netlupaVerificare il record DMARC di un dominio
DMARC dice al mondo cosa fare con le e-mail che falsificano il tuo dominio. Inseriscilo per controllarne la policy e i report.
Come si legge un record DMARC
DMARC è un record TXT su _dmarc.tuodominio.it che inizia con «v=DMARC1» seguito da tag separati da punto e virgola. Per esempio:
- v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=s
Il tag più importante è p, la policy: none (solo osservare), quarantine (mettere nello spam) o reject (rifiutare). Un messaggio supera DMARC se supera SPF o DKIM e, in più, il dominio verificato è allineato con il mittente che vede l'utente.
Con rua riceverai ogni giorno report XML dai grandi provider con tutti gli IP che hanno inviato posta a tuo nome: è così che scopri i servizi legittimi che falliscono e i tentativi di spoofing.
Ogni record nel dettaglio
Domande frequenti
Posso mettere subito «p=reject»?
Solo se sei sicuro che tutti i tuoi servizi di invio superino SPF o DKIM allineati. Altrimenti perderai posta legittima. La strada sicura è partire da «none», esaminare i report e irrigidire gradualmente.
I sottodomini hanno bisogno di un proprio DMARC?
No: ereditano la policy del dominio principale (o quella di «sp», se la indichi). Serve un record proprio solo se vuoi una policy diversa per un sottodominio.
Qual è il mio selettore DKIM?
Apri un'e-mail che hai inviato, guarda il sorgente o le intestazioni originali e cerca DKIM-Signature: il valore di «s=» è il selettore e quello di «d=» il dominio. Google Workspace di solito usa «google» e Microsoft 365 «selector1» e «selector2».
È meglio «~all» o «-all»?
Con DMARC attivo la differenza pratica è piccola, perché decide la policy DMARC. «-all» è più rigoroso; «~all» è più tollerante con gli inoltri e i servizi dimenticati. Senza DMARC, «-all» protegge di più.
Ho modificato il DNS e lo strumento non lo vede, perché?
I record DNS restano in cache per il tempo indicato dal loro TTL (spesso un'ora). Aspetta quel tempo e ricontrolla. Verifica anche che il record sia sul nome giusto (per esempio _dmarc.tuodominio.it per DMARC).
Servono SPF e DMARC su un dominio che non invia posta?
Sì, ed è molto consigliato: pubblica «v=spf1 -all» e «v=DMARC1; p=reject;» così nessuno potrà usare quel dominio per inviare e-mail false.
Salvate i domini che verifico?
No. Interroghiamo il DNS pubblico al momento, con il nostro resolver, e non salviamo né il dominio né il risultato.