Cos'è il DMARC e come funziona in modo efficace?

L'email rimane il principale vettore di attacco per i criminali informatici, con il phishing che rappresenta il 16% delle violazioni di dati nel 2025, rendendolo uno dei vettori di attacco iniziale più comuni [1]. Eppure molte organizzazioni lasciano i propri domini vulnerabili ad attacchi di spoofing e impersonificazione semplicemente perché implementare l'autenticazione email sembra troppo complesso. Il DMARC (Domain-based Message Authentication, Reporting, and Conformance) offre una soluzione potente a questo problema, proteggendo il tuo dominio dall'uso non autorizzato e migliorando al contempo la deliverability delle email legittime. Leggi questo blog per saperne di più.

Il DMARC è un protocollo aperto di autenticazione email che consente alle organizzazioni di proteggere i propri domini dall'uso non autorizzato, in particolare da attacchi di email spoofing, phishing e Business Email Compromise (BEC). Si basa su due standard fondamentali di autenticazione email: SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) [2].

Nella sua essenza, il DMARC consente ai proprietari di dominio di pubblicare una policy nei propri record DNS che indica ai server di posta ricevente come gestire le email che non superano i controlli di autenticazione. Questa policy può specificare se accettare, mettere in quarantena o rifiutare i messaggi sospetti, offrendo alle organizzazioni un controllo granulare sul proprio canale email.

Oltre all'applicazione delle policy, il DMARC fornisce un meccanismo di reporting fondamentale. I proprietari di dominio ricevono feedback dettagliati su chi invia email per loro conto e se questi messaggi superano o meno i controlli di autenticazione. Questa visibilità è essenziale per rilevare e mitigare gli abusi, oltre che per risolvere problemi legittimi di consegna delle email.

Comprendere come funziona il DMARC richiede l'esame degli standard di autenticazione su cui si basa e del livello di protezione aggiuntivo che fornisce.

Prima che il DMARC possa funzionare, devono essere in atto due protocolli fondamentali. Pensa a SPF e DKIM come ai checkpoint di sicurezza che il DMARC monitora e applica.

SPF (Sender Policy Framework) specifica quali server di posta sono autorizzati a inviare email per conto di un dominio, elencando i loro indirizzi IP in un record DNS TXT. Quando un'email viene ricevuta, il server del destinatario verifica se l'IP del server mittente corrisponde a uno di quelli presenti nel record SPF. Risponde a una domanda semplice ma fondamentale: questo server è autorizzato a inviare posta per questo dominio?

DKIM (DomainKeys Identified Mail) aggiunge una firma digitale a ogni email in uscita, verificata dal server del destinatario tramite una chiave pubblica pubblicata nel DNS del dominio. Questo garantisce che l'email non sia stata alterata durante il transito e conferma l'identità del mittente. Fornisce una prova crittografica che il messaggio proviene dalla tua organizzazione e non è stato manomesso durante la consegna.

Il DMARC introduce un livello di policy sopra SPF e DKIM attraverso un chiaro processo passo dopo passo:

1. Pubblicazione della policy: il proprietario del dominio pubblica un record DMARC nel DNS. Questo record include la policy (none, quarantine, reject), un indirizzo di reporting per il feedback e altri parametri opzionali.
2. Ricezione dell'email: quando arriva un'email, il server di posta del destinatario esegue i controlli SPF e DKIM come di consueto.
3. Controllo di allineamento: il DMARC richiede che il dominio nell'intestazione "From" dell'email (quello che vede l'utente) sia allineato con i domini convalidati da SPF (il "envelope from") e DKIM (il dominio "d=" nella firma). Questo si chiama allineamento degli identificatori.
4. Applicazione della policy: se i controlli SPF e DKIM falliscono entrambi, oppure se hanno esito positivo ma non sono allineati con il dominio "From", il server del destinatario consulta la policy DMARC per decidere se consegnare, mettere in quarantena o rifiutare il messaggio.
5. Reporting: il server del destinatario invia report aggregati (RUA) e forensi (RUF) al proprietario del dominio, dettagliando i risultati dell'autenticazione e i potenziali abusi.

Un record DMARC è un record DNS TXT pubblicato in _dmarc.tuodominio.com che indica ai server di posta ricevente come gestire i messaggi che dichiarano di provenire dal tuo dominio. Comprendere questi record e l'allineamento del dominio è essenziale per un'implementazione efficace.

Un tipico record DNS TXT DMARC ha questo aspetto:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-forensics@example.com; pct=100; adkim=s; aspf=s;

L'allineamento del dominio è il fondamento della sicurezza DMARC. Garantisce che il dominio visibile al destinatario nell'indirizzo "From" corrisponda al dominio autenticato da SPF o DKIM. Questo impedisce agli aggressori di utilizzare il tuo dominio nel campo "From" visibile mentre inviano email dalla propria infrastruttura autenticata.

L'allineamento può essere rigoroso (è richiesta una corrispondenza esatta) o permissivo (è consentita la corrispondenza con i sottodomini). La maggior parte delle organizzazioni inizia con un allineamento permissivo durante l'implementazione e passa a un allineamento rigoroso per la massima protezione.

L'implementazione del DMARC offre vantaggi misurabili che incidono direttamente sulla sicurezza organizzativa, sulle operazioni e sui risultati finanziari.

Le organizzazioni con l'applicazione del DMARC su "reject" bloccano quasi tutti i tentativi diretti di spoofing del dominio quando i server di posta ricevente applicano correttamente la policy, eliminando un importante vettore di attacco utilizzato nelle campagne BEC che sono costate alle aziende oltre 2,9 miliardi di dollari nel 2023 [3]. Il costo medio di un attacco BEC è di 135.000 dollari, ma il danno reputazionale va ben oltre le perdite finanziarie immediate quando i clienti ricevono email fraudolente dal tuo dominio.

I provider di posta valutano la reputazione del mittente quando decidono il posizionamento nella posta in arrivo. I domini con l'applicazione del DMARC segnalano a provider come Gmail, Outlook e Yahoo che l'organizzazione prende sul serio la sicurezza email, ottenendo un trattamento preferenziale nelle decisioni di consegna.

Le organizzazioni che implementano il DMARC vedono in genere un miglioramento fino al 10% nei tassi di deliverability delle email, meno email legittime contrassegnate come spam e un maggiore coinvolgimento nelle campagne di marketing. I team di vendita ottengono tempi di risposta più rapidi e le comunicazioni con i clienti arrivano in modo affidabile nelle caselle di posta.

I report DMARC forniscono una visibilità completa sul tuo ecosistema email, rivelando fornitori terzi, sistemi legacy, piattaforme di marketing e strumenti dipartimentali di cui non sapevi che inviassero email. Questa visibilità consente ai team di sicurezza di identificare tentativi di invio non autorizzati, scoprire lo shadow IT prima che si verifichino incidenti e soddisfare i requisiti normativi di framework come HIPAA e PCI DSS. Le organizzazioni ottengono risposte definitive su chi invia email per loro conto, supportate da dati di reporting giornalieri.

L'implementazione manuale del DMARC richiede l'analisi di migliaia di report XML, l'identificazione dei mittenti legittimi rispetto a quelli dannosi e il coordinamento con più servizi di terze parti. Red Sift OnDMARC semplifica questa complessità, consentendo alle organizzazioni di raggiungere la piena applicazione in 6-8 settimane, sebbene le tempistiche varino in base alla complessità dell'infrastruttura.

• Analisi automatizzata dei report: dashboard visive trasformano XML complessi in informazioni utili che mostrano le tendenze di autenticazione e le fonti non conformi
• Progressione guidata delle policy: raccomandazioni chiare su quando passare in sicurezza tra i livelli di policy, con punteggi di affidabilità
• Rilevamento completo delle fonti email: identifica automaticamente tutti i servizi che inviano email per tuo conto, con relativo stato di autenticazione
• Configurazione semplificata: istruzioni passo dopo passo personalizzate per ciascuna piattaforma, con passaggi di verifica
• Monitoraggio continuo: avvisi per nuove fonti email, fallimenti di autenticazione e tentativi di spoofing

OnDMARC rende accessibile la sicurezza email di livello enterprise senza richiedere competenze tecniche approfondite o mesi di tempi di implementazione.

Con gli attacchi BEC che costano alle organizzazioni miliardi di dollari ogni anno e la deliverability delle email sempre più dipendente da un'autenticazione corretta, l'implementazione del DMARC dovrebbe essere una priorità assoluta per i team IT e di sicurezza.

Red Sift OnDMARC rende l'implementazione rapida ed efficace. Inizia la tua prova gratuita di 14 giorni e unisciti a oltre 1.200 organizzazioni che proteggono i propri domini con una sicurezza email di livello enterprise.

Ottieni una valutazione gratuita del rischio informatico prenotando una breve demo e compi il primo passo verso una protezione completa del dominio.

[1] Verizon 2025 Data Breach Investigations Report: https://www.verizon.com/business/resources/Tea/reports/2025-dbir-data-breach-investigations-report.pdf [2] NIST Special Publication 800-177 Revision 1 - Trustworthy Email: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-177r1.pdf [3] FBI IC3 Report - Business Email Compromise Statistics: https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf