← Tutti gli articoli

Distribuire DMARC passo dopo passo

GottaPhish Team · April 15, 2026

Distribuire DMARC riguarda meno la scrittura di un record DNS e più la conduzione di un rollout controllato: partire in modalità monitoraggio, scoprire ogni mittente legittimo, sistemare l’allineamento e poi applicare progressivamente. L’applicazione affrettata è la causa numero uno di posta legittima persa: trattatela come una migrazione a fasi.

Prerequisiti

DMARC poggia su SPF e DKIM: verificate prima che entrambi siano a posto.

Verificate che un messaggio reale oggi superi entrambi e sia allineato con il vostro dominio From: prima di toccare DMARC.

Passo 1 — Pubblicare un record di monitoraggio

Partite da p=none. Non cambia nulla nella consegna: richiede soltanto i report.

_dmarc.example.com.  IN  TXT
  "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

Se i report vanno a un dominio diverso, aggiungete lì un record di autorizzazione:

example.com._report._dmarc.reports-vendor.net. IN TXT "v=DMARC1"

Passo 2 — Leggere i report aggregati

I report aggregati sono XML, uno per destinatario al giorno, indicizzati per IP sorgente:

<record>
  <row>
    <source_ip>198.51.100.10</source_ip>
    <count>42</count>
    <policy_evaluated><dkim>pass</dkim><spf>fail</spf></policy_evaluated>
  </row>
  <identifiers><header_from>example.com</header_from></identifiers>
</record>

L’XML grezzo diventa insostenibile su larga scala: datelo in pasto a uno strumento di analisi DMARC. Costruite un inventario di ogni IP che invia: piattaforma di marketing, sistema di ticket, strumento HR, fatturazione, help desk, i vostri MTA. Per ciascuno verificate se supera SPF e/o DKIM e se è allineato.

Passo 3 — Sistemare i mittenti legittimi

Per ogni sorgente il cui allineamento fallisce:

Iterate finché i report aggregati non mostrano circa il 100 % del volume legittimo superato e allineato. In una grande organizzazione questa fase può richiedere diverse settimane.

Passo 4 — Quarantena con rampa

Passate a quarantine, ma distribuitela gradualmente con pct:

"v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]; adkim=s; aspf=s"

pct=25 applica la policy a un quarto casuale della posta che fallisce; il resto continua a essere trattato come none. Salite 25 → 50 → 100 nelle settimane successive, sorvegliando i report per eventuali mittenti legittimi sfuggiti.

Passo 5 — Applicare reject

Quando la quarantena a pct=100 è pulita, passate all’applicazione piena:

"v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s"

Non dimenticate i sottodomini. Impostate una policy esplicita così che nessuno possa abusare di uno inutilizzato:

"v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Modalità di allineamento: stretta o rilassata

Di solito la rilassata è quella giusta; usate la stretta solo se controllate del tutto ogni mittente dei sottodomini.

Il senso di DMARC è p=reject con alta copertura. Un dominio lasciato per sempre a p=none è monitorato ma ancora falsificabile: la reportistica è il mezzo, l’applicazione è l’obiettivo.

Gestione nel tempo

Come aiuta GottaPhish

Arrivare a p=reject ferma lo spoofing del dominio esatto, ma gli aggressori rispondono con domini simili ed esche sul nome visualizzato che DMARC non può bloccare. GottaPhish e il suo team di esperti chiudono questo divario residuo: simulazioni realistiche proprio contro quei vettori — domini «cugini», mittenti disallineati — più cruscotti che collegano ogni attacco alle persone che ci sono cadute. I nostri esperti seguono l’avvio, disegnano scenari coerenti con la vostra fase di applicazione e aiutano a interpretare i risultati, così il rollout DMARC procede insieme alla formazione che colma il divario umano.

Distribuire DMARC passo dopo passo