Per impostare DMARC in modo sicuro, pubblica prima un record di monitoraggio, utilizza i suoi report per autenticare ogni fonte di invio legittima, quindi aumenta la policy in più fasi da nessuna a quarantena fino a rifiutare. L'ordine è importante: l'applicazione prima che le tue fonti passino bloccherà la posta reale. Fatto in sequenza, raggiungi la protezione completa senza interrompere la consegna.
Prima di iniziare
DMARC dipende da SPF e DKIM , quindi verifica prima che esistano entrambi. SPF ( RFC 7208 ) elenca gli IP e i servizi autorizzati a inviare per il tuo dominio in un record TXT . DKIM aggiunge una firma crittografica pubblicata come chiave pubblica nel DNS . È necessario che almeno uno di essi passi e sia allineato affinché DMARC passi, e idealmente entrambi. Tieni inoltre presente il limite di ricerca DNS SPF 10: un record SPF che attiva più di dieci ricerche DNS fallisce, interrompendo quindi l'allineamento DMARC .
Passo dopo passo
- 1
1. Pubblicare un record di monitoraggio
Aggiungi un record TXT in _dmarc con v=DMARC1; p=none; rua=mailto:rua@example.com. Questo raccoglie i dati senza influenzare la consegna.
- 2
2. Raccogliere rapporti
Attendi due o quattro settimane e leggi i rapporti aggregati ( RUA ) per vedere ogni origine inviata come tuo dominio.
- 3
3. Autenticare ciascuna fonte
Per ogni mittente legittimo, configura SPF e DKIM in modo che passi e si allinei al tuo dominio Da.
- 4
4. Passa alla quarantena
Quando la posta legittima passa in modo coerente, impostare p=quarantine, opzionalmente utilizzando pct per aumentare gradualmente.
- 5
5. Passare a rifiutare
Una volta che la quarantena non mostra messaggi legittimi non riusciti, impostare p=reject per una protezione completa.
- 6
6. Continua a monitorare
Continua a leggere i rapporti in modo da individuare tempestivamente nuovi servizi ed eventuali abusi.
Il percorso di lancio
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Gestire il limite di ricerca SPF
Molte organizzazioni superano il limite di ricerca DNS SPF 10 quando aggiungono servizi cloud, che violano silenziosamente SPF e minano DMARC . L'appiattimento SPF risolve i meccanismi inclusi in indirizzi IP diretti in modo da rimanere sotto il limite. SmartSPF di EmailAuth appiattisce automaticamente il tuo record SPF e lo mantiene aggiornato man mano che i tuoi fornitori cambiano i loro IP.
Insidie comuni
- Passare a p=reject prima che le fonti vengano autenticate, il che blocca la posta reale.
- Dimenticare i sottodomini: imposta una sp policy altrimenti potrebbero rimanere non protetti.
- Pubblicazione di due record DMARC , che invalida completamente DMARC .
- Ignorare il limite di ricerca SPF 10, che interrompe l'allineamento SPF e DMARC .
- Applicare e poi non controllare mai più i report, così i nuovi mittenti passano inosservati.
Semplifica la gestione continua
EmailAuth può ospitare i tuoi record DMARC , SPF , DKIM e BIMI tramite delega CNAME , quindi puoi puntare DNS una volta e gestire le modifiche ai criteri in una dashboard invece di modificare DNS ripetutamente. Analizza RUA e RUF per te e contrassegna le fonti che necessitano ancora di lavoro. Per vedere il tuo punto di partenza, esegui una scansione gratuita del dominio, quindi segui il percorso graduale sopra per raggiungere p=reject.
Domande frequenti
Come posso configurare DMARC senza interrompere la posta elettronica?
Inizia con p=none, che monitora senza influire sulla consegna. Utilizza i report aggregati per autenticare ogni mittente legittimo con SPF e DKIM , quindi passa alla quarantena e infine rifiuta. L'approccio graduale implica che non si applica mai la normativa finché non si conferma il passaggio della posta reale.
Per quanto tempo dovrei rimanere a p=none?
Un tempo sufficiente per visualizzare un quadro completo delle origini di invio, in genere da due a quattro settimane per la maggior parte delle organizzazioni. Se invii tramite molti servizi o disponi di mittenti stagionali, attendi più a lungo. Vai avanti solo quando i tuoi rapporti mostrano che tutta la posta legittima viene passata e allineata.
Qual è il limite di ricerca DNS SPF 10?
La valutazione SPF è limitata a dieci ricerche DNS . Se l'inclusione del tuo record e altri meccanismi ne attivano più di dieci, SPF restituisce un permerror e fallisce, interrompendo l'allineamento DMARC . Appiattire il record SPF in IP diretti, ad esempio con EmailAuth SmartSPF , ti mantiene sotto il limite.
Ho bisogno di un record DMARC separato per i sottodomini?
Non necessariamente. I sottodomini ereditano la policy del dominio organizzativo a meno che non imposti il tag sp o pubblichi un record dedicato su _dmarc.subdomain. Utilizza sp per applicare una politica diversa ai sottodomini e proteggi esplicitamente i sottodomini inutilizzati in modo che non possano essere falsificati.
[ DMARC guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK