Come leggere i report aggregati DMARC (rua)

Cosa significa

Quando il tuo record DMARC contiene un indirizzo rua=, destinatari come Google, Microsoft e Yahoo ti inviano un riepilogo giornaliero chiamato report aggregato. Elenca ogni indirizzo IP che ha inviato email usando il tuo dominio, quante email, e se hanno passato SPF e DKIM.

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

I report arrivano come allegati compressi (.zip o .gz) che contengono un file XML. Sono scritti per le macchine, ma puoi leggerli.

Perché è importante

• Mostrano tutti i tuoi mittenti, compresi quelli che hai dimenticato: uno strumento di fatturazione, un vecchio server, l'app di un collega.
• Rivelano chi prova a inviare email false con il tuo dominio.
• Ti servono prima di passare DMARC da p=none a quarantine o reject, per essere sicuro che nulla di legittimo venga bloccato.

Le parti principali di un report

Chi ha inviato il report

In report_metadata: org_name (per esempio google.com), un report_id e un date_range, di solito 24 ore, scritto come timestamp Unix.

La tua policy pubblicata

In policy_published: il record DMARC che il destinatario ha visto, come p=none e le modalità di allineamento.

Un blocco per ogni sorgente

Ogni record descrive un IP di invio:

<source_ip>203.0.113.10</source_ip>
<count>42</count>
<disposition>none</disposition>
<dkim>pass</dkim>
<spf>fail</spf>
<header_from>yourdomain.com</header_from>

• count: numero di email da questo IP.
• disposition: cosa ha fatto il destinatario (none, quarantine, reject).
• dkim e spf sotto policy_evaluated: il risultato DMARC, che richiede che il dominio corrisponda al dominio del tuo From. Basta un pass perché DMARC passi.
• auth_results: i controlli SPF e DKIM grezzi, con il dominio effettivamente verificato. Confrontalo con header_from per capire i fallimenti di allineamento.

Come usarli

1. Identifica ogni IP. Cerca il suo nome reverse DNS o il proprietario. Nomi come google.com, outlook.com o il dominio del tuo strumento di newsletter di solito sono tuoi.
2. Dividili in tre gruppi:
   • I tuoi servizi, che passano: niente da fare.
   • I tuoi servizi, che falliscono: aggiungili a SPF, o configura DKIM con il tuo dominio in quel servizio.
   • IP sconosciuti che falliscono tutto: probabilmente spoofing. La tua futura policy reject li bloccherà.
3. Osserva l'andamento per qualche settimana prima di rendere più severa la tua policy.

Nota: le email inoltrate e le mailing list compaiono spesso come fallimenti da IP che non conosci. Un piccolo numero è normale.

Semplificati la vita

Leggere l'XML a mano diventa noioso quando ricevi molti report. Usa una casella dedicata per rua, e valuta uno strumento che raccolga e riassuma i report. Il monitoraggio DMARC della dashboard a pagamento lo fa per i tuoi domini.

Verifica che funzioni

Analizza il tuo dominio su /domain-scanner per confermare che il record DMARC ha un indirizzo rua valido. I report di solito iniziano ad arrivare entro un giorno o due, dai provider usati dai tuoi destinatari.