I migliori fornitori per la gestione di DKIM e SPF

Sintesi esecutiva: Questa guida affronta i requisiti ormai obbligatori per l'autenticazione email SPF e DKIM a seguito delle azioni di enforcement da parte di Google, Yahoo e Microsoft nel 2024-2025. Spiega come questi protocolli lavorino insieme a DMARC per proteggere i domini dallo spoofing e garantire la corretta recapito delle email, evidenziando insidie comuni come il limite di 10 lookup DNS di SPF e una rotazione inadeguata delle chiavi DKIM.

La guida posiziona Red Sift OnDMARC come una soluzione completa che semplifica la gestione tramite SPF Dinamico e tracciamento DKIM integrato, raggiungendo in genere il pieno enforcement DMARC in 6-8 settimane.

Punti chiave:

• L'autenticazione delle email non è più opzionale: Google, Yahoo e Microsoft ora rifiutano o mettono in quarantena le email inviate da mittenti massivi che non autenticano tramite SPF, DKIM e DMARC. La mancata conformità impatta direttamente recapito e ricavi.
• Il limite di 10 lookup SPF coglie di sorpresa molte organizzazioni: L'uso anche solo di 3-5 servizi email di terze parti può superare il limite, causando errori casuali di autenticazione. Le soluzioni SPF Dinamico eliminano il problema senza i rischi dell'appiattimento manuale.
• Le chiavi DKIM vanno gestite attivamente: Ora lo standard minimo sono chiavi a 2048 bit e M3AAWG raccomanda la rotazione ogni sei mesi. Molte organizzazioni usano ancora vecchie chiavi a 1024 bit di anni fa, creando falle di sicurezza.
• L'allineamento è l'anello mancante: SPF e DKIM possono entrambi passare ma DMARC fallire se nessuno dei due è allineato con il dominio "From" visibile. Ecco perché l'allineamento DKIM conta soprattutto per chi invia grandi volumi: supera meglio il forwarding rispetto a SPF.

Configurare correttamente SPF e DKIM non è più opzionale. Ora che Google, Yahoo e Microsoft impongono severi requisiti di autenticazione per i mittenti massivi, chi non li gestisce adeguatamente rischia problemi di recapito, vulnerabilità di sicurezza e danni al brand.

Si stima vengano inviati ogni giorno 3,4 miliardi di email di phishing [1]. L’email rimane la superficie di attacco preferita dei cybercriminali: il 94% dei malware viaggia tramite allegati email [2]. È proprio per questo che i principali provider di posta hanno imposto una svolta definitiva.

Dal febbraio 2024 Google e Yahoo richiedono ai mittenti massivi (oltre 5.000 email/giorno) di autenticare le email con SPF e DKIM, con almeno uno dei due allineati per raggiungere la compliance DMARC [3]. Microsoft ha seguito l’esempio a maggio 2025 rifiutando le email non conformi [4]. Non sono suggerimenti, ma obblighi.

Questa guida copre:

• Come SPF e DKIM lavorano insieme per autenticare le email
• Le insidie comuni che interrompono SPF e DKIM (e come risolverle)
• Cosa cercare in un fornitore di autenticazione email
• Perché DMARC lega tutto insieme
• Come Red Sift OnDMARC semplifica l’intero processo

Sender Policy Framework (SPF) è la “lista ospiti” del tuo dominio per l’invio delle email. Si tratta di un record DNS che comunica ai server riceventi quali indirizzi IP sono autorizzati a inviare email usando il tuo dominio [5].

Quando arriva una mail, il server ricevente verifica il record SPF del dominio nell’indirizzo return-path. Se l’IP mittente è tra quelli dichiarati il controllo passa, altrimenti viene bloccato.

SPF ha una limitazione critica che mette in difficoltà molte organizzazioni: il limite dei 10 lookup DNS [6]. Ogni include, a, mx, ptr e redirect del record SPF conta verso questo limite. Se lo superi, i server riceventi restituiscono un “permerror” e le tue email iniziano a fallire l’autenticazione in modo casuale.

Ecco quanto velocemente si può raggiungere il limite:

• Google Workspace: 4 lookup DNS
• Microsoft 365: 2-3 lookup DNS
• Piattaforme marketing automation: 3-7 lookup DNS ciascuna
• Invio CRM: 2-4 lookup DNS

La maggior parte delle organizzazioni di medie dimensioni utilizza almeno 3-5 strumenti che inviano email in proprio nome. Sommali tutti e superi i 10 lookup prima di accorgertene.

• Appiattimento SPF: converte i nomi host in indirizzi IP, che non contano verso il limite. Problema: i fornitori di email aggiornano spesso gli indirizzi IP e quando succede il record appiattito diventa obsoleto causando errori di autenticazione [7].
• Macro SPF: soluzione più sofisticata che risolve i lookup dinamicamente durante la query. Alcune infrastrutture riceventi legacy però non supportano pienamente le macro, causando risultati incoerenti [8].
• Delegazione dei sottodomini: si creano record SPF separati per diversi servizi di invio, delegandoli ai sottodomini. Funziona, ma così l’indirizzo “From” diventa il sottodominio invece che il dominio principale.
• Soluzioni SPF Dinamico, come Red Sift's Dynamic SPF, accorpano tutti i mittenti autorizzati in un unico include che si risolve al momento della query. Nessun aggiornamento DNS manuale, nessun problema di compatibilità macro, nessuna complessità di sottodomini.

Seguendo le raccomandazioni M3AAWG [9]:

• Pubblica i record SPF per tutti i domini mittenti, anche quelli parcheggiati
• Usa ~all (softfail) invece di -all (hardfail) per permettere la valutazione DMARC
• Verifica trimestralmente i record SPF rimuovendo i meccanismi inutilizzati
• Tieni traccia di tutti i servizi di terze parti che inviano a tuo nome
• Verifica sempre le modifiche in modalità monitoraggio prima dell’enforcement

DomainKeys Identified Mail (DKIM) aggiunge una firma crittografica alle tue email in uscita [10]. Questa firma prova due cose: che l’email proviene effettivamente dal tuo dominio e che il contenuto non è stato alterato durante il transito.

Quando invii una email, il mail server genera una firma unica tramite una chiave privata che viene inserita nell’header dell’email. Il server ricevente usa la chiave pubblica in DNS per verificarne la corrispondenza.

La forza della chiave conta. Per anni lo standard era 1024 bit, oggi questa lunghezza non è più considerata sicura. La raccomandazione minima sono chiavi RSA a 2048 bit [11]. Alcune organizzazioni stanno già passando alle chiavi a 4096 bit.

È essenziale la rotazione delle chiavi. La linea guida M3AAWG impone il cambio ogni sei mesi [12]. Per i mittenti ad alto rischio come le banche si raccomanda il cambio mensile. Molte aziende però generano la chiave una volta e non la aggiornano più: alcune ancora oggi usano chiavi a 1024 bit risalenti al 2015 [13].

I nomi dei selector aiutano a tenere traccia delle chiavi attive. Usa selector descrittivi come “jan2026” per semplificare l'audit della rotazione e individuare quali servizi firmano con quale chiave [14].

• Usa chiavi a 2048 bit come minimo (migra subito da quelle a 1024 bit)
• Ruota le chiavi almeno ogni sei mesi
• Mantieni due chiavi attive durante la rotazione per evitare interruzioni
• Firma tutte le mail in uscita, incluse quelle transazionali
• Allinea il dominio della firma DKIM a quello “From” per DMARC
• Usa selector distinti per i diversi servizi di invio
• Documenta la programmazione di rotazione e i nomi dei selector

SPF e DKIM sono protocolli fondamentali, ma non sono nati per lavorare insieme. Qui entra in gioco DMARC (Domain-based Message Authentication, Reporting, and Conformance).

DMARC impone che almeno uno tra SPF o DKIM debba passare e essere allineato con il dominio nel campo “From” [15]. Questa è la differenza cruciale. Puoi avere SPF e DKIM che passano separatamente, ma se nessuno dei due è allineato al dominio visibile “From”, DMARC fallisce.

Allineamento SPF: il dominio in return-path (envelope sender) deve combaciare con il dominio nel campo “From”. Molti servizi terzi usano un return-path proprio e questo rompe l’allineamento SPF.

Allineamento DKIM: il dominio nella firma DKIM (valore d=) deve corrispondere a quello “From”. È più affidabile perché sopravvive al forwarding, che spesso rompe SPF.

Per questo Google, Yahoo e Microsoft richiedono esplicitamente DKIM per i mittenti massivi: SPF da solo non basta per i nuovi standard di autenticazione.

È possibile impostare severità diverse per DKIM e SPF nello stesso record DMARC tramite i tag `aspf` e `adkim`. La maggior parte delle organizzazioni usa in produzione SPF relax e DKIM strict, dato che SPF facilmente si rompe su Return-Path di terzi e forwarding, mentre DKIM “viaggia” con il messaggio e regge regole più stringenti [22].

Se non hai ancora impostato questa configurazione, inizia con entrambe in modalità relax, poi valuta i DMARC report per qualche settimana, verifica quali mittenti sopravvivono in modalità strict, e stringi solo dove hai controllo diretto sulla fonte di invio.

Un aggiornamento: RFC 9989 (DMARCbis) ha sostituito RFC 7489 come specifica corrente DMARC. La logica degli allineamenti non cambia, cambia però il modo in cui viene individuato il “dominio organizzativo”: ora tramite “tree-walk” DNS invece che con una Public Suffix List [23].

Le policy DMARC hanno tre livelli:

• p=none: Solo monitoraggio. Ricevi report ma non impatta la consegna delle email.
• p=quarantine: Le email che falliscono finiscono nello spam.
• p=reject: Email che falliscono vengono bloccate completamente.

Il passaggio dal monitoraggio all’enforcement richiede tipicamente 4-8 settimane [16]. Serve tempo per identificare tutti i mittenti legittimi, configurare correttamente SPF e DKIM, risolvere eventuali problemi di allineamento prima di attivare enforcement vero e proprio.

Il tuo fornitore dovrebbe risolvere il limite dei 10 lookup DNS senza introdurre nuovi problemi. Soluzioni che si affidano all’appiattimento manuale si rompono quando cambiano gli IP. Le soluzioni basate su macro possono non funzionare su tutte le infrastrutture riceventi.

Il Dynamic SPF di Red Sift OnDMARC usa un unico include dinamico che autentica in tempo reale tutti i mittenti approvati. Nessun aggiornamento DNS manuale, nessuna preoccupazione per compatibilità macro, nessuna autenticazione casuale fallita.

Scegli fornitori che:

• Supportano chiavi da 2048 bit (meglio ancora se 4096 bit)
• Automatizzano la rotazione delle chiavi con una schedulazione chiara
• Mantengono più chiavi attive durante le transizioni
• Tracciano l’uso dei selector per tutti i servizi di invio
• Segnalano chiavi deboli o in scadenza

SPF e DKIM esistono per servire l’enforcement DMARC. Il tuo fornitore dovrebbe offrire:

• Report aggregati con percentuali di autenticazione superata/fallita
• Report forensi dettagliati sugli errori
• Chiarezza su quali servizi sono configurati (e quali no) correttamente
• Indicazioni concrete su come risolvere i problemi

Gestire SPF, DKIM e DMARC richiede modifiche DNS frequenti. I fornitori che consentono di gestire tutti i record nella propria piattaforma eliminano la necessità di dover accedere separatamente al DNS e riducono gli errori di configurazione.

OnDMARC permette alle organizzazioni di configurare SPF, DKIM, DMARC, BIMI e MTA-STS da un’unica interfaccia. Basta un solo cambio DNS per partire, tutto il resto si gestisce dalla piattaforma.

L’autenticazione email non è solo un requisito tecnico. Impatta direttamente sul business, sia in termini economici che di sicurezza.

Se SPF o DKIM falliscono, le tue email potrebbero non raggiungere i destinatari. Le campagne marketing non decollano, la comunicazione commerciale non viene letta, le mail arrivano in spam. L’impatto economico si fa sentire subito.

Un esempio numerico: se invii 50.000 email al mese e una configurazione errata causa un calo del 10% nella deliverability, 5.000 email non vengono recapitate. Per il reparto vendita o marketing sono opportunità e ricavi persi.

Wise, la società di trasferimento denaro internazionale, ha raggiunto il 99% di deliverability dopo aver implementato OnDMARC [20]. Tutto grazie ad una corretta configurazione di SPF e DKIM su tutti i servizi mittenti.

Gli attacchi di phishing che spoofano il tuo dominio danneggiano più della reputazione: erodono la fiducia dei clienti, espongono a responsabilità e possono consentire attacchi BEC (Business Email Compromise) per milioni di dollari.

Il Centro Reclami Crimini Internet FBI ha rilevato 21.442 reclami BEC nel 2024, per una perdita totale di 2,77 miliardi di dollari [21]. Molti attacchi partono dallo spoofing che un’autenticazione corretta può bloccare.

Se il tuo dominio è protetto con SPF, DKIM e DMARC in enforcement, i truffatori non possono inviare email che appaiano provenire dalla tua organizzazione. I loro messaggi vengono respinti prima ancora di arrivare a clienti, partner o dipendenti.

Enti pubblici e organismi regolatori chiedono sempre più spesso l’autenticazione email: NIST raccomanda DMARC nelle linee guida federali; il National Cyber Security Centre UK consiglia DMARC; la Commissione Europea ha emesso linee guida in materia per i propri enti associati.

Per settori regolamentati come sanità e finanza, l’autenticazione email corretta non è una scelta: fa parte della due diligence nella tutela delle comunicazioni sensibili.

OnDMARC adotta un approccio integrato autenticando email, gestendo SPF, DKIM e DMARC come sistema unico.

• Gestione SPF: SPF Dinamico elimina il limite di 10 lookup con un include unico e dinamico. Tutti i mittenti vengono autenticati tramite un solo meccanismo che si aggiorna automaticamente. Zero macro, quindi migliore compatibilità [17].
• Gestione DKIM: OnDMARC monitora le chiavi DKIM su tutti i servizi mittenti, segnala chiavi deboli o mancanti, e guida nella configurazione. La piattaforma si integra con i principali fornitori di email hosting per semplificare il setup.
• Enforcement DMARC: Con OnDMARC le aziende raggiungono il pieno enforcement DMARC (p=reject o p=quarantine) in media in 6-8 settimane [18]. La piattaforma analizza costantemente i report DMARC e propone soluzioni correttive.
• Oltre la sola autenticazione email: OnDMARC include DNS Guardian per monitorare i tentativi di takeover dei sottodomini e attacchi SubdoMailing, supporto integrato a BIMI e ottenimento VMC per visualizzare il logo verificato in inbox.

Email service providers come SendGrid e Amazon SES firmano DKIM per le email che inviano, ma non gestiscono i tuoi record SPF e non offrono report DMARC. Serve comunque una soluzione per gestire l'autenticazione globale.

Servizi di flattening SPF come AutoSPF e SafeSPF risolvono il limite dei lookup, ma implicano affidare l’SPF a infrastrutture di terzi. Qualsiasi interruzione impatta la consegna delle tue email.

Piattaforme DMARC-only: queste gestiscono solo la reportistica senza affrontare i problemi SPF/DKIM a monte. Si ha visibilità ma non gli strumenti per risolvere i problemi.

Strumenti gratuiti come MxToolbox o URIports aiutano a validare le configurazioni, ma non offrono gestione continuativa, automazione o supporto enforcement.

Individua ogni servizio che invia email col tuo dominio, inclusi:

• Email aziendale (Microsoft 365, Google Workspace)
• Piattaforme marketing automation
• CRM con funzione invio email
• Servizi email transazionali
• Piattaforme HR e recruiting
• Sistemi di assistenza clienti
• Gestionali finanziari e contabili

Analizza il record SPF attuale per individuare include inutilizzati e contare i lookup DNS. Verifica se ogni servizio dispone di chiavi DKIM correttamente configurate.

Prepara un inventario dei servizi mittenti con:

• Nome servizio e fornitore
• Volume email e tipologia (marketing, transazionale, interna)
• Mecanismo include SPF attuale
• Selector DKIM e lunghezza chiave
• Stato allineamento (allineato al From o meno)

Quest’inventario diventa la base per la configurazione dell’autenticazione.

Aggiungi o aggiorna le chiavi DKIM per ogni servizio. Dai priorità alle chiavi a 2048 bit e documenta la convenzione di naming dei selector.

Configurazione DKIM con piattaforme principali:

• Microsoft 365: Usa record CNAME che puntano all’infrastruttura DKIM Microsoft. Rotazione chiavi automatica tra due selector supportata.
• Google Workspace: Genera chiavi dalla console Admin e pubblica i record TXT in DNS. Si possono utilizzare selector personalizzati per una gestione più semplice.
• Piattaforme marketing: richiedono di solito l’aggiunta di record CNAME o TXT. Verifica ogni volta che supportino l’allineamento DKIM con il tuo From.

Ottimizza il record SPF o implementa un Dynamic SPF per restare sotto il limite dei lookup e autorizzare tutti i mittenti legittimi.

Pubblica un record DMARC p=none per iniziare a ricevere report aggregati senza alterare la consegna delle email. Imposta il tag rua su una casella sotto tuo controllo (o a quella del fornitore DMARC) per ricevere i report aggregati.

Analizza i report DMARC per individuare:

• Mittenti legittimi non autenticati correttamente
• Fallimenti di allineamento (SPF/DKIM passano ma non sono allineati)
• Mittenti sconosciuti o non autorizzati
• Andamenti di volumi sospetti che suggeriscono spoofing

Correggi eventuali problemi di autenticazione per ogni servizio. Potrebbe servire il supporto dei fornitori terzi per customizzare la firma DKIM o regolare i return-path.

Problemi comuni che puoi incontrare:

• Servizi di terzi che firmano DKIM sul proprio dominio invece che il tuo
• Piattaforme marketing con return-path che rompe l’allineamento SPF
• Sistemi legacy privi di supporto DKIM
• Servizi IT "ombra" che inviano email a insaputa del team IT

Passa da p=none a p=quarantine per testare l'enforcement senza bloccare tutte le email fallite. Monitora il recapito nelle cartelle spam.

Usa inizialmente un valore pct basso (es. pct=10) per applicare la policy solo ad una porzione delle mail fallite. Aumenta gradualmente man mano che acquisisci fiducia.

Quando sei certo che tutte le email legittime vengono autenticate, passa a p=reject per una protezione totale.

Dopo l'enforcement continua a monitorare: nuovi mittenti, cambi di configurazione e aggiornamenti delle piattaforme terze possono rompere SPF/DKIM. La vigilanza costante previene sorprese negative sulla deliverability.

• Sintomi: SPF passa per alcuni destinatari ma fallisce per altri. Nei report DMARC i risultati SPF sono altalenanti.
• Causa probabile: Hai superato il limite di 10 lookup DNS. I server che valutano tutto il record SPF prima di raggiungere il limite vedono il pass, quelli che lo raggiungono prima restituiscono permerror.
• Soluzione: Verifica il tuo record SPF per includere solo ciò che è necessario. Rimuovi i meccanismi relativi a servizi che non usi più. Implementa Dynamic SPF o la delega del sottodominio per restare sotto il limite.

• Sintomi: Dopo aver migrato la piattaforma email (ad es. da uno strumento di automazione marketing a un altro), DKIM inizia a fallire.
• Probabile causa: Le vecchie chiavi DKIM sono ancora nel DNS ma la nuova piattaforma utilizza selettori differenti. Oppure la nuova piattaforma non è configurata per firmare con il tuo dominio.
• Soluzione: Genera nuove chiavi DKIM per la nuova piattaforma. Pubblicale su DNS utilizzando il selettore specificato dalla piattaforma. Verifica che la piattaforma firmi con il valore d= del tuo dominio, non il suo. Rimuovi le vecchie chiavi dopo aver confermato che la nuova configurazione funziona.

• Sintomi: I report DMARC mostrano che SPF e DKIM sono validi, ma DMARC continua a fallire.
• Probabile causa: Né SPF né DKIM sono allineati con il tuo dominio From. Il servizio si autentica, ma non in modo utile al DMARC.
• Soluzione: Controlla il dominio return-path (per l’allineamento SPF) e il valore d= nelle firme DKIM (per l’allineamento DKIM). Collabora con il servizio mittente per configurare domini personalizzati che corrispondano al tuo indirizzo From.

• Sintomi: La verifica DKIM fallisce con errori di “firma non valida”. La chiave è pubblicata correttamente nel DNS.
• Probabile causa: Il contenuto dell’email è stato modificato durante il transito. Liste di distribuzione che aggiungono footer, gateway di sicurezza email che riscrivono gli URL, o servizi di inoltro possono invalidare le firme DKIM.
• Soluzione: Spesso non puoi intervenire direttamente. Verifica che ci sia l’allineamento SPF come supporto. Valuta l’implementazione di ARC (Authenticated Received Chain) se la tua organizzazione modifica le email durante il transito.

La gestione di SPF e DKIM non è più un “plus”, ma una necessità. Google, Yahoo e Microsoft ora applicano standard di autenticazione rigorosi: le email non conformi vengono rifiutate, non solo penalizzate nella consegna.

Le difficoltà sono reali: il limite dei 10 lookup di SPF richiede una manutenzione costante, la rotazione delle chiavi DKIM necessita coordinamento, e allineare tutto per DMARC aggiunge un ulteriore livello di complessità.

Ma la soluzione non deve essere complicata. Piattaforme come Red Sift OnDMARC centralizzano la gestione di SPF, DKIM e DMARC in un’unica interfaccia, automatizzano le parti più noiose e forniscono linee guida chiare per raggiungere la piena enforcement.

Le organizzazioni che gestiscono bene questi aspetti proteggono i loro domini dallo spoofing, migliorano la consegnabilità delle email e si adeguano in anticipo ai requisiti sempre più stringenti degli inbox provider. Chi non lo fa rischia invece di vedere le proprie email come spam o di non recapitarle affatto.

[1] SalesHive. "DKIM, DMARC, SPF: Best Practices for Email Security and Deliverability in 2025." https://saleshive.com/blog/dkim-dmarc-spf-best-practices-email-security-deliverability/ 

[2] Verizon. "2024 Data Breach Investigations Report." https://www.verizon.com/business/resources/reports/dbir/ 

[3] Yahoo. "Sender Best Practices." https://senders.yahooinc.com/best-practices/ 

[4] Microsoft. "Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders." https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook's-new-requirements-for-high‐volume-senders/4399730 

[5] IETF. "RFC 7208: Sender Policy Framework." https://datatracker.ietf.org/doc/html/rfc7208 

[6] Mailhardener. "The SPF Lookup Limit Explained." https://www.mailhardener.com/blog/spf-lookup-limit-explained 

[7] URIports. "SPF Macros: Overcoming the 10 DNS Lookup Limit." https://www.uriports.com/blog/spf-macros-max-10-dns-lookups/ 

[8] Mailhardener. "Do Not Flatten Your SPF Record." https://www.mailhardener.com/blog/do-not-flatten-spf 

[9] M3AAWG. "Email Authentication Recommended Best Practices." https://www.m3aawg.org/sites/default/files/m3aawg-email-authentication-recommended-best-practices-09-2020.pdf 

[10] IETF. "RFC 6376: DomainKeys Identified Mail Signatures." https://datatracker.ietf.org/doc/html/rfc6376 

[11] Twilio SendGrid. "2048 Bit DKIM Keys: Length and Best Practices." https://www.twilio.com/en-us/blog/insights/2048-bit-dkim-keys 

[12] M3AAWG. "DKIM Key Rotation Best Common Practices." https://www.m3aawg.org/DKIMKeyRotation 

[13] Suped. "How Often Should You Rotate Your DKIM Keys and What Key Length is Best." https://www.suped.com/knowledge/email-authentication/dmarc/how-often-should-you-rotate-your-dkim-keys-and-what-key-length-is-best 

[14] Mailgun. "How Can I Rotate My DKIM Key?" https://help.mailgun.com/hc/en-us/articles/16956951504539-How-can-I-rotate-my-DKIM-key 

[15] IETF. "RFC 7489: Domain-based Message Authentication, Reporting, and Conformance." https://datatracker.ietf.org/doc/html/rfc7489 

[16] Red Sift. "OnDMARC." https://redsift.com/pulse-platform/ondmarc 

[17] Red Sift. "SPF, DKIM & DMARC: Essential Email Protocols Explained." https://redsift.com/guides/email-protocol-configuration-guide/all-you-need-to-know-about-spf-dkim-and-dmarc 

[18] Cisco. "Cisco Secure Email + Red Sift Domain Protection." https://docs.ces.cisco.com/docs/red-sift-cisco-secure-email 

[19] URIports. "SPF, DKIM, and DMARC Best Practices." https://www.uriports.com/blog/spf-dkim-dmarc-best-practices/ 

[20] Red Sift. "OnDMARC Customer Success." https://redsift.com/customers/customer-success 

[21] Bright Defense. "200+ Phishing Statistics for 2026." https://www.brightdefense.com/resources/phishing-statistics/