Dominio senza email: la configurazione Null MX
Di CaptainDNS
Pubblicato il 29 agosto 2026
- Pubblica un unico MX con priorità
0e target.: l'assenza di MX attiva ancora un ripiego verso l'indirizzo A o AAAA. - Per l'invio, usa l'SPF nudo
v=spf1 -alle DMARC conp=reject; sp=reject; np=reject. Metti ilruasu un altro dominio che riceve davvero. - Non pubblicare alcun selettore DKIM. Un
p=vuoto revoca una vecchia chiave; non è la policy di un dominio che non invia. - L'audit pubblico mostra una ricezione piena, ma una zona di riferimento resta nella fascia Buono, intorno a 80-85 a seconda di
ruae DNSSEC.
Un dominio senza email sembra semplice da amministrare: nessuna casella, nessun server SMTP, quindi niente da configurare. È proprio questa la trappola. Una zona lasciata con i valori del registrar può contenere ancora un MX predefinito. Un SPF troppo ampio può continuare ad autorizzare un vecchio fornitore. Senza policy DMARC, i destinatari non ricevono alcuna istruzione ferma contro l'usurpazione.
Un altro errore frequente: cancellare tutti gli MX e credere chiusa la ricezione. Il protocollo SMTP prevede un ripiego verso gli indirizzi A o AAAA quando non esiste alcun MX. Per un sito web, quel ripiego punta esattamente al server che serve il sito. Risponderà magari male o in ritardo, ma il mittente remoto avrà comunque tentato di consegnargli della posta.
La ricetta qui sotto tratta due casi d'uso nella stessa zona di riferimento: un sito vetrina o un'applicazione HTTPS senza alcuna casella, poi un dominio difensivo senza sito e senza certificato. La loro base email è identica. Il CAA cambia, perché il primo deve continuare a rinnovare il certificato mentre il secondo deve vietare ogni emissione.
Controlla la zona, poi genera la policy DMARC
Il problema di una zona lasciata ai valori predefiniti
Un dominio senza email deve annunciare esplicitamente che non riceve e non invia posta. Il silenzio del DNS lascia intatti i comportamenti di ripiego e le autorizzazioni vecchie.
Comincia con l'inventario della zona. Cerca gli MX aggiunti dal registrar, i TXT SPF storici, _dmarc, i selettori sotto _domainkey, gli indirizzi A e AAAA, poi i CAA. Un MX che punta a un'offerta email gratuita non è innocuo: se per errore qualcuno crea una casella più avanti, il dominio ricomincia a ricevere. Un SPF che contiene include: autorizza ancora il servizio indicato a presentare questo dominio nella busta SMTP.
Una zona senza DMARC lascia anche a ogni destinatario la decisione sul destino di un messaggio usurpato. SPF può fallire, ma DMARC è il livello che collega l'autenticazione al dominio visibile nell'indirizzo From e pubblica una policy. Per questo caso chiuso l'obiettivo è netto: non esiste alcuna sorgente legittima, quindi ogni messaggio che dichiara di provenire dal dominio va rifiutato.
Il risultato atteso non è una collezione di meccanismi email. È una dichiarazione negativa coerente: nessuna destinazione in ricezione, nessun mittente autorizzato, una policy di rifiuto e nessuna chiave DKIM inventata. Meno record, ma ognuno con un senso preciso.
Null MX chiude esplicitamente la ricezione
Un Null MX è un unico record MX con priorità 0 il cui target è il nome radice .. La RFC 7505 lo definisce per annunciare che un dominio non accetta posta.
La rappresentazione in zona è breve:
example.com. IN MX 0 .
A seconda dell'interfaccia DNS, il target può comparire come un punto, un valore vuoto o un'opzione dedicata "Null MX". Il risultato pubblicato deve restare un solo MX con preferenza zero e un nome di scambio vuoto. Non aggiungere un secondo MX di riserva: la presenza di un altro target contraddice la dichiarazione.
L'assenza di MX non ha lo stesso significato
Senza risposta MX, un mittente SMTP può provare l'indirizzo A o AAAA del dominio come se fosse uno scambiatore implicito. Questo comportamento storico è il motivo principale per pubblicare Null MX anche su un dominio che non ospita alcun sito.
Con Null MX, il mittente capisce che la consegna è impossibile e non prova il server web. Nell'audit CaptainDNS, questa configurazione ottiene la ricezione piena. MTA-STS, DANE e TLS-RPT non servono allora: proteggono un trasporto SMTP che non esiste, e l'audit assegna i punti corrispondenti.
La sfumatura conta anche quando il dominio non ha né A né AAAA. L'assenza di MX resta un'assenza, non una dichiarazione Null MX. Pubblicare 0 . documenta l'intenzione, regge all'aggiunta futura di un indirizzo web e dà ai mittenti una risposta senza ambiguità.
Chiudere l'invio con SPF e DMARC
L'SPF nudo v=spf1 -all dichiara che nessun indirizzo IP è autorizzato a inviare per il dominio. DMARC completa la dichiarazione con una policy di rifiuto per il dominio e i suoi sottodomini.
Pubblica all'apice:
example.com. IN TXT "v=spf1 -all"
Lascia questo valore così com'è. Non aggiungere né a, né mx, né include, né un intervallo IP. Ognuno di questi meccanismi reintrodurrebbe un mittente autorizzato. Il qualificatore -all è un fallimento netto; ~all esprimerebbe solo un fallimento morbido, inutile quando non c'è alcuna sorgente legittima da preservare. Il generatore SPF aiuta a rileggere la sintassi, ma qui il valore finale si riduce a due elementi.
Pubblica poi su _dmarc:
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; sp=reject; np=reject; adkim=s; aspf=s; rua=mailto:dmarc@captaindns.com"
p=reject copre il dominio organizzativo. sp=reject applica il rifiuto ai sottodomini esistenti, e np=reject a quelli inesistenti quando un destinatario supporta questo tag. Gli allineamenti rigidi adkim=s e aspf=s sono adatti qui: nessun flusso legittimo dipende da un allineamento rilassato.
Il report rua cambia il punteggio
Il tag rua non è decorativo. La sua assenza cambia il punteggio DMARC nell'audit. Serve a ricevere i report aggregati che rivelano le sorgenti che si presentano con il dominio, anche se la policy le rifiuta.
L'indirizzo non deve mai appartenere al dominio senza email. rua=mailto:dmarc@example.com creerebbe un indirizzo orfano: Null MX annuncia che example.com non riceve nulla. Usa un indirizzo su un altro dominio che riceve davvero, come dmarc@captaindns.com, oppure un servizio di ingestione DMARC. Lo stesso principio vale per ruf se lo usi, e per l'indirizzo iodef di un CAA.
I report esterni possono richiedere un'autorizzazione DNS aggiuntiva sul dominio destinatario, secondo DMARC. Verifica questa delega con il fornitore scelto. L'ingestione CaptainDNS a 5 euro è un possibile secondo livello per centralizzare questi report; non è un prerequisito per lanciare l'audit gratuito.
DKIM: non pubblicare alcun selettore
Non esiste un record DKIM ideale da incollare per un dominio che non invia. La configurazione giusta è l'assenza di qualsiasi selettore sotto _domainkey.
DKIM autentica una firma trasportata da un messaggio. Qui non parte alcun messaggio legittimo. Pubblicare una chiave RSA o Ed25519 "per sicurezza" creerebbe una superficie di configurazione senza uso. Pubblicare un valore vuoto sarebbe peggio, perché il suo significato è già definito.
La RFC 6376 descrive un tag p= vuoto come la revoca di una chiave pubblicata in precedenza. Il firmatario che conosce quel selettore vuole che le firme che lo usano falliscano. La stessa RFC precisa che un verificatore non attribuisce un significato diverso a una chiave revocata e a un record di chiave cancellato: in entrambi i casi nessuna validazione DKIM va a buon fine. La RFC 5863 presenta questo valore vuoto come una lapide utile durante il ritiro di un selettore, per evitarne il riutilizzo accidentale.
Tutto ciò non crea una policy generale "questo dominio non invia". Una wildcard *._domainkey con un p= vuoto applica la semantica di revoca a nomi di selettore che non sono mai esistiti. M3AAWG ha ritirato questa vecchia ricetta dal suo BCP del 2022: per un dominio senza email il DKIM non serve, e non se ne dovrebbe pubblicare nessuno.
Il comportamento di CaptainDNS segue questa lettura. L'audit pubblico lascia DKIM e BIMI a zero, conserva le relative raccomandazioni, poi mostra questa nota quando Null MX e l'SPF nudo sono presenti: "Se questo dominio non invia email, DKIM e BIMI non sono necessari. Il punteggio non cambia." Il testo spiega il caso; non trucca il punteggio.
Nel monitoraggio, la casella "Questo dominio non invia email" cambia il livello di valutazione. DKIM e BIMI escono allora dal punteggio, e viene emesso un avviso se compare un MX reale o una chiave DKIM. Le due viste sono quindi coerenti: quella pubblica mostra le raccomandazioni generali e il punteggio limitato; il monitoraggio applica l'intenzione dichiarata del dominio.
Nessun indirizzo orfano nella zona
Ogni URI mailto: pubblicato da un dominio senza email deve puntare a un altro dominio in grado di ricevere. Questa regola copre DMARC, le segnalazioni CAA e ogni indirizzo operativo aggiunto in seguito.
Fai una ricerca testuale nella zona esportata. Le posizioni classiche sono rua, ruf e iodef. Un indirizzo di contatto in un record TXT fatto in casa merita lo stesso controllo. Se la parte a destra di @ è il dominio che Null MX ha appena chiuso, il report andrà perso.
Per un sito senza email, non confondere l'indirizzo visibile su una pagina web con la posta del dominio. Puoi mostrare un indirizzo ospitato da un altro dominio, oppure un modulo collegato a un sistema esterno. Il DNS del sito resta senza email. Per un dominio difensivo senza sito, nessun indirizzo locale ha motivo di esistere.
Questa separazione evita una contraddizione silenziosa: chiedere alle autorità di certificazione o ai ricevitori DMARC di inviare un report verso una destinazione che il DNS dichiara inesistente. La policy di sicurezza sembrerebbe completa in un file di zona, ma nessuno leggerebbe i suoi avvisi.
Due casi, una base email e due policy CAA
Il sito HTTPS e il dominio senza sito condividono Null MX, SPF e DMARC. La differenza riguarda A/AAAA e l'autorizzazione a emettere un certificato.
| Elemento | Sito senza email | Dominio senza sito |
|---|---|---|
| A / AAAA | Presenti in base all'hosting | Assenti |
| MX | 0 . | 0 . |
| SPF | v=spf1 -all | v=spf1 -all |
| DMARC | p=reject; sp=reject; np=reject | p=reject; sp=reject; np=reject |
| DKIM | Nessun selettore | Nessun selettore |
| CAA | CA realmente utilizzata, più iodef esterno | 0 issue ";" |
| Certificato | Consentito e rinnovabile | Vietato |
CAA per il sito HTTPS
Un sito deve autorizzare la CA che emette davvero il suo certificato. Aggiungi anche una destinazione iodef collocata su un altro dominio ricevente. Una policy completa può ottenere 100 per il controllo CAA del pilastro DNS, senza che il punteggio complessivo raggiunga la fascia superiore a causa di DKIM.
example.com. IN CAA 0 issue "ca.example.com"
example.com. IN CAA 0 iodef "mailto:security@captaindns.com"
Adatta l'identificatore alla tua CA. Soprattutto, non pubblicare issue ";" su questo sito: vieteresti l'emissione e il prossimo rinnovo potrebbe fallire. La guida CAA descrive l'ereditarietà, issuewild e i parametri ACME.
CAA per il dominio senza certificato
Un dominio senza sito, senza A/AAAA e senza certificato può vietare qualsiasi CA:
example.com. IN CAA 0 issue ";"
Nell'audit CaptainDNS, questa scelta vale 90 per CAA, non 100. La differenza riflette l'assenza di un canale iodef, mentre un dominio chiuso non deve pubblicare un mailto: locale. Una CA indicata per nome non è una variante intercambiabile: riaprirebbe l'emissione di certificati.
DNSSEC protegge anche il sito da un guasto silenzioso
DNSSEC firma le risposte DNS e permette al resolver di rilevarne la falsificazione. Una catena interrotta rende il dominio non valido per i resolver validanti, anche se i record sono presenti presso l'hoster.
Per il sito senza email, è l'unico elemento di questa ricetta che può rendere il sito web silenziosamente irraggiungibile dopo una rotazione mal riuscita. Un DS obsoleto presso il registrar, una KSK ritirata troppo presto o firme scadute producono spesso SERVFAIL. Il browser non dirà "DNSSEC interrotto"; mostrerà solo un errore di risoluzione.
Attiva DNSSEC verificando la catena tra la zona figlia e la zona padre. In caso di cambio di fornitore DNS, coordina le chiavi e il DS prima di rimuovere la vecchia zona. La guida all'attivazione di DNSSEC copre questa sequenza.
Per il dominio senza sito, un guasto DNSSEC non rompe una pagina web inesistente, ma impedisce ai destinatari di leggere Null MX, SPF e DMARC. La protezione contro l'usurpazione dipende dunque sempre da una catena valida. Tienila sotto controllo come qualsiasi altro record di sicurezza.
Cosa mostrerà l'audit pubblico
L'audit pubblico valuta tre pilastri: invio 50, ricezione 35 e DNS 15. Una zona senza email ben impostata ottiene Buono, di solito intorno a 80-85 a seconda della presenza di rua e DNSSEC.
La ricezione è piena con un unico Null MX. MTA-STS, DANE e TLS-RPT non vengono richiesti, dato che il dominio non riceve posta. Al contrario, MXCount == 0 è un errore: il ripiego verso A resta possibile e la chiusura non è dichiarata.
Sul lato invio, l'SPF rigido e DMARC reject segnalano chiaramente l'assenza di sorgente legittima. DKIM e BIMI restano comunque a zero nello strumento pubblico, con le loro raccomandazioni. La nota mostrata spiega che questi meccanismi non sono necessari se il dominio non invia e che il punteggio non cambia. Risultato: la fascia superiore, a partire da 90, resta irraggiungibile senza DKIM. È voluto ed è visibile.
Il pilastro DNS dipende in particolare da CAA e DNSSEC. Il sito può ottenere il controllo CAA completo con una CA autorizzata e un iodef esterno. Il dominio senza certificato ottiene 90 su quel controllo con issue ";". Queste cifre sono sottopunteggi di singoli controlli, non una promessa sul punteggio complessivo.
Il monitoraggio cambia solo l'intenzione email
La casella "Questo dominio non invia email" è una funzione di monitoraggio. Toglie DKIM e BIMI dal punteggio monitorato e avvisa se la zona ricomincia ad accettare o a firmare posta.
Non fabbrica una schermata lusinghiera nell'audit pubblico. Non cambia né la necessità di Null MX, né SPF, né DMARC, né CAA, né DNSSEC. Il suo interesse è operativo: se un amministratore aggiunge un MX reale o se ricompare un vecchio selettore DKIM, il monitoraggio segnala che il contratto "senza email" è appena stato rotto.
Il primo strumento CaptainDNS è gratuito. Comincia dall'audit della zona, correggi i record, poi attiva un monitoraggio se il dominio merita un avviso continuo. Il monitor costa 5 euro. Gli altri strumenti seguono la tariffazione dell'account, 3 euro e poi 5 euro, senza un'offerta separata dedicata a questo caso.
Divergenze tra le raccomandazioni pubblicate
Le guide disponibili online non danno tutte la stessa ricetta. Teniamo i testi più recenti e la semantica delle RFC, poi segnaliamo le differenze invece di nasconderle.
GOV.UK raccomanda ancora una wildcard _domainkey contenente un p= vuoto nella sua pagina aggiornata il 1 marzo 2021. Anche EasyDMARC e Mimecast riprendono il BCP M3AAWG del 2015. Non ricopiamo quel valore: M3AAWG l'ha ritirato nell'edizione di giugno 2022, mentre le RFC lo definiscono come la revoca di una vecchia chiave. L'assenza di selettore è più esatta e non attiva la raccomandazione critica dkim.empty_p_tag del nostro audit.
La condizione "Null MX solo se esiste un A o AAAA" appartiene all'edizione di dicembre 2015: "M3AAWG recommends the use of a null MX record only if the domain has an A and/or AAAA record", per compatibilità con i ricevitori che non avevano ancora implementato la RFC. L'edizione di giugno 2022 ha ritirato questa restrizione, e il suo esempio "Single Parked Domain", senza A né AAAA, pubblica proprio example.com. MX 0 .. Seguiamo il testo del 2022 e pubblichiamo in entrambi i casi: nessun MX significa sempre "nessun MX", non "rifiuto esplicito", e un futuro indirizzo A riattiverebbe il ripiego SMTP.
Anche internet.nl raccomanda Null MX per un dominio senza server di posta e considera diversi test email non applicabili a questo profilo. CaptainDNS mantiene una lettura pubblica uniforme dei tre pilastri: la zona esce Buono intorno a 80-85, non nella fascia superiore. Le due interfacce descrivono lo stesso obiettivo con modelli di punteggio diversi.
Cosa non è questo articolo
Questa guida descrive una zona che non invia e non riceve posta. Non sostituisce il generatore DMARC, che compone una policy in base alle tue scelte, né l'audit, che legge le risposte DNS realmente pubblicate.
Non è nemmeno una guida per chi invia. Non copre né la rotazione delle chiavi, né i selettori dei fornitori, né la recapitabilità di una campagna. Questo ruolo resta agli articoli dedicati a DKIM. Qui, aggiungere una piattaforma di invio cambia il bisogno: il dominio non è più senza email e la ricetta va rivista.
Il CAA è trattato solo nel punto di decisione tra certificato autorizzato e certificato vietato. Ereditarietà e varianti appartengono alla guida CAA. DNSSEC si limita al rischio di catena interrotta; il tutorial completo resta separato. Infine, la conservazione e la scadenza dei nomi rientrano nel ciclo di vita di un dominio, non nella configurazione email.
Verifica finale della zona
Una zona coerente si controlla dall'esterno, dopo la propagazione. Verifica che sia visibile un solo MX 0 ., che SPF contenga soltanto v=spf1 -all e che _dmarc pubblichi il rifiuto atteso.
Cerca poi ogni nome sotto _domainkey: non deve restare nulla, salvo una vecchia chiave in corso di ritiro secondo un piano datato. Controlla che ogni mailto: punti a un altro dominio ricevente. Chiudi con CAA, DNSSEC ed eventuali A/AAAA.
Rilancia l'audit dopo il TTL. Aspettati Buono e leggi le raccomandazioni ancora mostrate per DKIM e BIMI alla luce di questa nota. Se attivi il monitoraggio "Questo dominio non invia email", prova anche l'avviso durante una modifica pianificata, poi ripristina la zona di riferimento.
FAQ
Che differenza c'è tra Null MX e assenza di MX?
Null MX pubblica un MX esplicito con priorità 0 e target .. Senza MX, un mittente SMTP può ripiegare su A o AAAA; le due configurazioni non sono quindi equivalenti.
Bisogna pubblicare un DKIM?
No. Non pubblicare alcun selettore sotto _domainkey. Un p= vuoto serve solo a ritirare una vecchia chiave; non è un modello per dichiarare che un dominio non invia.
Perché tenere un rua se il dominio non invia?
I report aggregati rivelano le sorgenti che tentano di usare il dominio, e l'assenza del tag rua cambia il punteggio DMARC. Inviali a un indirizzo ospitato da un altro dominio che riceve davvero.
Null MX basta a impedire l'usurpazione?
No. Null MX chiude la ricezione. SPF v=spf1 -all e DMARC p=reject trattano l'invio usurpato; ogni meccanismo risponde a una direzione diversa.
Quale CAA pubblicare per un sito senza email?
Autorizza la CA che emette il certificato del sito e aggiungi un iodef esterno se possibile. Non pubblicare mai issue ";" su quel sito, perché il rinnovo del certificato verrebbe bloccato.
Quale CAA pubblicare per un dominio senza sito?
Pubblica 0 issue ";" se non deve essere emesso alcun certificato. Nell'audit CaptainDNS, questa scelta vale 90 per il controllo CAA, e non 100.
Perché il punteggio pubblico resta Buono?
L'audit pubblico mantiene DKIM e BIMI a zero con le loro raccomandazioni, anche se una nota spiega che qui sono inutili. Il monitoraggio attivato li toglie dal suo punteggio, ma non modifica l'audit pubblico.
