La configurazione DMARC fa parte della manutenzione della posta con dominio proprio. Permette di richiedere un trattamento dei messaggi senza autenticazione allineata e osservare errori, senza impedire da sola ogni falsificazione, spam o avviso Gmail.
Conta per una casella o più domini dei clienti. Per rivedere l'infrastruttura completa, inizia dalla posta aziendale per piccole imprese, poi verifica il DNS.
La configurazione è accessibile, ma restringere senza verificare SPF, DKIM, inoltri e mittenti esterni può colpire messaggi legittimi. Questa guida spiega record iniziali, tag, transizione ed errori comuni.
Cosa fa la configurazione DMARC
Pubblichi un TXT sotto _dmarc.yourdomain.com per richiedere come trattare messaggi che falliscono DMARC. Il destinatario verifica se SPF o DKIM passa e se quel risultato valido è allineato al From visibile.
DMARC integra SPF e DKIM. Secondo la RFC 7489, basta che almeno uno passi allineato al dominio From. L'autenticazione non allineata non basta, e un risultato valido non prova contenuto sicuro.
Google descrive requisiti per tipo di mittente: SPF o DKIM per quelli generici; entrambi e DMARC con allineamento applicabile per quelli di grandi volumi. Consulta le linee guida per i mittenti attuali.
DMARC comunica una politica per errori di autenticazione allineata. Il destinatario può applicare eccezioni e altri filtri: non garantisce fiducia né recapito.
Quale record pubblicare prima
Se non hai verificato tutti i mittenti, inizia con p=none. Richiedi rapporti e integra con inventario e test prima delle restrizioni. L'invio dei rapporti dipende dai partecipanti.
Questo esempio sotto _dmarc usa allineamento rigoroso facoltativo, non un inizio universale:
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=s; aspf=s; pct=100Le opzioni adkim=s e aspf=s richiedono corrispondenza esatta. Scegli l'alternativa rilassata se adatta ai mittenti:
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100Pubblica soltanto un record. L'allineamento rilassato accetta identificatori dello stesso dominio organizzativo, non qualsiasi relazione tra dominio padre e sottodominio.
In TrekMail, verifica i dati del pannello e consulta Record DNS richiesti, Aggiungere un dominio e Verificare lo stato DNS. L'esempio documentale con p=quarantine non significa applicare restrizioni prima dell'inventario di un dominio attivo. Un controllo DNS non prova l'autenticazione di tutti i messaggi.
Tag DMARC importanti
Inizia dalla politica, dalla destinazione dei rapporti e dall'allineamento. Valuta le altre opzioni dopo aver verificato i mittenti reali.
| Tag | Funzione | Opzione pratica |
|---|---|---|
v | Versione del protocollo | DMARC1 |
p | Politica del dominio principale | none per osservare; valutare quarantine e poi reject con prove |
rua | Destinazione degli aggregati | Casella o servizio monitorato |
adkim | Allineamento DKIM | r o s secondo i mittenti |
aspf | Allineamento SPF | r o s secondo i mittenti |
pct | Percentuale richiesta di applicazione agli errori | 100, con applicazione secondo il destinatario |
sp | Politica ereditata dei sottodomini | Configurare se deve differire |
p richiede un'azione; rua, informazioni. I rapporti sono parziali e richiedono analisi, controlli di accesso e autorizzazione DNS per destinazioni esterne.
Secondo la RFC 7489, pct permette di richiedere applicazione graduale. Non è una ripartizione deterministica rispettata da tutti. 100 esprime copertura richiesta; con monitoraggio non attiva restrizioni da solo.
Configurazione DMARC passo per passo
Verifica SPF e DKIM, pubblica una politica di monitoraggio, confronta rapporti e prove e poi valuta restrizioni. La politica non sostituisce la correzione dei mittenti.
- Inventaria caselle, CRM, fatturazione, supporto, moduli e marketing che usano il dominio.
- Verifica SPF del dominio reale della busta. Autorizza solo servizi necessari in un record e controlla il limite di dieci meccanismi o modificatori che attivano ricerche DNS, comprese le valutazioni annidate.
- Attiva e prova DKIM su ogni mittente compatibile con selettore e chiave reali.
- Pubblica il record iniziale con
p=none. - Osserva rapporti per un periodo da 2 a 4 settimane come riferimento, estendendo o provando flussi mensili, trimestrali e critici.
- Valuta
p=quarantinedopo aver corretto errori legittimi e provato le rotte. - Valuta
p=rejectdopo inventario e prove, senza presumere copertura completa dei rapporti.
Interrogazioni utili:
dig TXT _dmarc.example.com +short
dig TXT example.com +short
dig TXT dkim._domainkey.example.com +shortIl modello è illustrativo: includi soltanto fornitori autorizzati per la busta reale, usa il selettore del mittente e sostituisci la chiave abbreviata con quella completa:
; SPF
example.com. IN TXT "v=spf1 include:spf.trekmail.net include:_spf.google.com -all"
; DKIM
dkim._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
; DMARC
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100"Per iniziare da zero, consulta la posta con dominio proprio. Per copiare messaggi, consulta la panoramica della migrazione IMAP: la copia non modifica né garantisce da sola MX, configurazione dei mittenti o autenticazione in uscita.
Quando DMARC passa o fallisce
DMARC passa quando SPF o DKIM passa allineato a From. Fallisce se nessuno fornisce quel risultato, anche quando l'altro si autentica correttamente con un dominio diverso.
Nella tabella, l'allineamento deve riguardare il meccanismo che passa:
| SPF | DKIM | Allineato? | DMARC |
|---|---|---|---|
| Pass | Fail | Sì | Pass |
| Fail | Pass | Sì | Pass |
| Pass | Pass | No | Fail |
| Fail | Fail | No | Fail |
Negli inoltri, SPF può fallire con l'IP intermediario. DKIM può restare valido se i dati firmati sono conservati secondo la canonicalizzazione. Non presumere che tutte le liste o gateway li preservino.
Invii da
billing@example.come un cliente inoltra a Gmail. SPF può fallire con il nuovo percorso. Se DKIM resta valido cond=example.come allineato a From, DMARC passa.
Indaga il contesto degli errori SPF invece di autorizzare o ignorare automaticamente. DKIM valido e allineato può spiegare una riuscita DMARC dopo inoltro.
Consulta l'inoltro della posta per rotte indirette. SRS e ARC possono aiutare in alcuni casi, senza garantire allineamento originale, recapito o accettazione.
Passare da none a quarantine e reject
Inizia osservando, poi valuta restrizioni. Possono limitare alcune falsificazioni ma anche colpire mittenti dimenticati; i destinatari mantengono eccezioni locali.
Opzioni di politica:
p=none: nessuna restrizione DMARC richiesta; restano possibili altri filtri.p=quarantine: trattamento degli errori come sospetti, senza garantire una cartella precisa.p=reject: rifiuto richiesto secondo il giudizio locale.
Le fasi sono alternative successive: pubblica solo quella adatta.
; Phase 1
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100
; Phase 2
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100
; Phase 3
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100Usa sp= quando la politica ereditata dei sottodomini deve differire. Secondo la RFC 7489, nel dominio organizzativo sp definisce l'alternativa; senza il tag si eredita la politica principale, salvo record specifici dei sottodomini.
Errori comuni di configurazione
Molte cause sono in SPF, DKIM, nomi DNS o From dei fornitori. Identifica il problema prima di cambiare politica.
| Errore | Rischio | Correzione |
|---|---|---|
| Restrizioni senza verificare DKIM | Inoltri senza altra autenticazione allineata possono fallire | Attivare e provare DKIM; none non causa l'errore da solo |
| Più record SPF | SPF restituisce PermError | Mantenere un solo SPF valido |
| Nome DMARC errato | Politica prevista non trovata | Pubblicare sotto _dmarc, non alla radice |
| Reject prematuro | Possibili rifiuti legittimi | Osservare con p=none e provare |
| Allineamento ignorato | Autenticazione valida senza riuscita DMARC | Allineare il meccanismo valido a From |
| Nessuna destinazione dei rapporti | Manca questo canale, non tutta la visibilità | Aggiungere rua valido e monitorato |
Un alias inviato da un fornitore che firma con il proprio dominio può passare DKIM senza allinearsi al tuo. Se neppure SPF è allineato, DMARC fallisce. Consulta alias di dominio o casella per valutare la rotta reale.
Gli stati DNS TrekMail aiutano a rilevare errori dei record indicati, senza provare autenticazione di tutti i mittenti. Verifica stato DNS e messaggi reali.
TrekMail: infrastruttura dispersa o coordinata
Combinare hosting, inoltri e tre fornitori SMTP richiede coordinamento. TrekMail può riunire domini, caselle, controlli DNS, inoltri e migrazione secondo il piano, senza eliminare verifiche esterne.
| Ambiente disperso | Approccio con TrekMail |
|---|---|
| Fatturazione per utente in strumenti separati | Piani multidominio con limiti e condizioni propri |
| Spazio separato per casella | Spazio condiviso secondo il piano, presente anche in alcune offerte con fatturazione per utente |
| DNS modificato senza verifica | Controlli e percorso SPF/DKIM/DMARC |
| Migrazioni mal coordinate | Copia IMAP lato server; la transizione va pianificata |
| Inoltri senza verificare autenticazione | Strumenti per configurare e verificare rotte compatibili |
Può aiutare operatori singoli e agenzie. Un dominio richiede lavoro; cinquanta esigono procedure coerenti, senza garanzia di margine o meno incidenti.
Starter è pubblicizzato da $3.50 al mese. Nano è offerto gratuitamente senza carta fino a 10 domini con SMTP proprio secondo i termini. I piani a pagamento corrispondenti offrono SMTP gestito e possono includere una prova di 14 giorni con carta richiesta. Consulta i prezzi TrekMail vigenti.
Checklist finale di configurazione DMARC
Pubblicare TXT non basta: verifica autenticazione allineata, rapporti parziali e flussi prima delle restrizioni. Può ridurre alcuni rischi di falsificazione, senza garantire fiducia, recapito o protezione totale.
- Inventaria tutti i mittenti del dominio.
- Mantieni un solo SPF valido.
- Attiva e prova DKIM quando compatibile.
- Pubblica una politica di monitoraggio DMARC.
- Esamina rapporti per un periodo da 2 a 4 settimane come riferimento e copri i cicli rari.
- Valuta quarantine dopo le prove.
- Valuta reject dopo aver corretto errori legittimi e provato processi critici.
Il monitoraggio resta necessario: percorsi e servizi possono cambiare dopo la configurazione.
Per coordinare la gestione, TrekMail offre hosting multidominio, spazio condiviso, migrazione IMAP e controlli DNS secondo il piano. Verifica l'opzione gratuita su trekmail.net o le condizioni dell'invio gestito nella pagina dei prezzi.
L'obiettivo è ridurre falsificazioni e restrizioni indebite tramite configurazione, prove e monitoraggio continui.
