[Risposta veloce]
Un record DMARC è un record TXT pubblicato su _dmarc.yourdomain.com che indica la tua politica DMARC e dove inviare i report. Un esempio minimo è: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com.
Fatti chiave
- ›v=DMARC1 and p= are the only required tags; v must come first.
- ›sp= sets a separate policy for subdomains.
- ›adkim= and aspf= set strict (s) or relaxed (r, default) alignment.
- ›pct= applies the policy to a percentage of failing mail (default 100).
- ›È consentito un solo record DMARC per dominio; due record significano che non ne viene applicato nessuno.
Recensito dal team di ricerca EmailAuth
Un record DMARC è un singolo record TXT pubblicato nel tuo DNS con il nome host _dmarc.yourdomain.com . Indica ai server di posta riceventi la tua politica di autenticazione e dove inviare i report. Il record è un elenco di tag separati da punto e virgola e inizia sempre con v=DMARC1.
Esempio di record DMARC
v=DMARC1; p=reject; rua=mailto:rua@example.com; ruf=mailto:ruf@example.com; adkim=s; aspf=s; pct=100; fo=1
I tag DMARC principali
- v: versione del protocollo. Sempre v=DMARC1 e deve venire prima.
- p: politica per il dominio: nessuna, quarantena o rifiuto.
- sp: politica per i sottodomini. Se omessi, i sottodomini ereditano il valore p.
- rua: indirizzo per report aggregati ( RUA ), scritti come URI mailto.
- ruf: indirizzo per i rapporti di errore forense ( RUF ).
- adkim: modalità di allineamento DKIM , r per rilassato (predefinito) o s per rigoroso.
- aspf: modalità di allineamento SPF , r per rilassato (predefinito) o s per rigoroso.
- pct: percentuale di posta non riuscita a cui si applica la policy, da 1 a 100.
- fo: opzioni di reporting forense, che controllano quando vengono generati i report RUF .
- rf: formato di reporting per rapporti forensi, normalmente afrf.
- ri: intervallo di reporting in secondi per report aggregati, default 86400.
Leggere i tag in termini semplici
Il tag p è quello che fa il lavoro: decide cosa succede alla posta contraffatta. Il tag rua è il punto in cui ottieni valore in anticipo, perché i report aggregati mostrano ogni fonte che invia come tuo dominio. I tag adkim e aspf controllano quanto rigorosamente il dominio autenticato deve corrispondere all'intestazione From. L'allineamento rigoroso è più sicuro ma richiede corrispondenze esatte del dominio, quindi la maggior parte dei mittenti mantiene l'impostazione predefinita rilassata durante l'implementazione.
Pubblicazione del verbale
- 1
1. Crea il record TXT
Aggiungi un record TXT all'host _dmarc per il tuo dominio con il valore che inizia con v=DMARC1.
- 2
2. Inizia con il monitoraggio
Imposta p=none e aggiungi il tuo indirizzo rua in modo che i rapporti inizino a fluire senza influire sulla consegna.
- 3
3. Verificare la propagazione
Interroga _dmarc.yourdomain.com per confermare che il record viene risolto. Una scansione gratuita del dominio da EmailAuth lo verifica per te.
- 4
4. Inasprire la politica
Dopo aver confermato il passaggio dei mittenti legittimi, impostare la policy su quarantena e quindi rifiutarla.
Errori comuni
- Pubblicazione di più di un record DMARC , che invalida completamente DMARC . Conservane esattamente uno.
- Mettere il record nell'host sbagliato. Deve trovarsi in _dmarc , non nel dominio principale.
- Dimenticando il tag rua, che ti rende cieco rispetto alle tue stesse fonti di invio.
- Passare direttamente a p=reject prima di autenticare ogni servizio, il che blocca la posta reale.
EmailAuth può ospitare il tuo record DMARC tramite delega CNAME , in modo da poter aggiornare le impostazioni di policy e reporting senza modificare ogni volta DNS . Analizza inoltre i dati RUA e RUF raccolti dai tag in dashboard trasparenti.
Domande frequenti
Dove inserisco un record DMARC ?
Un record DMARC è un record TXT pubblicato sull'host _dmarc.yourdomain.com . Per un sottodominio, pubblicalo su _dmarc.subdomain.yourdomain.com . È consentito un solo record DMARC TXT per dominio.
Qual è il record DMARC minimo valido?
Il record valido più breve è v=DMARC1; p=none. In pratica dovresti aggiungere anche un indirizzo rua in modo da ricevere report aggregati, ad esempio v=DMARC1; p=none; rua=mailto:rua@example.com.
Cosa fa pct in un record DMARC ?
Il tag pct applica la tua politica solo a una percentuale di posta non riuscita, il che è utile per un'implementazione graduale. Ad esempio p=quarantine; pct=25 mette in quarantena un quarto dei messaggi con errori. Alla protezione completa imposti pct=100 o lo ometti, poiché 100 è l'impostazione predefinita.
Qual è la differenza tra adkim e aspf?
adkim imposta la modalità di allineamento per DKIM e aspf la imposta per SPF . Entrambi accettano r per rilassato, il valore predefinito, o s per rigoroso. Rilassato consente la corrispondenza del dominio dell'organizzazione, mentre rigido richiede una corrispondenza esatta del dominio.
Cos'è un record DMARC ?
È un record DNS TXT che pubblica la policy DMARC , le regole di allineamento e gli indirizzi di reporting per il tuo dominio.
Come faccio ad aggiungere un record DMARC ?
Nel tuo provider DNS , crea un record TXT con l'host _dmarc e un valore come v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Utilizza un generatore DMARC per crearlo senza errori di sintassi.
Come posso controllare il mio record DMARC ?
Utilizza un controllo o una ricerca DMARC : inserisci il tuo dominio e recupererà _dmarc.yourdomain.com e spiegherà ogni tag.
Posso avere due record DMARC ?
No. I ricevitori ignorano completamente DMARC quando trovano più di un record, quindi uniscili in uno solo.
[ DMARC guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK