Vai al contenuto

Impostazioni cookie

Scelga per ogni tipo quali cookie consente. Può modificare la sua scelta in qualsiasi momento tramite Impostazioni cookie in fondo a ogni pagina. Informativa sulla privacy

Necessari

Sempre attivi

Servono per accedere, conservare il carrello e ricordare le sue scelte. Sono sempre attivi.

Quali cookie?
  • weboke_sessie, weboke_klant, weboke_remember: la sua sessione e la permanenza dell'accesso
  • weboke_basket: il suo carrello
  • wkBtwIncl: visualizzazione dei prezzi con o senza IVA
  • wok_cookies: la sua scelta sui cookie, 12 mesi

Misurano quale annuncio porta a una visita o a un ordine, così non paghiamo annunci che non funzionano.

Quali cookie?
  • Google Ads tramite Google Tag Manager (_gcl_au, _gcl_aw), fino a 90 giorni
  • OpenAI Ads, annunci in ChatGPT
  • wok_aff: tramite quale partner è arrivato da noi (programma di affiliazione), 60 giorni

Hosting sostenibile al 100% 4,6 su 5 · 450+ recensioni
4,6
Hosting webHosting veloce per ogni sito — da €2,23/mese Server MCP per l'IANOVITÀFaccia lavorare Claude, ChatGPT o Mistral sul suo sito web · Gratis da WebHost Two Hosting Email OnlyCrei le sue caselle di posta — da €1,95/mese Hosting resellerRivenda hosting con il suo marchio — da €5,21/mese NextcloudNOVITÀIl suo cloud europeo — da €3,50/mese Hosting sostenibileHosting con energia verde e recupero del calore residuo
Servizio di trasferimento gratuito Trasferiamo il suo sito web senza interruzioni. La posta la sposta Lei con il nostro strumento gratuito Migrazione e-mail. Maggiori informazioni sul trasferimento →
4,6 su 5 · 450+ recensioni Confronta tutti i piani →
Registra un nome di dominio.it, .com e oltre 500 estensionida €13,50 /anno Trasferisci un dominioPorti il suo nome di dominio in WebOké Registrazione/trasferimento in bloccoMolti domini nel carrello in una volta
.it €13,50/anno.com €14,95/anno.eu €5,49/anno Oltre 500 estensioni →
NextcloudNOVITÀArchiviazione cloud e modifica di documenti su server olandesi€3,50 /mese Euro-OfficeNOVITÀWord, Excel e PowerPoint nel Suo browser Hosting Email OnlyCrei i suoi indirizzi e-mail€1,95 /mese Servizio di trasferimento del sito webCambiare è semplicissimo: trasferiamo noi il suo sito webGRATIS Aggiornamento PHPNOVITÀIl Suo vecchio sito di nuovo sicuro e aggiornatoda €99,00
GuideManuali e domande frequentiCorsiImpari gratuitamente, passo dopo passoDownloadContattaciContatti il nostro team di assistenza per qualsiasi domandaInserisci codice di attivazioneInserisca un codice da una nostra e-mailStatoTutti i sistemi funzionano regolarmente
Ci scriva su WhatsApp 4,6 su 5 · 450+ recensioni
WHOIS lookupScopra chi è l'intestatario di un dominioIP LookupVerifica gratuita di indirizzo IP e posizioneVerifica SSLVerifichi un certificato SSLTestare il sito web prima del trasferimentoVeda il Suo sito presso di noi prima del trasferimentoSalute del dominioVerifichi se il Suo dominio è configurato correttamenteStrumento di analisi DNS/DNSSECVerifichi la catena DNSSEC e i nameserverMigrazione e-mailStrumento di migrazione e-mail
Tutti gli strumenti →

Paese e lingua

Ogni paese ha il suo sito, con i prezzi e l'IVA di quel paese.

Vedi

Modulo 4 · 4.5

Tutti i film
Italiano
Nederlands English Deutsch Français Dansk Español Svenska Italiano Polski Português Română Čeština Ελληνικά Magyar Slovenčina Български Hrvatski Norsk Lietuvių Slovenščina

DMARC: cosa devono fare i destinatari con le email false

Modulo 4: Record per la posta elettronica · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione saprà spiegare come DMARC combina SPF e DKIM, come creare un record DMARC valido e come inasprire la policy passo dopo passo.

Concetti chiave: DMARC, _dmarc, v=DMARC1, policy p=none / quarantine / reject, allineamento (alignment), report rua, sp= e np=, modalità di test t=, un solo record DMARC

Il pezzo mancante

SPF (lezione 4.3) verifica da quale server proviene un'email, ma guarda l'indirizzo tecnico envelope. DKIM (lezione 4.4) verifica una firma, ma questa può appartenere a qualsiasi dominio. Un truffatore può quindi inviare un'email con "Da: info@example.com" che supera tranquillamente il controllo SPF per il proprio dominio ed è firmata correttamente dal proprio dominio.

DMARC (Domain-based Message Authentication, Reporting and Conformance) chiude questo cerchio. Pone una sola domanda: il controllo SPF o DKIM riuscito appartiene al dominio che il destinatario vede nell'indirizzo "Da:"? Questo si chiama allineamento (alignment). E Lei indica ai destinatari cosa fare se la risposta è no.

DMARC è stato descritto nel 2015 nella RFC 7489. Nel maggio 2026 è stata pubblicata la versione rivista come standard internet ufficiale: RFC 9989 (con RFC 9990 e 9991 per i report). I record esistenti con v=DMARC1 restano validi.

Come decide un destinatario

Quando arriva un'email dal mittente info@example.com, il destinatario fa questo:

  1. SPF: l'email proviene da un server autorizzato, e il dominio envelope appartiene a example.com?
  2. DKIM: c'è una firma valida, e il dominio firmatario (d=) appartiene a example.com?
  3. DMARC: almeno uno dei due è riuscito e allineato? Allora l'email è a posto. In caso contrario, il destinatario segue la Sua policy.

Uno dei due è sufficiente. Per questo DKIM è così importante per i servizi che inviano con un proprio indirizzo envelope, come molti servizi di newsletter: in quel caso SPF riesce, ma non per il Suo dominio. Solo una firma DKIM con d=example.com rende tutto a posto.

"Appartiene a" significa per impostazione predefinita: lo stesso dominio organizzativo. nieuws.example.com appartiene a example.com. Questo si chiama allineamento relaxed. Con adkim=s o aspf=s (strict) deve trattarsi esattamente dello stesso dominio. Per quasi tutti, relaxed va bene.

Come si presenta un record DMARC?

Un record DMARC è un record TXT sul nome _dmarc del Suo dominio:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

È composto da elementi (tag) separati da un punto e virgola.

TagSignificato
v=DMARC1Questo è un record DMARC. Deve stare all'inizio.
p=La policy per il Suo dominio: none, quarantine o reject.
rua=mailto:...Facoltativo: indirizzo per i report riepilogativi giornalieri.
sp=Facoltativo: policy diversa per i sottodomini esistenti.
np=Facoltativo (novità nella RFC 9989): policy per i sottodomini che non esistono, come factuur.example.com se non lo ha mai creato. I truffatori usano volentieri nomi di questo tipo.
adkim= / aspf=Facoltativo: r (relaxed, predefinito) o s (strict).
t=yFacoltativo (novità nella RFC 9989): modalità di test. I destinatari applicano una policy un grado più indulgente. Sostituisce il vecchio pct=.

Scegliere la policy

PolicyCosa fa il destinatario
p=noneNiente. L'email viene semplicemente consegnata. Riceve comunque i report se compila rua. Questo si chiama anche monitoraggio.
p=quarantineL'email non conforme finisce nella cartella spam.
p=rejectL'email non conforme viene respinta. La migliore protezione contro l'uso improprio del Suo nome.

Ordine consigliato:

  1. Prima metta a posto SPF e DKIM, per tutti i servizi che inviano email a Suo nome: il Suo provider di posta, il Suo sito web, il Suo servizio di newsletter, il Suo programma di contabilità, il Suo negozio online.
  2. Inizi con p=none e un indirizzo rua. Osservi per qualche settimana i report per capire quali servizi inviano email a nome del Suo dominio e se superano i controlli.
  3. Passi a p=quarantine, e se tutto continua a funzionare bene, passi a p=reject.

Se non è sicuro che tutti i Suoi servizi siano configurati correttamente, non passi subito a reject. Un servizio dimenticato (per esempio il programma che invia le Sue fatture) smetterebbe di arrivare a destinazione.

Alcune aziende di hosting impostano subito, su un nuovo pacchetto, un record DMARC rigoroso (p=reject). È sicuro finché tutta la Sua posta passa attraverso i loro server. Se invia email anche tramite altri servizi, verifichi prima SPF e DKIM di quei servizi.

Report

Con rua=mailto:dmarc@example.com riceve ogni giorno, dai principali destinatari, un riepilogo (un file XML) di chi ha inviato email a nome del Suo dominio e se il controllo è andato a buon fine. Utile, ma tecnico. Usi un indirizzo dedicato per questo scopo; riceverà presto diversi messaggi al giorno. Esistono servizi che rendono i report leggibili.

Se invia i report a un indirizzo su un dominio diverso (per esempio un servizio di reportistica), quel dominio deve dare il permesso nel proprio DNS. Di solito è il servizio stesso a occuparsene.

Errori comuni

  • Due record DMARC. Ne può esistere solo uno su _dmarc. Con due record, il destinatario si comporta come se Lei non avesse DMARC. Modifichi il record esistente.
  • Sul nome sbagliato. Il record deve stare su _dmarc.example.com, non su example.com stesso.
  • Errori di battitura nei tag. p=reject funziona, p=rejected o policy=reject no. Senza un p= valido, il record viene considerato come p=none.
  • Attivare DMARC prima che SPF e DKIM siano corretti. In tal caso rifiuterebbe la Sua stessa posta.
  • Controllare di nuovo troppo presto dopo una modifica. Un record DMARC ha talvolta un TTL lungo (per esempio quattro ore). Dopo una modifica, vedrà quindi ancora per un po' il record precedente.

Perché è importante

Da febbraio 2024, Gmail e Yahoo richiedono ai mittenti di grandi volumi di email (più di circa 5.000 al giorno) un record DMARC, come minimo con p=none, e che SPF o DKIM superino il controllo in modo allineato. Microsoft richiede lo stesso dal maggio 2025 per Outlook.com e Hotmail. Anche per i piccoli mittenti, DMARC migliora la consegna e protegge i Suoi clienti da fatture false a Suo nome.

In pratica: come appare in un pannello

In questo esempio utilizziamo DirectAdmin. In Amministrazione DNS clicchi sulla matita accanto al record TXT _dmarc, oppure crei un nuovo record TXT con nome _dmarc e selezioni DMARC in Tipo di record TXT. In Tipo di policy del dominio scelga Nessuno, Quarantena o Respingi; in Email aggregata (RUA) inserisca eventualmente un indirizzo per i report. Mio WebOké dispone di un assistente DMARC simile nella scheda DNS.

Se il Suo pannello non dispone di un assistente, crei un normale record TXT su _dmarc e digiti il testo Lei stesso. Il risultato è lo stesso.

Riepilogo

  • DMARC verifica se SPF o DKIM superano il controllo per il dominio presente nell'indirizzo "Da:" (allineamento).
  • Il record si trova su _dmarc.<dominio>, inizia con v=DMARC1 e ha una policy p=none, quarantine o reject.
  • Prima SPF e DKIM per tutti i servizi, poi p=none con i report, infine l'inasprimento.
  • Esattamente un record DMARC per dominio.

Quiz

1. Un'email con mittente info@example.com supera il controllo SPF, ma il dominio envelope è bounce.nieuwsdienst.example. Non c'è alcuna firma DKIM. Cosa dice DMARC?



2. Quale policy DMARC lascia arrivare normalmente le email non conformi, ma produce comunque dei report?



3. Su quale nome deve trovarsi il record DMARC di example.com?



4. Vuole passare a p=reject. Cosa controlla per prima cosa?



5. Cosa fa np=reject in un record DMARC?



Esercizio

Esercizio Z4.5: Ricerca di un record DMARC. Cerchi il record DMARC di sidn.nl (il sito di SIDN, il registro di .nl nei Paesi Bassi) oppure del Suo dominio. Incolli il record completo e indichi quale policy (p=) è presente.

Esercizio Z4.5: Cercare il DMARC




Quello che inserisce e quello che troviamo in rete non viene memorizzato. Il Suo browser ricorda le Sue risposte e se ha superato l'esercizio. Se ha effettuato l'accesso, conserviamo solo l'informazione che l'esercizio era (quasi) corretto in I miei corsi; lì può anche eliminarla.

Esercizio O4.5: Configurazione nella Sua zona di esercitazione. Nella zona di esercitazione invierà i report a un indirizzo di esercitazione fisso; sul Suo dominio reale userà un indirizzo proprio. Crei nella Sua zona di esercitazione <code>.dnspractice.eu un record DMARC con policy quarantine (o none se desidera iniziare con il monitoraggio) e report verso dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Esercizio O4.5

Questo esercizio lo svolge nella Sua zona di esercitazione: una vera zona DNS sui nameserver di WebOké, solo per Lei. Si registri con il Suo indirizzo email. Riceverà un link di accesso via email e tornerà poi a questa lezione. Usiamo il Suo indirizzo solo per il corso.

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; in altri pannelli funziona in modo simile.

Un momento…

Configuri i suoi domini

Per ogni dominio imposti i nameserver, il collegamento al suo hosting e chi ne diventa l'intestatario.

Caricamento dei suoi domini…