Nell'ottobre 2023, Google e Yahoo hanno annunciato congiuntamente nuovi requisiti per contribuire a offrire “una casella di posta più sicura e meno soggetta a spam” per gli utenti.
I requisiti entreranno in vigore il 1° febbraio 2024 e sono specifici per i mittenti massivi – quelli che inviano oltre 5.000 email al giorno.
Quali sono i nuovi requisiti di Google e Yahoo per i mittenti massivi?
I nuovi requisiti per i mittenti massivi coprono tre principi fondamentali:
- Autenticare i domini da cui si invia
- Rendere facile per le persone smettere di ricevere le vostre email
- Non fare spam
Sembra piuttosto semplice. Tuttavia, i requisiti per l'autenticazione del dominio sono i più complessi dei tre, poiché esistono più sotto-requisiti per gli utenti, tra cui:
- Pubblicare una politica DMARC per ogni dominio che invia email con almeno una politica di “none”.
- Configurare SPF e DKIM per ogni dominio che invia email. Da notare che sia SPF cheche DKIM sono richiesti, a differenza di DMARC che richiede solo uno dei due.
- Allineare il dominio nell'intestazione `From:` del mittente con il dominio SPF o il dominio DKIM (solo per la posta diretta).
- Assicurarsi che i domini o gli IP di invio abbiano record DNS diretti e inversi validi utilizzando un Forward Confirmed DNS (FcrDNS). Potete leggere di più su FCrDNS qui.
Per saperne di più sui nuovi requisiti, consultate l'articolo di supporto di Google.
Valutare la preparazione a livello globale con BIMI Radar
In Red Sift, monitoriamo da molti anni il livello di preparazione del mondo a DMARC utilizzando il nostro BIMI Radar. Questo strumento analizza oltre 70.000.000 di domini in tutto il mondo per comprendere meglio le tendenze nell'adozione di DMARC e dei Brand Indicators for Message Identification (BIMI) su Internet.
BIMI è stato introdotto nel 2021 e consente alle aziende di mostrare il logo del proprio brand nello spazio dell'avatar delle email che inviano. BIMI può essere implementato e rispettato solo per le organizzazioni che hanno una politica di enforcement DMARC di quarantine o reject a livello di root e per tutti i sottodomini.
DMARC è un protocollo che consente ai proprietari di domini di ottenere visibilità sui servizi email che inviano per loro conto, e anche di bloccare i mittenti non autorizzati. DMARC è l'unico protocollo in grado di impedire a servizi illegittimi di inviare per conto di un dominio una volta che quel dominio ha una politica di quarantine o reject.
Per i requisiti di invio massivo di Google e Yahoo, BIMI Radar offre un punto di vista interessante. Poiché analizza solo record DNS statici, non fornisce una visibilità completa su quali domini supererebbero completamente i requisiti di Google e Yahoo. Tuttavia, ci dà un'idea di chi non ha pubblicato record DMARC e quindi fallirà sicuramente a partire da febbraio 2024.
Esaminando la questione di chi nel mondo non è pronto per i nuovi requisiti di Google e Yahoo, cominciano a emergere tendenze interessanti.
Si prega di notare che tutti i dati citati in questo articolo si riferiscono a dicembre 2023.
Il 91,38% dei domini a livello globale non supera i nuovi requisiti
Al livello più alto, il mondo non appare pronto per i nuovi requisiti di invio massivo.
Esaminando tutti i 70.000.000 di domini a livello globale, il 91,38% dei domini che inviano email non ha alcun record DMARC e quindi non soddisferebbe i nuovi requisiti di Google e Yahoo!
Tuttavia, data la varietà di organizzazioni e domini che emergono in BIMI Radar, e considerando che non tutti i domini inclusi sono domini che inviano email, è importante andare più in profondità per cercare di identificare quelli più probabilmente colpiti dai requisiti di invio massivo.
Il 33% delle aziende globali non ha alcun record DMARC
Se utilizziamo le società quotate in borsa come indicatore delle grandi aziende più probabilmente mittenti massivi, emerge un quadro diverso.
Osservando i 2.380 domini corrispondenti che vediamo in tutto il mondo, il 33% non ha alcun record DMARC in atto.
Se analizziamo questo dato per singolo paese, emerge un quadro più ottimistico. Negli Stati Uniti, in Francia e nel Regno Unito, ad esempio, solo il 10-14% delle organizzazioni non supererà definitivamente i nuovi requisiti.
Al contrario, in Corea e Giappone, il 50% delle grandi aziende fallirà.
Country % that will fail Google and Yahoo Requirements United States 6.52% France 10.47% Australia 10.78% Canada 12.37% United Kingdom 14.58% Netherlands 16.83% India 17.44% Germany 20.75% Chile 28.89% Italy 29.81% Spain 39.18% Austria 45.71% Indonesia 47.92% Japan 50.00% Korea 50.00%
Per visualizzare altri paesi, visitate BIMI Radar.
Il 40% delle aziende globali probabilmente supera i nuovi requisiti
Verificare quali domini di invio superano completamente i requisiti richiede di catturare un'email in tempo reale per assicurarsi che FCrDNS sia configurato correttamente, che ci sia allineamento DKIM o SPF, e che la chiave DKIM sia valida. Sono richiesti anche controlli più approfonditi per i tassi di spam. Pertanto, a livello globale, è impossibile ottenere statistiche di preparazione reali per tutti i mittenti che sicuramente supereranno i requisiti.
Tuttavia, possiamo usare coloro che hanno già implementato o potrebbero implementare BIMI come approssimazione di chi probabilmente supererà i nuovi requisiti. Questo perché BIMI richiede l'enforcement di DMARC, la configurazione di SPF e DKIM, e l'allineamento SPF o DKIM. Sebbene questo non tenga conto di FCrDNS, è ragionevole supporre che chi è pronto per BIMI abbia domini e IP di invio con record DNS diretti e inversi validi.
Pertanto, utilizzando la preparazione a BIMI come indicatore, possiamo vedere in quali parti del mondo le grandi aziende sono più probabilmente pronte per i nuovi requisiti di Google e Yahoo.
A livello globale, il 39,87% delle grandi aziende probabilmente supererebbe i nuovi requisiti. Da questa prospettiva vediamo India e Paesi Bassi salire in termini di preparazione complessiva, mentre la Corea presenta una percentuale sorprendentemente bassa, con solo il 2,02% delle aziende che probabilmente supererà i nuovi requisiti.
Country % that would likely pass Google and Yahoo Requirements United States 75% India 70.94% Netherlands 66.34% United Kingdom 58.33% France 56.99% Canada 50.52% Chile 38.89% Indonesia 36.46% Austria 34.29% Italy 32.69% Spain 30.93% Germany 20.75% Japan 15.28% Korea 2.02%
Per visualizzare altri paesi, visitate BIMI Radar.
Utilizzare gli indici di mercato per valutare la preparazione
Possiamo anche ottenere un indicatore di preparazione esaminando diversi indici di mercato. Questi dati forniscono informazioni interessanti sulla preparazione delle maggiori aziende nei diversi mercati in tutto il mondo.
Continuiamo a vedere che le aziende negli Stati Uniti e in Francia sono le più preparate. Gli indici più ampi in Europa e nel Regno Unito rappresentano le aziende meno preparate.
Index % that will fail Google and Yahoo Requirements CAC 40 (France) 7.50% S&P 500 (US) 8.8% Fortune 500 (US) 9.22% DAX (Germany) 10.00% FTSE 100 (UK) 15.00% Euronext 150 18.92% FTSE 250 (UK) 21.31%
Quali sono i prossimi passi?
Dato che, al momento della pubblicazione di questo blog, manca meno di un mese all'entrata in vigore delle normative di Google e Yahoo per i mittenti massivi, il messaggio più importante che emerge dai nostri risultati è agire.
Le aziende che inviano oltre 5.000 email al giorno (circa) devono non solo assicurarsi di avere un record DMARC in atto, ma anche che SPF e DKIM siano configurati, che ci sia allineamento SPF e DKIM e che FcrDNS sia configurato correttamente per ogni dominio da cui inviano email.
Sebbene BIMI Radar e altri strumenti statici siano un ottimo primo passo per assicurarsi che i record DMARC siano in atto, le organizzazioni dovrebbero utilizzare strumenti dinamici come Investigate di Red Sift per assicurarsi che gli altri criteri siano soddisfatti.
With Red Sift Investigate, you can see if your email-sending domain will meet the new requirements in under a minute. Check your readiness now
In Red Sift, prevediamo che questi requisiti di Google e Yahoo siano solo il primo passo per garantire che i domini siano completamente autenticati. Prevediamo che l'enforcement di DMARC sarà il prossimo passo logico dopo i requisiti di febbraio 2024, poiché chi soddisfa i nuovi requisiti è essenzialmente pronto per l'enforcement di DMARC.
Se state cercando di raggiungere l'enforcement di DMARC, assicuratevi di consultare l'insignito di premi Red Sift OnDMARC.
Rahul Powar is the co-founder and CEO of Red Sift. A technologist and thought leader in both AI and cybersecurity, Rahul's career previously includes Thomas Reuters and the Shazam.