Autenticazione email per i sottodomini

Cosa significa

Un sottodominio è un nome sotto il tuo dominio, come news.yourdomain.com o mail.yourdomain.com. Le aziende li usano per separare newsletter, email del negozio o strumenti di assistenza dalla posta principale.

Ogni record email si comporta in modo diverso con i sottodomini:

• SPF non si eredita. L'SPF di yourdomain.com non copre news.yourdomain.com. Un sottodominio che invia ha bisogno di un proprio record SPF.
• Le chiavi DKIM stanno sotto il dominio che firma: selector._domainkey.news.yourdomain.com se l'email è firmata per il sottodominio.
• DMARC si eredita. Se un sottodominio non ha un record DMARC, i destinatari usano quello del dominio principale. Il suo tag sp= imposta la policy per i sottodomini; senza di esso, si applica anche a loro p=.

Perché è importante

• Uno strumento di newsletter su un sottodominio senza SPF o DKIM fallisce l'autenticazione.
• I truffatori possono inventare sottodomini come billing.yourdomain.com per inviare email false se il tuo DMARC non li copre.
• Passare il dominio principale a p=reject riguarda anche i sottodomini, quindi devono essere pronti.

Come verificare

• Usa lo Scanner di dominio su /domain-scanner con il nome del sottodominio per vedere il suo SPF, DMARC e MX.
• Invia un'email di test dallo strumento che usa il sottodominio all'indirizzo di test nella home page. Il report mostra per quale dominio sono stati verificati SPF e DKIM, e se DMARC è allineato.

Come risolvere

1. Aggiungi SPF su ogni sottodominio che invia, con solo i servizi che inviano per esso:

   news.yourdomain.com  TXT  "v=spf1 include:spf.newsletter-example.com ~all"

   Molti servizi email se ne occupano per te con un sottodominio personalizzato di "return path" o "bounce"; segui la loro pagina di configurazione.
2. Configura DKIM per il sottodominio nello strumento di invio, e pubblica il record che ti fornisce, al nome che ti indica.
3. Scegli la policy DMARC per i sottodomini sul dominio principale:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=quarantine; sp=reject; rua=mailto:dmarc@yourdomain.com"

   Qui il dominio principale va in quarantena e tutti i sottodomini vengono rifiutati quando falliscono.
4. Dai a un sottodominio una policy propria se ne ha bisogno di una diversa, per esempio mentre provi un nuovo strumento:

   _dmarc.news.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

A proposito di allineamento

Per impostazione predefinita DMARC usa l'allineamento "relaxed": un'email con From news.yourdomain.com passa se SPF o DKIM passano per qualsiasi nome sotto yourdomain.com. L'allineamento strict (adkim=s, aspf=s) richiede esattamente lo stesso nome.

Consigli

• Anche i sottodomini che non inviano mai email vanno protetti: un sp= severo li copre tutti in una volta.
• Leggi i tuoi report DMARC prima di rendere più severo sp=, per trovare i sottodomini che hai dimenticato. Il monitoraggio DMARC di Delivmail nella dashboard a pagamento può aiutarti.

Verifica che sia risolto

Dopo qualche minuto, usa lo Scanner di dominio sul sottodominio, poi invia una nuova email di test dallo strumento che lo usa. SPF, DKIM e DMARC devono passare per il sottodominio.