Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Tre controlli, tre funzioni differenti
SPF pubblica nel DNS quali sistemi possono inviare per un dominio usato nel percorso SMTP. DKIM aggiunge una firma crittografica verificabile tramite una chiave pubblica nel DNS. Nessuno dei due, da solo, lega necessariamente il risultato al dominio che l'utente vede nel campo From.
DMARC introduce proprio questo collegamento, chiamato allineamento. Un messaggio supera DMARC quando SPF oppure DKIM passa e il dominio autenticato è allineato con l'Author Domain. L'allineamento può essere relaxed, se i domini condividono lo stesso dominio organizzativo, oppure strict, se coincidono.
- SPF: autorizzazione delle sorgenti di invio
- DKIM: firma e integrità verificabile del messaggio
- DMARC: allineamento con il dominio visibile e policy pubblicata
- DNS: punto di pubblicazione delle regole e delle chiavi
Perché un singolo controllo lascia zone scoperte
SPF può rompersi con alcuni inoltri e valuta il dominio del percorso SMTP, non direttamente il From mostrato all'utente. DKIM può sopravvivere all'inoltro, ma modifiche al contenuto o alle intestazioni firmate possono invalidare la firma. Una firma valida con un dominio non allineato non autorizza l'uso del dominio visibile.
DMARC combina i risultati e consente al proprietario del dominio di esprimere una policy per i messaggi che falliscono. La specifica chiarisce però che un pass DMARC conferma l'uso autorizzato del dominio: non certifica la bontà del contenuto e non blocca domini simili, display name ingannevoli o account realmente compromessi.
Ordine operativo per una configurazione affidabile
Prima si censiscono tutte le sorgenti che inviano con il dominio: Microsoft 365, applicazioni, CRM, newsletter, dispositivi, portali e fornitori. Poi si configura SPF senza moltiplicare record concorrenti, si abilita DKIM sul dominio personalizzato e si verifica l'allineamento con messaggi reali.
Solo dopo si pubblica DMARC in monitoraggio, si analizzano i report aggregati e si correggono i flussi legittimi. La policy di enforcement arriva quando le sorgenti sono note e autenticate. Domini inutilizzati e sottodomini dedicati richiedono decisioni esplicite, soprattutto per servizi di marketing non controllati direttamente.
- Inventario di tutti i mittenti legittimi
- Un record SPF coerente per dominio
- DKIM attivo e verificato sul dominio personalizzato
- DMARC con reporting prima dell'enforcement
- Controllo periodico dopo ogni nuovo servizio di invio
Domande frequenti
DMARC richiede che SPF e DKIM passino entrambi?+
No. È sufficiente che almeno uno tra SPF e DKIM passi e sia allineato con il dominio nel campo From. Configurare entrambi aumenta però resilienza e copertura.
Un messaggio che passa DMARC è sempre sicuro?+
No. Il pass dimostra che l'uso del dominio è autorizzato secondo SPF o DKIM e allineamento; non valuta contenuto, intenzioni, domini simili o compromissione dell'account.
Si può pubblicare subito una policy reject?+
È rischioso se non sono state censite e corrette tutte le sorgenti legittime. È preferibile monitorare, analizzare i report, rimediare e passare all'enforcement in modo controllato.