Lo standard DMARC sfrutta le peculiarità dei protocolli SPF e/o DKIM, e funziona in questo modo:
- aggiungendo un record TXT nella zona DNS di un dominio si definisce la “policy” con la quale le email in uscita possano essere ritenute legittime;
- il server destinatario reperisce dalla zona DNS le informazioni circa le azioni da intraprendere nel caso non vengano superate le verifiche SPF e DKIM (ad esempio se rifiutare o contrassegnare come spam un messaggio).
In sostanza il DMARC:
- controlla che la firma DKIM sia valida e che sia apposta con il campo DA uguale al dominio del From;
- effettua un controllo SPF anche sul FROM, ovvero verifica che le restrizioni dichiarate nel record SPF del dominio presente nel MAILFROM (Return-Path) siano valide anche per il FROM.
Il record DMARC può essere gestito in autonomia tramite il pannello di gestione DNS. Nel caso non fosse già presente, si consiglia di inserire almeno il seguente record TXT:
Host:
_dmarc.nomedominio.estensione;
Valore:
v=DMARC1; p=none; adkim=r; aspf=r;
Per maggiori informazioni su come inserire un record TXT, cioè quello utilizzato per DMARC, consultare la
guida dedicata.
Esempi di codice DMARC
Specificare di non intraprendere azioni al fallimento del controllo
v=DMARC1; p=none; rua=mailto:
[email protected]; ruf=mailto:
[email protected]
Richiedere di effettuare azioni se il controllo fallisce:
v=DMARC1; p=reject; pct=98; rua=mailto:
[email protected]; ruf=mailto:
[email protected]; aspf=s; adkim=s;
Descrizione dei tag:
v: tag obbligatorio, indica la versione del protocollo
p: tag obbligatorio, indica il criterio per il dominio, ovvero cosa deve fare il destinatario in caso fallisca il controllo, p=quarantine inserisce il messaggio nello SPAM del destinatario, p=reject il destinatario rifiuterà il messaggio, p=none indica al destinatario di non intraprendere alcuna azione in caso del fallimento del controllo.
pct: tag facoltativo, indica la percentuale di messaggi sottoposta al filtro.
rua: tag facoltativo, indica l'indirizzo email sul quale ricevere dei rapporti aggregati sui messaggi che non hanno superato il controllo.
ruf: tag facoltativo, indica l'indirizzo email sul quale ricevere dei rapporti forensi sui messaggi che non hanno superato il controllo.
sp: tag facoltativo, indica il criterio per i sottodomini del dominio (sp=reject/sp=quarantine).
aspf: tag facoltativo, indica al server destinatario il grado di restrizione da adottare durante il controllo SPF e della firma DKIM di un'e-mail. La modalità Relax accetterà l'autenticazione anche se l'email viene inviata dal sottodominio. La modalità rigorosa accetta l'autenticazione solo quando il dominio del mittente corrisponde esattamente SPF / DKIM del dominio.