DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) è il layer di policy sopra SPF e DKIM, definito nella RFC 7489. SPF e DKIM verificano ciascuno un segnale differente; DMARC comunica ai receiver due cose: (1) cosa fare quando nessuno dei due segnali "allinea" con l'header From: visibile (none / quarantine / reject), e (2) dove spedire i report aggregati (RUA) e forensic (RUF). La policy si pubblica come record TXT su _dmarc.{domain}.

v=DMARC1; p=none; rua=mailto:dmarc-agg@suaazienda.it; pct=100; adkim=r; aspf=r

Tag principali:

• p= — policy: none (solo monitoraggio), quarantine (cartella spam), reject (bounce).
• rua= — destinazione dei report aggregati (un XML giornaliero per receiver).
• ruf= — report forensic / failure (rari; pochi receiver li inviano).
• pct= — percentuale di mail in fallimento a cui applicare la policy (manopola di rollout).
• adkim= / aspf= — modalità di allineamento: r relaxed (match a livello di organizational domain) o s strict (match esatto sul From:).

Saltare p=none è l'errore più comune in DMARC — andare direttamente a p=reject su un dominio i cui flussi di posta non si conoscono ancora a fondo manda in silenzio in bounce mail legittime (forwarder, mailing list, strumenti CRM). Il rollout standard è: (1) rilasciare p=none con reportistica RUA e monitorare i report giornalieri per due-quattro settimane; (2) sistemare gli stream non autenticati emersi dai report; (3) avanzare attraverso p=quarantine; pct=10 → 50 → 100; (4) finalizzare su p=reject; pct=100 una volta che i report aggregati mostrano zero fallimenti legittimi per una settimana intera.

Sia Google sia Yahoo hanno aggiornato le proprie policy per bulk sender a febbraio 2024, richiedendo DMARC a qualsiasi mittente che superi i 5.000 messaggi al giorno verso i propri utenti (linee guida Google). Per gli operatori self-hosted che utilizzano AcelleMail con Amazon SES su volumi importanti, l'allineamento DMARC non è più opzionale — è una precondizione per inboxare presso i due maggiori mailbox provider.