Scritto in collaborazione con Red Sift e Bespin Labs (Patronum).
Ecco una domanda a cui ogni responsabile IT dovrebbe essere in grado di rispondere: se qualcuno falsificasse il vostro dominio in questo momento e inviasse un'email di phishing ai vostri clienti, verrebbe bloccata?
La maggior parte non può rispondere con sicurezza. E i dati lo confermano. L'analisi di Red Sift su oltre 73 milioni di domini ha rilevato che solo il 14,9% ha implementato anche solo una policy DMARC di base. Solo il 2,5% applica il livello di protezione più rigoroso, p=reject. Ciò significa che circa l'84% dei domini non ha alcun record DMARC visibile.
Non si tratta di lacune tecniche oscure. Sono porte aperte.
Tutti conoscono DMARC. Quasi nessuno completa il lavoro.
L'autenticazione email non è una novità. SPF (Sender Policy Framework) esiste dal 2006. DKIM (DomainKeys Identified Mail) è arrivato lo stesso anno. DMARC (Domain-based Message Authentication, Reporting and Conformance) è stato pubblicato nel 2012. Insieme, formano una difesa a strati che indica ai server di posta ricevente come verificare se un'email proviene realmente da chi dichiara di essere.
SPF specifica quali indirizzi IP sono autorizzati a inviare email per conto di un dominio. DKIM aggiunge una firma crittografica a ogni messaggio in modo che i destinatari possano verificare che non sia stato manomesso. DMARC li collega tra loro, indicando ai destinatari cosa fare quando un messaggio non supera questi controlli e dove inviare i relativi report.
I concetti non sono complicati. Ma l'implementazione? È lì che le cose si bloccano.
La maggior parte delle organizzazioni ha decine di servizi che inviano email per loro conto: piattaforme di marketing, strumenti CRM, sistemi HR, help desk, fornitori di fatturazione. Ognuno di questi deve essere considerato nella configurazione SPF e DKIM. Se ne dimenticate uno, le email legittime iniziano a fallire l'autenticazione. Se questo vi spaventa, lasciate la vostra policy DMARC a p=none (solo monitoraggio) a tempo indeterminato.
È esattamente ciò che sta accadendo su larga scala. Le ricerche mostrano che oltre 508.000 domini si trovano a p=none, il che significa che stanno raccogliendo dati su chi utilizza il loro dominio ma non fanno nulla per fermare i mittenti non autorizzati. Hanno fatto il primo passo e si sono fermati.
Perché questo conta più ora rispetto a cinque anni fa
La pressione arriva da più direzioni contemporaneamente, e sta convergendo rapidamente.
I provider di posta hanno imposto per primi il problema. Google e Yahoo hanno introdotto requisiti DMARC per i mittenti bulk all'inizio del 2024. Microsoft ha seguito nel 2025. Se inviate più di 5.000 email al giorno a uno qualsiasi di questi provider, avete bisogno di un record DMARC. Non è più opzionale. È un requisito minimo per la deliverability.
Poi i regolatori si sono adeguati. PCI DSS 4.0.1 ora impone DMARC con una policy p=quarantine o p=reject per qualsiasi organizzazione che gestisce pagamenti con carta. La non conformità può comportare sanzioni che vanno da 5.000 a 100.000 dollari al mese. Per le aziende del settore finanziario, retail ed e-commerce, l'autenticazione email è passata da "opzione di sicurezza gradita" a "requisito normativo".
E mentre tutto questo accadeva, l'IA ha reso il phishing drasticamente più economico da produrre. Ciò che prima richiedeva a un attaccante esperto 16 ore per essere creato manualmente, ora può essere generato in circa 5 minuti. Le email si leggono meglio, sono più personalizzate e più difficili da individuare. Il volume è in aumento. E gli attaccanti impersonano il vostro dominio per farlo.
Il divario tra gestire l'email e proteggerla
In Bespin Labs, lavoriamo ogni giorno con organizzazioni sulla gestione di Google Workspace tramite Patronum. Vediamo il lato operativo dell'email: provisioning degli utenti, firme email, controlli di accesso, flussi di offboarding.
Ciò che continuiamo a osservare è lo stesso divario. Le organizzazioni investono molto nella gestione della propria infrastruttura email ma trascurano il livello di autenticazione che la protegge. Hanno policy dettagliate su cosa succede quando un dipendente lascia l'azienda, gestione automatizzata delle firme su migliaia di utenti e controllo granulare sulla condivisione dei file. Ma chiedete della loro policy DMARC e la conversazione non è altrettanto chiara.
Questo divario si riduce a come vengono divise le responsabilità. L'autenticazione email spesso ricade tra IT operations, sicurezza e marketing. Nessun team specifico se ne occupa. E poiché risiede nei record DNS anziché in una dashboard visibile, è facile dimenticare che esiste, o che non funziona.
Cosa significa davvero "fare bene le cose di base"
L'autenticazione email non deve essere per forza un progetto di sei mesi. Ma richiede un'attenzione deliberata.
Il punto di partenza è la visibilità. Prima di cambiare qualsiasi cosa, dovete capire la vostra situazione attuale.
- Quali record DMARC, SPF e DKIM esistono per il vostro dominio?
- Sono configurati correttamente?
- Sono allineati?
Uno strumento gratuito come Red Sift Investigate può eseguire un controllo in tempo reale sul vostro dominio in meno di 30 secondi e dirvi esattamente qual è la vostra situazione.
Poi arriva la mappatura dei mittenti, il passaggio che la maggior parte delle persone salta, e quello che causa più problemi in seguito. Ogni servizio che invia email per vostro conto deve essere identificato e autenticato. La vostra piattaforma di marketing automation, il vostro sistema di ticketing, il vostro software di fatturazione, qualsiasi altra cosa i vostri team abbiano collegato nel corso degli anni. I report aggregati DMARC (rua) sono utili in questo caso. Vi mostrano chi sta inviando email a nome del vostro dominio, sia legittimamente che non.
Una volta ottenuto questo quadro, potete passare dal monitoraggio all'applicazione. Pubblicare un record DMARC a p=none è un inizio. Ma non protegge effettivamente nulla. L'obiettivo è raggiungere p=quarantine (le email sospette vanno in spam) e poi p=reject (le email non autorizzate vengono bloccate completamente). Questo richiede sicurezza, che deriva dal mappare correttamente i vostri mittenti e risolvere prima i problemi di autenticazione.
Ciò che la gente dimentica è la manutenzione. L'autenticazione email non è "impostare e dimenticare". Nuovi servizi vengono aggiunti, i record DNS cambiano, le configurazioni di terze parti si spostano. Le organizzazioni che trattano questo come una parte viva della propria postura di sicurezza, anziché come una casella di conformità da spuntare una sola volta, sono quelle che rimangono protette.
Perché lavorare con un provider DMARC ha senso
Tecnicamente potete fare tutto questo da soli. I protocolli sono standard aperti. I record risiedono nel DNS. I report sono file XML e, tramite Patronum, i nostri clienti hanno ottenuto una maggiore visibilità.
Ma la realtà rimane che la maggior parte delle organizzazioni non dispone delle competenze interne o del tempo necessario per gestire DMARC in modo efficace all'interno di un ecosistema email complesso. Non è una critica. È il riconoscimento che analizzare i report aggregati XML, risolvere i problemi di allineamento SPF tra 40 mittenti terzi e aumentare in sicurezza i livelli di policy senza compromettere la consegna delle email legittime è davvero difficile.
Un provider DMARC dedicato vi solleva da questa complessità. Il partner giusto vi darà una visibilità chiara sulla vostra postura di autenticazione email, automatizzerà la scoperta e la classificazione dei vostri mittenti e vi guiderà attraverso l'escalation delle policy a un ritmo che non disturba il vostro business. Monitorerà anche le minacce emergenti come i takeover di sottodomini e i record DNS pendenti che gli attaccanti sfruttano per aggirare completamente DMARC.
La cosa fondamentale da cercare: un provider che vi porti all'applicazione effettiva, non uno che si accontenta di lasciarvi a p=none a raccogliere report per sempre. Lo scopo di DMARC è bloccare l'uso non autorizzato del vostro dominio. Se il vostro provider non vi sta attivamente guidando verso questo risultato, non sta facendo il suo lavoro.
Iniziate con ciò che avete
L'autenticazione email non richiede l'approvazione di un budget o una conversazione a livello di consiglio di amministrazione per iniziare. Inizia con una semplice domanda: il mio dominio è protetto?
Se non conoscete la risposta, scopritela. Red Sift Investigate è uno strumento gratuito che esegue un'analisi dinamica e in tempo reale della vostra configurazione DMARC, SPF, DKIM, BIMI, MTA-STS e TLS. Inviate un'email di test e avrete un quadro chiaro dello stato di sicurezza email del vostro dominio in meno di un minuto. Nessuna registrazione richiesta.
I protocolli sono gratuiti. Gli strumenti per verificare il vostro dominio sono gratuiti. L'unico costo è quello di non farlo.
Scoprite qual è la situazione del vostro dominio oggi.
Prendete il pieno controllo della governance del vostro Workspace
Proteggere il vostro dominio con DMARC è il primo passo per tutelare la reputazione del vostro brand, ma la vera sicurezza non si ferma al gateway. Mentre Red Sift garantisce che la vostra identità email sia a prova di proiettile, Patronum fornisce il livello operativo necessario per mantenere un ambiente Google Workspace davvero sicuro e conforme.
Dall'onboarding e offboarding automatizzati alla governance avanzata della condivisione file e alla coerenza delle firme email, Patronum colma le lacune che gli attaccanti sfruttano una volta all'interno del vostro ecosistema.
Scoprite Patronum per vedere come può aiutare ulteriormente la sicurezza del vostro Google Workspace, ridurre la vostra superficie di attacco e mantenere la vostra organizzazione all'avanguardia rispetto al panorama delle minacce in evoluzione.
Per i clienti Patronum esistenti, siamo pronti ad aiutarvi a fare la transizione della vostra sicurezza e visibilità per mantenere piena conformità e controllo. Contattate oggi stesso il nostro team per scoprire come Red Sift e Patronum sono pronti ad aiutarvi.
