Passare DMARC da p=none a quarantine o reject in sicurezza

Cosa significa

Con p=none, il tuo record DMARC raccoglie solo i report. I destinatari consegnano comunque le email che non superano i controlli, comprese quelle false inviate dai truffatori a tuo nome.

• p=quarantine: le email che falliscono DMARC finiscono nella cartella spam.
• p=reject: le email che falliscono DMARC vengono rifiutate. È la protezione completa.

Perché è importante

Il phishing e le fatture false che usano il tuo dominio danneggiano i tuoi clienti e la tua reputazione. Una policy DMARC forte li blocca. È anche necessaria per mostrare il tuo logo in Gmail e in altre caselle di posta (BIMI). Il rischio è andare troppo veloce: se uno dei tuoi veri strumenti di invio non è configurato bene, anche le sue email vengono bloccate.

Come verificare a che punto sei

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. La riga DMARC mostra la tua policy attuale.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record DNS senza inviare nulla.

Piano passo passo

Passo 1: monitora per 2-4 settimane

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Leggi i report ed elenca tutte le fonti che inviano con il tuo dominio: il tuo provider di posta, lo strumento di newsletter, il negozio, il software di fatturazione, il CRM, l'helpdesk. Il Monitoraggio DMARC di Delivmail nella dashboard a pagamento le raggruppa per te.

Passo 2: sistema ogni fonte legittima

Ogni fonte vera deve superare SPF o DKIM per il tuo dominio. Configura DKIM in ogni strumento e aggiungilo a SPF. Invia un test Delivmail da ogni strumento per conferma. Le fonti che non riconosci sono spesso spoofing: sono proprio quelle che DMARC bloccherà.

Passo 3: quarantine, gradualmente

Usa il tag pct per applicare prima la policy solo a una parte delle email che falliscono:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com

Aspetta una o due settimane, controlla i report e i riscontri dei tuoi clienti, poi sali a 50, poi a 100:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Passo 4: reject

Dopo qualche settimana pulita con quarantine al 100%:

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

Puoi usare di nuovo pct per un passaggio più morbido. Tieni l'indirizzo rua: i report restano utili per sempre.

Sottodomini

Di default i sottodomini seguono la tua policy principale. Se il tuo record dice sp=none, le email false da qualsiasi sottodominio vengono ancora consegnate. Toglilo, oppure imposta sp=reject quando sei sicuro che nessun sottodominio invii email non firmate.

Segnali di allarme da tenere d'occhio

• Clienti che ti dicono che le tue fatture o newsletter sono finite nello spam.
• Uno strumento conosciuto che compare come fallito nei report.
• Un nuovo strumento aggiunto da un collega senza configurazione DNS.

Se qualcosa si rompe, puoi sempre tornare indietro di un passo modificando il record. Sistema la fonte, poi vai di nuovo avanti.

Domini che non inviano mai email

Per i domini che possiedi ma non usi per le email, passa subito a reject, insieme a un SPF vuoto:

_dmarc.example.com  TXT  "v=DMARC1; p=reject;"
example.com         TXT  "v=spf1 -all"

Verifica che sia risolto

Avvia lo Scanner di dominio dopo ogni modifica per confermare che la nuova policy sia pubblicata. Invia email di test da ognuno dei tuoi strumenti: DMARC dovrebbe essere superato per tutti.