Che cos'è DMARC?
DMARC (Domain-based Message Authentication, Reporting & Conformance) è un protocollo di autenticazione email che indica ai server di posta destinatari cosa fare quando i controlli SPF o DKIM falliscono. Senza DMARC, un destinatario sa che un\'email non ha superato l'autenticazione, ma non ha alcuna istruzione su se rifiutarla, metterla in quarantena o lasciarla passare. DMARC colma questa lacuna.
Definito nella RFC 7489 e richiesto da Google, Yahoo e PCI DSS v4.0 per i mittenti di massa e i domini rivolti ai clienti.
Chi richiede DMARC?
DMARC è passato da buona pratica facoltativa a requisito di conformità obbligatorio nei settori governativo, finanziario, sanitario e delle infrastrutture critiche in tutto il mondo.
Mandati governativi
Tutti i domini del ramo esecutivo federale devono implementare DMARC con p=reject
Estende i requisiti di base per l'autenticazione email, allineandosi ai mandati per i mittenti di Microsoft/Google/Yahoo
I domini del governo centrale devono implementare DMARC, SPF, DKIM e TLS. Tutti i domini, inclusi quelli inattivi, richiedono record DMARC
L'Australian Signals Directorate dichiara DMARC critico - implementatelo ora, indipendentemente dai controlli esistenti
I dipartimenti federali devono implementare DMARC, SPF e DKIM. Minimo p=none con progressione graduale verso p=reject
Standard di settore
Meccanismi anti-phishing incluso DMARC richiesti dal 31 marzo 2025 per tutte le organizzazioni che trattano dati di carte di pagamento
Raccomanda DMARC con p=reject come politica obiettivo. Pubblicare i record su tutti i domini, inclusi quelli che non inviano email
Implementare DMARC per ridurre la probabilità di email contraffatte o modificate provenienti da domini validi
Richiede solide misure di cybersicurezza, inclusi i controlli di sicurezza email. DMARC rafforza la conformità NIS2 insieme al GDPR e a PCI DSS
Standard di gestione della sicurezza delle informazioni - l'implementazione di DMARC supporta i controlli dell'Allegato A per la sicurezza delle comunicazioni
Requisiti dei provider email
I mittenti di massa (5.000+ messaggi/giorno verso Gmail) devono avere DMARC con almeno p=none da febbraio 2024
I mittenti di massa devono autenticarsi con DMARC insieme a SPF e DKIM da febbraio 2024
Dal 5 maggio 2025, Microsoft rifiuta le email che non superano DMARC provenienti da mittenti ad alto volume verso Outlook.com, Hotmail e Live.com
Apple applica le politiche DMARC sui domini iCloud Mail, rifiutando i messaggi che non superano l'autenticazione con p=reject
Il 60% dei sinistri BEC ha origine da domini senza applicazione. Gli assicuratori richiedono sempre più SPF, DKIM e DMARC come condizioni di sottoscrizione
L'email è stata progettata senza verifica del mittente
Il protocollo SMTP non ha alcun modo integrato per verificare che la persona nel campo "From" abbia realmente inviato il messaggio. Chiunque può inviare email fingendo di essere chiunque. DMARC risolve questo problema.
Senza DMARC
Con DMARC (p=reject)
Tre passaggi, per ogni email
DMARC si basa su SPF e DKIM aggiungendo l'applicazione delle politiche e la creazione di rapporti. Ecco cosa accade quando un'email protetta da DMARC arriva su un server destinatario.
Il mittente pubblica un record DMARC
Il proprietario del dominio aggiunge un record TXT a _dmarc.domain.com nel DNS. Questo record contiene la politica (none, quarantine o reject) e l'indirizzo per i rapporti.
Il destinatario verifica l'allineamento SPF + DKIM
Quando arriva un'email, il server destinatario verifica se SPF o DKIM supera il controllo E se il dominio autenticato si allinea con il dominio dell'intestazione From. Questo controllo di allineamento è ciò che distingue DMARC da SPF o DKIM da soli.
Politica applicata, rapporto inviato
Se l'allineamento fallisce, il destinatario applica la politica pubblicata - consegna normalmente (none), instrada allo spam (quarantine) o rifiuta completamente (reject). In ogni caso, il destinatario invia un rapporto aggregato al proprietario del dominio.
All'interno di un record DMARC
Un record DMARC è un record DNS TXT pubblicato in _dmarc.yourdomain.com. Ogni tag controlla un comportamento specifico.
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; ruf=mailto:forensic@example.com; adkim=s; aspf=r; pct=100; fo=1 v=DMARC1 Obbligatorio Identificatore della versione del protocollo. Deve essere il primo tag di ogni record DMARC.
v=DMARC1 p= Obbligatorio Politica per il dominio: none (monitorare), quarantine (cartella spam) o reject (bloccare).
p=reject rua= Indirizzo per ricevere i rapporti aggregati - riepiloghi XML dei risultati di autenticazione inviati quotidianamente dai destinatari.
rua=mailto:dmarc@example.com ruf= Indirizzo per ricevere i rapporti forensi - dettagli di errore per singolo messaggio per indagare sui tentativi di spoofing.
ruf=mailto:forensic@example.com sp= Politica per i sottodomini. Sostituisce la politica principale per i sottodomini. Se non impostata, assume il valore di p=.
sp=reject adkim= Modalità di allineamento DKIM: strict (s) richiede una corrispondenza esatta del dominio, relaxed (r) consente l'allineamento dei sottodomini.
adkim=r aspf= Modalità di allineamento SPF: strict (s) richiede una corrispondenza esatta del dominio, relaxed (r) consente l'allineamento dei sottodomini.
aspf=r pct= Percentuale di messaggi in errore a cui si applica la politica. Da usare per un'implementazione graduale (ad es. pct=10 e poi aumentare).
pct=100 fo= Opzioni dei rapporti forensi. Controlla quando vengono generati i rapporti forensi (0=entrambi falliscono, 1=uno dei due fallisce, d=errore DKIM, s=errore SPF).
fo=1 Le tre politiche DMARC
Ogni percorso DMARC segue lo stesso itinerario: monitorare, quarantena, rifiuto. Ogni politica si basa sulla precedente. Scopri di più sulle politiche DMARC.
p=none I destinatari non intraprendono alcuna azione sui messaggi in errore. I rapporti vengono comunque inviati, offrendole visibilità su chi invia email dal Suo dominio.
p=quarantine I messaggi in errore vengono instradati nella cartella spam o posta indesiderata. I destinatari possono comunque trovarli, ma sono contrassegnati come sospetti.
p=reject I messaggi in errore vengono rifiutati a livello SMTP. Il destinatario non li vede mai. È l'applicazione completa.
Come SPF, DKIM e DMARC
funzionano insieme
Ogni protocollo risolve una parte diversa del puzzle dell'autenticazione email. SPF autorizza i server di invio. DKIM garantisce l'integrità del messaggio. DMARC li unisce con l'allineamento e la politica.
-
SPFVerifica che l'IP del server di invio sia autorizzato dal record DNS del dominio. Controlla il mittente della busta (Return-Path).
Verifica il record SPF → -
DKIMAllega una firma crittografica alle intestazioni dell'email. Il server destinatario verifica la firma rispetto a una chiave pubblica nel DNS.
Verifica il record DKIM → -
DMARCRichiede che SPF o DKIM superi il controllo E si allinei con il dominio dell'intestazione From. Pubblica una politica per gli errori e abilita la creazione di rapporti.
Verifica il record DMARC →
Come configurare DMARC
Il deployment di DMARC segue un approccio graduale. Precipitarsi verso l'applicazione senza monitoraggio provoca il blocco di email legittime. Preveda da 9 a 18 mesi dal primo record al p=reject completo.
Configurare SPF
Pubblichi un record SPF TXT che elenca ogni indirizzo IP e servizio autorizzato a inviare email per il Suo dominio. Lo mantenga sotto le 10 ricerche DNS.
Verifica il tuo record SPF →Configurare DKIM
Attivi la firma DKIM su ogni fonte di invio - il Suo server di posta, Google Workspace, Microsoft 365, piattaforme di marketing - affinché i messaggi in uscita portino una firma crittografica.
Scopri i selettori DKIM →Pubblicare DMARC in p=none
Aggiunga un record DMARC TXT a _dmarc.iltuodominio.com che inizia con p=none e un indirizzo rua= per ricevere i rapporti aggregati.
Valida il tuo record DMARC →Monitorare i rapporti per oltre 90 giorni
Analizzi i rapporti aggregati per identificare ogni mittente, correggere gli errori di autenticazione e confermare che tutte le email legittime superino l'allineamento SPF o DKIM.
Inizia il monitoraggio con DMARC Report →Applicare con quarantine e poi reject
Passi a p=quarantine, monitori per altri 90+ giorni, quindi avanzi a p=reject. Usi pct= per un'implementazione graduale. L'intero percorso richiede da 9 a 18 mesi.
Scopri di più sulle politiche DMARC →Domande frequenti
Che cos'è DMARC in termini semplici?
DMARC è un protocollo di sicurezza email che consente ai proprietari di dominio di indicare ai server di posta destinatari cosa fare quando un'email non supera i controlli di autenticazione. Impedisce agli aggressori di inviare email che sembrano provenire dal Suo dominio, proteggendo il Suo marchio e i Suoi destinatari dal phishing.
Quanto tempo richiede l'implementazione di DMARC?
Pubblicare un record DMARC in p=none richiede pochi minuti. Tuttavia, raggiungere l'applicazione completa in p=reject richiede in genere da 9 a 18 mesi. Ogni fase (none, quarantine, reject) richiede almeno 90 giorni di monitoraggio per identificare e correggere tutte le fonti di invio legittime.
DMARC blocca tutto il phishing?
DMARC blocca lo spoofing diretto del dominio - gli aggressori non possono inviare email che superano l'autenticazione usando il Suo dominio esatto. Non impedisce gli attacchi con domini simili (ad es. examp1e.com) né il phishing proveniente da domini non correlati. DMARC è uno dei livelli di una strategia di sicurezza email a difesa in profondità.
Qual è la differenza tra SPF, DKIM e DMARC?
SPF verifica che un server di invio sia autorizzato dal proprietario del dominio. DKIM allega una firma crittografica per dimostrare che il messaggio non è stato alterato durante il transito. DMARC li unisce richiedendo che SPF o DKIM superi il controllo E si allinei con il dominio dell'intestazione From, quindi indica ai destinatari cosa fare quando l'autenticazione fallisce.
DMARC è obbligatorio?
Sì - DMARC è obbligatorio secondo diversi framework. Le agenzie federali statunitensi devono implementare p=reject ai sensi di CISA BOD 18-01. PCI DSS v4.0 richiede DMARC da marzo 2025. Google, Yahoo e Microsoft richiedono DMARC per i mittenti di massa. L'NCSC del Regno Unito, l'ASD australiano e il CCCS canadese impongono tutti DMARC per i domini governativi. La direttiva EU NIS2 rafforza la necessità di DMARC nelle infrastrutture critiche. Molte polizze di cyber-assicurazione richiedono ora l'applicazione di SPF, DKIM e DMARC come condizioni di sottoscrizione.
Che cos'è un rapporto aggregato DMARC?
Un rapporto aggregato (RUA) è un file XML inviato quotidianamente dai server di posta destinatari. Riepiloga i risultati di autenticazione di tutti i messaggi che dichiarano di provenire dal Suo dominio - mostrando quali mittenti hanno superato o meno SPF e DKIM e quale politica è stata applicata. DMARC Report converte questi file XML in dashboard visive.
DMARC può compromettere la consegna delle mie email?
In p=none, DMARC non può influenzare la consegna delle email - è solo monitoraggio. In p=quarantine o p=reject, i messaggi provenienti da mittenti legittimi che non superano l'autenticazione ne saranno interessati. Per questo è essenziale un approccio graduale con oltre 90 giorni di monitoraggio in ogni fase prima dell'applicazione.
Scelto dai team di sicurezza di tutto il mondo
Rated 4.8/5 on G2 · 469 verified reviews
Verified User in Information Technology and Services
"Best security tool for your own domains"
The weekly reports help me a lot to analyze quickly the emails sent from my domains and that gives me peace of mind.
Ryan C.
Director
"Control Centre for Email Security"
I like that we can see and check all reports on just 1 platform. We manage multiple domains, and monitoring them all in one place is essential.
eddy g.
Director
"A great solution to a common email problem."
I have been using them for the last month after my Google business email started giving DMARC errors. I didn't even know what it meant at that time. After a little googling I found that people can spoof it as well. So far so good — the best thing is it protects every email.
Inizia oggi a monitorare i tuoi rapporti DMARC
Il piano gratuito include 1 dominio e 10.000 rapporti al mese - senza carta di credito.
Inizia gratis - Nessuna carta di credito