Strumento gratuito di monitoring DMARC

Perché monitorare i report DMARC?

Il monitoraggio DMARC rivela chi invia posta a tuo nome e quali di questi invii superano l'autenticazione. È l'unico modo per saperlo.

DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) unifica SPF e DKIM per chiudere il tuo dominio al phishing e allo spoofing email. Pubblicare il record è il primo passo. Senza report, il resto è cieco. Non sai quali fonti spediscono a tuo nome, se i tuoi flussi legittimi si allineano davvero su SPF e DKIM, e se una terza parte sfrutta il tuo dominio per lo spam.

Quattro problemi emergono in quasi ogni analisi dei report DMARC.

Un CRM, una piattaforma di newsletter o uno strumento di fatturazione invia per il tuo dominio senza un corretto allineamento SPF o DKIM. Risultato: spam o rifiuto. È il caso più frequente.

Poi lo spoofing. Gli attaccanti falsificano il tuo indirizzo From per il phishing. Senza report aggregati, queste campagne restano invisibili finché un cliente non si lamenta.

Una migrazione email fatta male lascia il vecchio provider spedire posta non allineata per settimane. Il tuo tasso di conformità crolla, e nessuno capisce il perché.

Infine lo shadow IT: un reparto interno spedisce senza autorizzazione. I report DMARC tirano fuori dall'ombra questi mittenti sconosciuti.

Come funziona l'autenticazione DMARC

DMARC verifica che almeno SPF o DKIM passi e sia allineato al dominio dell'intestazione From. Due protocolli sotto, una sola decisione sopra.

SPF (RFC 7208) e DKIM (RFC 6376) autenticano ciascuno un aspetto diverso del messaggio. SPF verifica il server di invio. DKIM verifica una firma. DMARC decide.

Tutto ruota intorno all'allineamento. SPF e DKIM passano entrambi, eppure DMARC fallisce lo stesso se nessuno dei due si allinea al dominio del From. Strano? Non così tanto: è esattamente questo buco che gli usurpatori sfruttano, e la prima causa di fallimento che i report rivelano.

DMARC detta anche la sorte della posta non autenticata: lasciar passare (p=none), mettere in quarantena (p=quarantine) o rifiutare (p=reject).

Come configurare il monitoraggio DMARC in 3 passaggi

Passaggio 1: Aggiungi il tuo dominio e verifica la proprietà

Accedi e registra il dominio che vuoi monitorare. Aggiungi il record TXT di verifica CaptainDNS al tuo DNS. Questo sistema di verifica è condiviso tra tutti i servizi CaptainDNS (hosting MTA-STS, monitoring TLS-RPT, hosting BIMI).

Passaggio 2: Configurare il record DNS DMARC

L'assistente di configurazione analizza lo stato DNS attuale e propone il record esatto da pubblicare:

• Nessun record DMARC esistente: viene generato un record completo con p=none e il nostro indirizzo rua=
• Record DMARC esistente: la tua politica, le impostazioni di allineamento e gli indirizzi rua= esistenti vengono preservati; il nostro indirizzo viene aggiunto automaticamente
• Record esistente non valido: il problema viene segnalato e viene proposta una sostituzione pulita

Basta copiare l'host (_dmarc.yourdomain.com) e il valore, poi incollarli nel tuo provider DNS.

Passaggio 3: I report vengono ricevuti e analizzati automaticamente

I provider di posta iniziano a inviare i report aggregati entro 24-48 ore. CaptainDNS li riceve, decomprime i file XML, analizza i risultati di autenticazione e mostra i risultati nella tua dashboard: punteggi di conformità, IP sorgente, percentuali di successo/fallimento e disposizioni applicate.

Comprendere i report aggregati DMARC

Un report aggregato DMARC è un file XML che riassume, per IP sorgente, tutti i risultati di autenticazione sul tuo dominio in una data finestra.

Google, Microsoft, Yahoo e Apple li spediscono all'indirizzo del tuo tag rua=, di solito ogni 24 ore. Ogni report copre un periodo, e ogni riga descrive una fonte che ha spedito utilizzando il tuo dominio.

RUA vs RUF: report aggregati vs report di errore

DMARC definisce due tipi di report:

CaptainDNS si concentra sui report aggregati (RUA), che forniscono i dati necessari per il monitoraggio della conformità e l'identificazione delle fonti. I report forensi sono raramente disponibili nella pratica.

Cosa contiene un report aggregato DMARC?

Esempio di report aggregato DMARC

Ecco un estratto semplificato di un report aggregato DMARC in formato XML:

<?xml version="1.0" encoding="UTF-8"?>
<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>
      <begin>1710201600</begin>
      <end>1710288000</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>captaindns.com</domain>
    <p>none</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.1</source_ip>
      <count>1547</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <row>
      <source_ip>198.51.100.42</source_ip>
      <count>23</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
  </record>
</feedback>

La prima riga mostra 1.547 messaggi da una fonte legittima che superano entrambi i controlli. La seconda riga rivela 23 messaggi da un IP sconosciuto che falliscono sia SPF che DKIM, un potenziale tentativo di spoofing. CaptainDNS analizza automaticamente questi report e presenta i dati nella tua dashboard. Per decodificare al volo un singolo report XML che hai ricevuto, il nostro lettore di report DMARC ne mostra il contenuto in chiaro.

Riferimento dei tag del record DMARC

Un record TXT DMARC viene pubblicato su _dmarc.yourdomain.com. Ecco i tag disponibili:

Utilizza il nostro Generatore DMARC per creare un record valido, o il Verificatore di sintassi DMARC per validare un record esistente.

Dal monitoring all'applicazione: il percorso verso p=reject

DMARC blocca lo spoofing per davvero solo con p=reject. Ogni messaggio falsificato viene allora rifiutato alla porta. Saltare direttamente a reject senza report è giocare alla roulette: anche i tuoi mittenti legittimi mal allineati cadono, e la loro posta sparisce.

Progressione consigliata:

1. p=none (solo monitoring): raccogli report per 2-4 settimane. Identifica tutte le fonti legittime e correggi eventuali problemi di allineamento SPF/DKIM. Obiettivo: tasso di conformità superiore al 95%.

2. p=quarantine (applicazione parziale): i messaggi che falliscono vengono inviati allo spam invece che alla casella di posta. Utilizza pct=25 inizialmente, poi aumenta al 50% e al 100% nell'arco di 2-4 settimane. Monitora eventuali messaggi legittimi messi in quarantena.

3. p=reject (applicazione completa): i messaggi che falliscono vengono scartati. Lo spoofing del dominio è completamente bloccato. Inizia con pct=25, poi aumenta al 100%.

Tempistiche: La maggior parte delle organizzazioni completa questo percorso in 4-8 settimane. Non avere fretta. Ogni fase deve confermare che nessun flusso di posta legittimo è impattato.

Raggiungere p=reject sblocca anche BIMI (Brand Indicators for Message Identification), che mostra il logo del tuo marchio accanto alle tue email nelle caselle di posta compatibili.

Requisiti DMARC di Google e Yahoo

Da febbraio 2024, Google e Yahoo rifiutano la posta dei mittenti di massa che non hanno DMARC pubblicato. La soglia: 5.000 messaggi al giorno verso Gmail o Yahoo.

Quattro obblighi si applicano a questi grossi volumi. Serve un record DMARC con almeno p=none. SPF e DKIM devono essere configurati entrambi, non l'uno o l'altro. Il dominio del From deve allinearsi a uno dei due. E le email di marketing devono supportare la cancellazione con un clic della RFC 8058.

Senza monitoraggio dei report, non puoi provare che le tue fonti superino questi controlli né tenere il tasso di conformità nel tempo. I mittenti non conformi vedono la propria posta rallentata da errori 4xx, poi rifiutata. È già successo su larga scala nella primavera 2024.

Fallimenti DMARC comuni e come risolverli

La maggior parte dei fallimenti DMARC nasce da sei cause: allineamento SPF rotto, allineamento DKIM rotto, SPF oltre i 10 lookup DNS, terza parte priva di qualsiasi autenticazione, sottodominio non coperto, inoltro che rompe SPF. Ognuna ha una correzione precisa.

Casi d'uso concreti

Caso 1: Identificare un servizio di terze parti mal configurato

Sintomo: Il tasso di conformità DMARC scende dal 98% al 72% in una settimana.

Diagnosi: La dashboard mostra una nuova IP sorgente che invia un volume significativo senza allineamento DKIM. Si tratta del nuovo CRM marketing, configurato senza firma DKIM per il tuo dominio.

Azione: Configurare la firma DKIM nel CRM. Il tasso di conformità si riprende nei report successivi.

Caso 2: Rilevare lo spoofing del dominio

Sintomo: IP sorgenti sconosciute appaiono nei report, inviando posta a nome del tuo dominio con fallimento totale di SPF e DKIM.

Diagnosi: I report DMARC rivelano tentativi di phishing da server in giurisdizioni sospette. La tua politica p=none lascia passare questi messaggi.

Azione: Passare progressivamente la politica da p=none a p=quarantine poi a p=reject. I report successivi confermano che i messaggi fraudolenti vengono rifiutati.

Caso 3: Soddisfare i requisiti di Google per i mittenti di massa

Sintomo: Gmail inizia a differire le tue email di marketing con errori temporanei 4xx. I tassi di consegna calano.

Diagnosi: Il monitoring DMARC mostra che la tua piattaforma di newsletter invia posta senza allineamento DKIM al dominio dell'intestazione From. La politica di Google per i mittenti di massa richiede la conformità dell'autenticazione.

Azione: Configurare la firma DKIM per il tuo dominio nella piattaforma di newsletter e verificare l'allineamento tramite i report DMARC. I tassi di consegna tornano alla normalità in pochi giorni.

FAQ - Domande frequenti

D: Cos'è il monitoring DMARC?

R: Il monitoring DMARC consiste nel ricevere e analizzare i report aggregati (rua) inviati dai provider di posta. Questi report mostrano quali fonti inviano posta a nome del tuo dominio e se superano i controlli SPF e DKIM con il corretto allineamento.

D: Qual è la differenza tra report aggregati DMARC (RUA) e report di errore (RUF)?

R: I report aggregati (rua) vengono inviati quotidianamente e contengono dati di autenticazione sintetizzati per IP sorgente. I report di errore (ruf) vengono inviati per singoli fallimenti e contengono maggiori dettagli, incluse le intestazioni dei messaggi. La maggior parte dei provider invia solo report aggregati. CaptainDNS si concentra sull'analisi dei report aggregati.

D: Come funziona DMARC con SPF e DKIM?

R: DMARC si basa su SPF e DKIM aggiungendo l'allineamento degli identificatori. SPF valida l'IP del mittente della busta, DKIM valida una firma crittografica e DMARC verifica che almeno uno dei due passi con allineamento al dominio dell'intestazione From. Il monitoring rivela quando l'allineamento fallisce.

D: Con quale politica DMARC dovrei iniziare?

R: Inizia con p=none per monitorare senza influire sulla consegna della posta. Una volta che il tuo tasso di conformità DMARC è costantemente superiore al 95%, passa a p=quarantine. Dopo aver confermato che nessuna posta legittima è impattata, imposta p=reject per una protezione completa dallo spoofing.

D: Come configuro il monitoring DMARC?

R: Aggiungi il tuo dominio in CaptainDNS, verifica la proprietà tramite il record TXT, quindi segui l'assistente di configurazione che rileva il tuo record DMARC attuale e propone l'aggiornamento esatto necessario. I report iniziano ad arrivare entro 24-48 ore.

D: Il monitoring DMARC è gratuito con CaptainDNS?

R: Sì, completamente gratuito per 1 dominio (passa a Starter per 25). Nessun costo nascosto, nessun periodo di prova. Ogni dominio dovrebbe poter monitorare i propri report DMARC aggregati indipendentemente dal budget.

D: Google e Yahoo richiedono DMARC?

R: Sì. Da febbraio 2024, Google e Yahoo richiedono ai mittenti di massa (5.000+ messaggi al giorno) di pubblicare un record DMARC. Il monitoring aiuta a soddisfare e mantenere questi requisiti monitorando la conformità dell'autenticazione.

D: Cosa succede se imposto la mia politica DMARC su reject?

R: Con p=reject, i server di ricezione scartano i messaggi che falliscono sia l'allineamento SPF che DKIM. Questo previene completamente lo spoofing del dominio, ma può bloccare la posta legittima se i mittenti di terze parti non sono configurati correttamente. Monitora sempre prima con p=none.

D: Quanto tempo ci vuole per ricevere i report DMARC?

R: La maggior parte dei provider di posta invia report aggregati ogni 24 ore. Dopo aver pubblicato il tuo indirizzo rua=, aspettati i primi report entro 24-48 ore a seconda del tuo volume di posta.

D: Qual è il rapporto tra monitoring DMARC e record DMARC?

R: Il record DMARC definisce la tua politica di autenticazione (none, quarantine, reject) e il tag rua= specifica dove inviare i report. Il monitoring DMARC analizza quei report per mostrarti chi utilizza il tuo dominio e se l'autenticazione funziona correttamente.

Strumenti complementari

Risorse utili

• RFC 7489: DMARC, specifica ufficiale DMARC
• RFC 7208: SPF, Sender Policy Framework
• RFC 6376: DKIM, DomainKeys Identified Mail
• Google: Email sender guidelines, requisiti per i mittenti di massa
• Yahoo: Sender best practices, requisiti di autenticazione Yahoo
• M3AAWG Best Practices, raccomandazioni del Messaging Anti-Abuse Working Group