DMARC da p=none a p=reject: passo per passo senza bloccare la tua posta

Si passa da p=none a p=reject in quattro fasi: prima raccogliere rapporti per settimane, poi mettere in regola ogni mittente che invia a nome del tuo dominio, quindi la quarantena su una piccola percentuale e solo alla fine il rifiuto. Chi salta una fase di norma blocca il proprio gestionale contabile o il proprio e-commerce. Metti in conto qualche mese, non un pomeriggio.

Perché non passare subito a reject

DMARC dice al destinatario che cosa fare con la posta che si presenta come il tuo dominio ma non supera il controllo. Il problema è che "non superare il controllo" vale anche per la tua posta legittima finché non è allineata correttamente. Un modulo di fatturazione che invia tramite un vecchio server, un modulo di contatto sul sito, un fornitore che manda un sondaggio a nome tuo: falliscono tutti finché non li sistemi. Se metti oggi p=reject, domani quella posta sparisce senza che tu riceva un messaggio d'errore.

Fase 1: p=none con i rapporti

Pubblica un record DMARC con criterio none e un indirizzo per i rapporti. Non blocca nulla; fa solo in modo che i destinatari ti facciano sapere ogni giorno chi ha inviato a nome del tuo dominio e se è riuscito. Non usare una casella personale come indirizzo dei rapporti: sono file XML e diventano tanti. Falli elaborare da uno strumento che li riassume per fonte d'invio.

Fase 2: leggi almeno quattro settimane

Lascia il record un mese. La fatturazione gira mensilmente, alcuni solleciti trimestralmente, e li vuoi vedere tutti. Fa' un elenco di ogni fonte che compare nei rapporti e decidi per ciascuna: è nostra e, se sì, chi la gestisce? Ne trovi quasi sempre più di quante pensassi. Un vecchio modulo sul sito, un sistema di cassa in filiale, un CRM che un collaboratore ha collegato una volta.

Fase 3: metti in regola ogni fonte legittima

Per ogni fonte ci sono tre possibilità. O aggiungi la fonte al tuo record SPF e fai in modo che il dominio mittente corrisponda. Oppure fai firmare la fonte con DKIM per il tuo dominio, cosa più robusta perché sopravvive agli inoltri. Oppure sposti la fonte su un SMTP relay dove entrambe le cose sono già sistemate e dove ogni applicazione riceve un accesso proprio. Quest'ultima strada è di solito la più breve, soprattutto per i sistemi di cui nessuno conosce più le credenziali. Quello che non riconosci come legittimo lo lasci fallire: DMARC serve esattamente a questo.

Con SPF fa' attenzione al limite di dieci interrogazioni DNS. Chi aggiunge alla cieca ogni fornitore lo supera, e allora SPF fallisce per tutti. Pota ciò che non si usa più.

Fase 4: quarantena su una piccola percentuale

Non appena i rapporti mostrano per qualche settimana solo fonti legittime riuscite, metti il criterio su quarantine con una percentuale, per esempio dieci. Solo un decimo della posta che fallisce finirà allora nello spam. Se nessuno nota nulla, sali a cinquanta e poi a cento. Continua a leggere i rapporti; una fonte che invia una volta a trimestre può emergere solo ora.

Fase 5: reject

Quando la quarantena al cento per cento gira da qualche settimana senza reclami, metti il criterio su reject. La posta che fallisce viene ora rifiutata invece che messa nello spam. Non dimenticare i sottodomini: senza un'impostazione propria ereditano il criterio del dominio principale, cosa che di solito è ciò che vuoi, ma controlla che non ci sia tra loro un sottodominio mittente non ancora in regola.

Che cosa continuare a fare dopo

Continuare a leggere i rapporti, meno spesso ma con regolarità. Ogni nuovo fornitore che invia a nome tuo va prima nell'autenticazione e solo dopo in produzione. Mettilo nella lista di controllo per il collegamento di un nuovo sistema, altrimenti la storia ricomincia. Chi vuole capire i rapporti trova sulla nostra pagina sulla deliverability che cosa significano i numeri.

Domande frequenti

Quanto dura tutto il percorso?

In una piccola azienda con tre sistemi mittenti, due o tre mesi. In un'organizzazione con molti reparti e fornitori, di più. Il tempo non sta nelle modifiche DNS ma nell'individuare chi invia.

E se un fornitore non può fare DKIM per il mio dominio?

Resta SPF, con l'avvertenza che la posta inoltrata fallirà. In quel caso valuta di far inviare il fornitore da un sottodominio separato, così il tuo dominio principale può restare severo.

p=quarantine non basta?

Per molti usi sì. Ma solo con reject sei certo che la posta falsificata non finisca nemmeno in una cartella spam, e alcune applicazioni, come il logo nella posta in arrivo, richiedono l'applicazione piena.