DMARC dice ai server di posta cosa fare con i messaggi che dichiarano di arrivare dal tuo dominio ma non superano SPF e DKIM, e dove inviare i report. Il generatore costruisce il record in base alle tue scelte, mostra come pubblicarlo e suggerisce il passo successivo. Il pulsante Verifica il record attuale legge il DMARC già presente nel DNS e può riportarlo nel modulo per modificarlo.
Cosa significano i tag
- p: la policy del dominio principale.
noneraccoglie solo i report,quarantinemanda nello spam la posta che non passa,rejectla rifiuta. - sp: una policy separata per i sottodomini. Se manca, vale p.
- rua: indirizzi per i report aggregati giornalieri. Senza non puoi sapere chi invia posta a tuo nome.
- ruf: indirizzi per i report dei singoli errori. Molti grandi provider di posta non li inviano, quindi il campo è facoltativo.
- pct: la percentuale di posta a cui si applica la policy. Utile per un’introduzione graduale.
- adkim e aspf: l’allineamento. In modalità rilassata un sottodominio del mittente vale come il tuo dominio; la modalità rigorosa richiede una corrispondenza esatta.
- fo: quando vengono inviati i report sugli errori.
Come introdurre DMARC senza perdere posta
- p=none con rua. Pubblica il record e raccogli i report per 2-4 settimane. Emergeranno tutti i servizi che inviano per il tuo dominio: posta aziendale, CRM, newsletter, il sito stesso.
- Sistema SPF e DKIM per ogni mittente legittimo. Crea il record SPF con il generatore SPF e controlla le chiavi con la verifica DKIM.
- p=quarantine, se vuoi con pct=25, poi 50 e 100. Controlla che la posta vera continui ad arrivare.
- p=reject. La posta falsificata con il tuo indirizzo non arriva più nelle caselle. Continua a leggere i report: nuovi servizi compaiono di continuo.
Qui la fretta costa cara: se passi subito a reject, la posta di un servizio dimenticato semplicemente sparisce. L’ordine completo per tutti e tre i record è nella guida per configurare SPF, DKIM e DMARC.
Pubblicazione e report verso un altro dominio
Il record si pubblica come TXT con nome _dmarc nel tuo dominio, cioè _dmarc.example.com. Se i report devono arrivare a un indirizzo di un altro dominio, per esempio un servizio di analisi dei report, quel dominio deve autorizzarlo con un proprio record TXT. Il generatore mostra il nome esatto di quel record. Dopo la pubblicazione verifica il risultato nella modalità posta della verifica DNS.
Per i report è comoda una casella separata sul tuo dominio. Con l’hosting email di RichHost numero e dimensione delle caselle sono illimitati. Se un singolo messaggio non supera DMARC, incolla i suoi header nell’analisi header email per capire quale controllo è fallito.
Domande frequenti
Un sito piccolo ha bisogno di DMARC?
Sì. I grandi provider di posta richiedono DMARC a chi invia grandi volumi, e il record protegge il dominio dalla falsificazione anche con la policy none.
Perché dopo p=reject sparisce parte della posta?
Qualche servizio invia per il tuo dominio senza SPF o DKIM allineati. Trovalo nei report rua e configura lì la firma DKIM con il tuo dominio.
Quanti record DMARC può avere un dominio?
Uno. Se il destinatario vede più record _dmarc, ignora DMARC del tutto.
Cosa faccio con i report XML?
Si leggono con servizi o script dedicati. I dati chiave di ogni report: l’IP che invia, il numero di messaggi e l’esito di SPF e DKIM per ciascun indirizzo.