rua — senza report non puoi controllare cosa sta accadendo

Controlla il tuo record DMARC

Usa la verifica della sicurezza e-mail per confermare che il DMARC sia configurato correttamente:

Controlla il tuo DMARC →← Che cos'è l'SPF?

Provalo sul tuo dominio

Vedi la teoria in pratica: esegui Verifica della sicurezza e-mail sul tuo dominio.