Le mailing list e Google Groups rompono DMARC

Cosa significa

Una lista di discussione (Google Groups, Mailman, un indirizzo di gruppo in Microsoft 365, molti strumenti per forum) riceve la tua email e ne invia una copia a ogni membro. Lungo il percorso spesso:

• la invia dai propri server, quindi il tuo SPF non corrisponde più;
• modifica il contenuto: aggiunge un tag come [club] all'oggetto o un piè di pagina con un link di disiscrizione, il che rompe la tua firma DKIM.

Con SPF e DKIM entrambi rotti per il tuo dominio, DMARC fallisce. Se il tuo dominio usa p=quarantine o p=reject, i membri potrebbero non ricevere mai il tuo messaggio.

Perché è importante

• I tuoi messaggi a una lista finiscono silenziosamente nello spam per alcuni membri.
• Se molte copie falliscono, la lista può contare dei bounce e persino disiscrivere automaticamente dei membri.
• I tuoi report DMARC mostrano fallimenti da server che non conosci, il che può sembrare spoofing.

Come lo risolvono le liste

Riscrivere il From

La maggior parte degli strumenti moderni per liste cambia l'header From quando il dominio del mittente ha una policy DMARC severa:

From: Jane Smith via Club Members <club@lists.example.com>
Reply-To: jane@yourdomain.com

Ora l'email proviene dal dominio della lista, che passa il proprio DMARC. Le risposte arrivano comunque al mittente. Google Groups lo fa automaticamente. In Mailman, cerca le impostazioni di mitigazione DMARC ("munge From" o "wrap message").

ARC

ARC (Authenticated Received Chain) permette alla lista di aggiungere una nota sigillata che dice "SPF e DKIM passavano quando l'ho ricevuta". I grandi destinatari come Gmail e Microsoft possono fidarsi di quella nota quando viene da intermediari ben noti. Google Groups aggiunge ARC. Aiuta, ma ogni destinatario decide se fidarsi.

Cosa fare

Se gestisci una lista

1. Attiva la riscrittura del From per i mittenti i cui domini usano p=quarantine o p=reject (o per tutti).
2. Evita di modificare i messaggi se puoi: niente tag nell'oggetto né piè di pagina mantiene intatto DKIM.
3. Autentica il dominio della lista con SPF, DKIM e DMARC.
4. Per i destinatari Microsoft 365, un amministratore può aggiungere un servizio di liste ai sigillatori ARC attendibili.

Se invii a delle liste

• Assicurati che DKIM firmi ogni email; con le liste che non modificano i messaggi, DKIM sopravvive.
• Prima di passare a p=reject, cerca i server delle liste nei tuoi report DMARC e chiedi ai gestori delle liste di attivare la riscrittura del From.
• Il monitoraggio DMARC di Delivmail, nella dashboard a pagamento, ti aiuta a individuare queste sorgenti nei tuoi report.

Verifica che sia risolto

Invia prima un'email di test direttamente all'indirizzo della home page di Delivmail: deve passare SPF, DKIM e DMARC, il che dimostra che la tua configurazione è corretta. Poi scrivi alla lista e chiedi a un membro su Gmail o Outlook se il messaggio è arrivato nella posta in arrivo, con il nome della lista nel From.