I tag DMARC spiegati: p, sp, pct, rua, ruf, fo, adkim, aspf

Cosa significa

Un record DMARC è un record TXT su _dmarc.yourdomain.com. È composto da tag: nomi brevi seguiti da = e da un valore, separati da punti e virgola. Per esempio:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com; adkim=r; aspf=r

Solo v e p sono obbligatori. Gli altri sono facoltativi e hanno valori predefiniti.

Perché è importante

Un tag sbagliato può rendere inutile il tuo record, o impedire ai report di arrivare. Un tag frainteso può anche bloccare le tue stesse email. Sapere cosa fa ogni parte ti permette di cambiare la tua policy in sicurezza.

I tag uno per uno

Obbligatori

• v=DMARC1: la versione. Deve venire per primo, scritto esattamente così.
• p: la policy per le email che non superano DMARC. none significa solo osservare, quarantine significa mettere nello spam, reject significa rifiutare l'email.

Report

• rua: dove inviare i report aggregati, riepiloghi giornalieri di chi ha inviato email con il tuo dominio. Esempio: rua=mailto:dmarc@yourdomain.com. Fortemente consigliato.
• ruf: dove inviare i report di errore, copie di singole email che falliscono. Oggi pochi provider li inviano, e possono contenere dati personali. La maggior parte delle persone lo omette.
• fo: quando inviare i report di errore. 0 (predefinito) quando tutto fallisce, 1 quando qualcosa fallisce. Utile solo con ruf.

Ambito

• sp: la policy per i sottodomini, come shop.yourdomain.com. Senza di esso, i sottodomini seguono p.
• pct: la percentuale di email che falliscono a cui si applica la policy, da 0 a 100 (predefinito 100). Per esempio p=quarantine; pct=25 mette in quarantena un quarto delle email che falliscono. Utile per un passaggio graduale, ma le versioni più recenti di DMARC lo stanno sostituendo, quindi non contarci a lungo.

Allineamento

• adkim: quanto il dominio DKIM deve corrispondere al dominio del From. r (relaxed, predefinito) accetta i sottodomini; s (strict) richiede una corrispondenza esatta.
• aspf: lo stesso, per il dominio SPF (il Return-Path).

Lasciali entrambi su relaxed a meno che tu non abbia un buon motivo: la modalità strict rompe spesso gli strumenti di newsletter che usano un sottodominio.

Come verificare

• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere il tuo record DMARC e i suoi tag.
• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report. La riga DMARC mostra il risultato e la policy applicata.

Record sicuri per ogni fase

All'inizio, solo osservazione:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Quando i report mostrano che tutti i tuoi mittenti superano il controllo:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Protezione completa, sottodomini inclusi:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@yourdomain.com

Errori comuni

• Dimenticare mailto: prima dell'indirizzo dei report.
• Virgole invece di punti e virgola tra i tag.
• Due record DMARC con lo stesso nome: i destinatari li ignorano entrambi.
• Inviare i report a un dominio diverso dal tuo senza il record di autorizzazione richiesto in quel caso.

Verifica che sia risolto

Le modifiche DNS non sono immediate. La maggior parte è visibile in pochi minuti, ma alcuni provider impiegano fino a 24-48 ore. Avvia di nuovo lo Scanner di dominio: il record DMARC dovrebbe essere letto senza errori e mostrare i tag che hai impostato.