Generatore record DMARC

Perché generare un record DMARC?

DMARC lega SPF e DKIM a una policy applicata dai destinatari. Protegge l'identità del dominio, migliora la visibilità sugli incidenti e fornisce report utili. Questo generatore crea un record pulito e pronto alla pubblicazione che considera sottodomini, percentuali di enforcement e indirizzi di reporting.

Come utilizzare il generatore

1. Dominio: Inserisci il dominio organizzativo. Il record verrà pubblicato su _dmarc.tuo-dominio.

2. Policy primaria p: Scegli None per osservare, Quarantine per inviare in quarantena e Reject per bloccare. Parti da None, leggi i report, risolvi i problemi e poi aumenta gradualmente.

3. Policy per i sottodomini sp: Lasciala ereditare o imposta una policy differente per i sottodomini mittenti.

4. Percentuale di enforcement pct: Da 1 a 100. Utile per passare gradualmente a Quarantine o Reject.

5. Report aggregati rua: Uno o più indirizzi mailto: separati da virgole.
   Esempio: mailto:dmarc@example.com,mailto:secops@example.com
   Se utilizzi un indirizzo di un dominio terzo, quel soggetto deve autorizzarti tramite un record DNS _report._dmarc (requisito DMARC).

6. Report forensi ruf (opzionali): Report di dettaglio sugli errori. Pochi provider li inviano. Valuta il volume e i dati sensibili.

7. Modalità di allineamento adkim e aspf: relaxed per impostazione predefinita. strict rafforza l'identificazione quando l'inventario dei mittenti è stabile.

8. Opzioni di fallimento fo: 0 predefinito.
   Altri valori possibili:

   • 1 genera un report se SPF o DKIM falliscono
   • d per fallimenti DKIM
   • s per fallimenti SPF

9. Intervallo ri: Frequenza dei report aggregati in secondi. 86400 equivale a 24 ore.

Clicca Genera il record e pubblica il valore TXT su _dmarc.tuo-dominio.

Esempi pronti all'uso

Osservazione completa

_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; ri=86400"

Rollout graduale

_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com; adkim=r; aspf=r"

Protezione rigorosa (produzione)

_dmarc.example.com. IN TXT "v=DMARC1; p=reject; sp=quarantine; rua=mailto:dmarc@example.com; adkim=s; aspf=s; ri=86400"

Pubblicazione e verifica

• Pubblica un solo record TXT DMARC su _dmarc.tuo-dominio.
• Usa un TTL di 3600 durante la fase di tuning, poi aumentalo una volta stabilizzato.
• Verifica la risoluzione live con l'ispettore DMARC e gli strumenti di controllo dominio di CaptainDNS.
• Monitora i report rua per qualche giorno prima di irrigidire la policy.

Errori comuni da evitare

• Pubblicare due record DMARC sullo stesso nome. Mantieni una sola voce.
• Dimenticare mailto: davanti agli indirizzi rua/ruf.
• Passare subito a p=reject senza aver censito i mittenti legittimi.
• Impostare l'allineamento strict mentre sottodomini o servizi terzi inviano ancora con un altro dominio visibile.
• Dichiarare un indirizzo di report esterno senza l'autorizzazione _report._dmarc del terzo.
• Confondere pct e ri: il primo controlla l'enforcement, il secondo la frequenza dei report.

Buone pratiche di rollout

• Step 1: p=none, rua attivo. Mappa le sorgenti reali e correggi quelle che falliscono.
• Step 2: p=quarantine, pct 10 poi 50 poi 100. Sorveglia i falsi positivi.
• Step 3: p=reject. Una volta stabile, valuta adkim=s e aspf=s.
• Definisci una policy sp se i sottodomini inviano in modo diverso.
• Mantieni un registro delle modifiche con data, valore precedente e nuovo, motivo e TTL.

Lettura rapida dei report

• I report aggregati rua mostrano volume per sorgente, tassi di pass/fail SPF e DKIM, allineamento e disposizione applicata.
• I report forensi ruf catturano eventi di fallimento individuali quando supportati. Abilitali con cautela.

Impegno sulla privacy

I valori inseriti vengono inviati all'API CaptainDNS esclusivamente per generare la stringa DMARC. Nessun dato è conservato in chiaro. Solo metriche tecniche, come durata dell'elaborazione e dimensione del record, vengono registrate per monitorare la disponibilità.