DMARC fallisce: SPF e DKIM non corrispondono al tuo dominio

Cosa significa

DMARC non si chiede solo "SPF o DKIM sono superati?". Si chiede "sono superati per lo stesso dominio che compare nell'indirizzo From?". Questa corrispondenza si chiama allineamento.

• SPF verifica il mittente nascosto della busta (Return-Path). Gli strumenti di newsletter e CRM spesso ci mettono il proprio dominio, come bounces.newsletter-example.com.
• DKIM verifica il dominio della firma (d=). Se nello strumento non hai configurato DKIM per il tuo dominio, firma con il proprio dominio.

Quindi SPF e DKIM possono essere entrambi superati, per il dominio del provider, mentre DMARC fallisce per il tuo.

Perché è importante

È sul fallimento DMARC che i destinatari agiscono. Con p=quarantine la tua email va nello spam; con p=reject viene rifiutata. Anche con p=none, Gmail e Yahoo si aspettano che chi invia grandi volumi superi DMARC.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. Guarda insieme le righe SPF, DKIM e DMARC: mostrano quale dominio ha usato ogni controllo e se la firma DKIM arriva dal tuo dominio o dal tuo provider.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record DNS senza inviare nulla.

Come risolvere

Ti basta un solo controllo allineato per superare DMARC. DKIM è la scelta migliore perché sopravvive anche all'inoltro.

Opzione 1: configura DKIM per il tuo dominio (consigliato)

1. Nello strumento di invio, cerca "autenticazione del dominio" o "DKIM".
2. Aggiungi al tuo DNS i record che ti dà (di solito TXT o CNAME sotto ._domainkey).
3. Conferma nello strumento. Le firme useranno quindi d=yourdomain.com.

Opzione 2: usa un Return-Path personalizzato

Molti servizi email ti permettono di usare un tuo sottodominio come mittente della busta, spesso chiamato "custom return path" o "custom bounce domain". Aggiungi un CNAME come:

bounces.yourdomain.com  CNAME  (value given by your email service)

SPF viene quindi verificato sul tuo sottodominio, che è allineato con il tuo dominio.

Opzione 3: il tuo server

Se l'email parte dal tuo server, assicurati che il mittente della busta usi il tuo dominio e che l'IP del server sia nel tuo record SPF, e firma con DKIM per il tuo dominio.

Allineamento strict e relaxed

Di default DMARC usa l'allineamento relaxed (flessibile): mail.yourdomain.com corrisponde a yourdomain.com. Se il tuo record contiene adkim=s o aspf=s (strict, rigido), i domini devono corrispondere esattamente. A meno che tu non abbia un buon motivo, togli questi tag:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Inoltro e mailing list

Quando un'email viene inoltrata, SPF si rompe perché il server che inoltra non è nella tua lista. Le mailing list che modificano il contenuto rompono anche DKIM. Non puoi risolverlo del tutto dal tuo lato, ed è per questo che un DKIM allineato è così importante.

Verifica che sia risolto

Invia una nuova email di test dalla home page, da ogni strumento che usi. La riga DMARC dovrebbe risultare superata. Con il Monitoraggio DMARC di Delivmail nella dashboard a pagamento, puoi anche seguire i report giornalieri e vedere ogni fonte che fallisce ancora.