Proteggi i domini che non inviano mai email

Cosa significa

Molte aziende possiedono domini che non usano mai per la posta: una variante ortografica, un vecchio nome aziendale, un dominio tenuto per un progetto futuro, una versione per un paese che si limita a reindirizzare al sito principale.

Un dominio senza record email non dà istruzioni ai destinatari. I truffatori adorano questi domini: possono inviare phishing "da" essi, e i destinatari non hanno un motivo chiaro per rifiutarlo.

Perché è importante

• Il phishing che usa il tuo marchio su un dominio di riserva danneggia comunque il tuo nome.
• Backscatter: quando lo spam con il tuo dominio dà bounce, i bounce possono tornare a te.
• Richiede cinque minuti e non costa nulla.

Come verificare

Inserisci ogni dominio inutilizzato su /domain-scanner. Un dominio che non invia email dovrebbe mostrare un SPF severo, un record DMARC con p=reject e nessun MX, oppure un "null MX".

Come risolvere

Apri il provider DNS di ogni dominio inutilizzato e aggiungi questi record.

1. SPF nullo: nessun server può inviare per questo dominio.

   yourdomain.com  TXT  "v=spf1 -all"

2. DMARC reject: rifiuta qualsiasi email che dichiari di provenire da esso.

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"

   Puoi aggiungere rua=mailto:dmarc@yourmaindomain.com per ricevere report sui tentativi di abuso. Inviare i report a un indirizzo su un altro dominio può richiedere un record di autorizzazione aggiuntivo su quel dominio; controlla le istruzioni del tuo servizio di report DMARC.
3. Null MX se il dominio non deve nemmeno ricevere email. Dice subito ai mittenti che il dominio non accetta email, invece di lasciarli riprovare per giorni:

   yourdomain.com  MX  0  .

   Il valore è un singolo punto con priorità 0. Rimuovi prima ogni altro record MX. Alcuni pannelli DNS non accettano un punto da solo; in quel caso semplicemente non avere alcun record MX.

Facoltativo: revocare DKIM

Alcuni esperti pubblicano anche una chiave DKIM vuota per tutti i selettori, così qualsiasi firma che usa il dominio fallisce:

*._domainkey.yourdomain.com  TXT  "v=DKIM1; p="

Non è obbligatorio: SPF -all più DMARC p=reject fanno già fallire ogni email.

Fai attenzione

• Assicurati che il dominio non invii davvero mai, nemmeno da un modulo del sito, una stampante, uno strumento di fatturazione o una vecchia casella. Questi record li bloccano tutti.
• Non usare il null MX su un dominio che riceve email, nemmeno per un solo indirizzo di inoltro.
• Fallo anche per i sottodomini che non usi: sp=reject sul tuo dominio principale li protegge tutti in una volta.
• Mantieni i domini rinnovati: un dominio scaduto può essere comprato da qualcun altro, con tutta la sua storia.

Verifica che sia risolto

Aspetta qualche minuto che il DNS si aggiorni, poi usa di nuovo lo Scanner di dominio su ogni dominio. Deve trovare v=spf1 -all, un record DMARC con p=reject, e il null MX oppure nessun MX. Ripeti il controllo ogni volta che compri un nuovo dominio.