Come creare e pubblicare un record DMARC

DMARC, ovvero Domain-based Message Authentication, Reporting and Conformance, è un protocollo tecnico per l'autenticazione dei messaggi in uscita. DMARC funge da prima linea di difesa contro una serie di minacce basate sulla posta elettronica, tra cui phishing e spoofing. 

Per configurare DMARC, è necessario creare un record DMARC. Il record DMARC creato è un record TXT che viene poi pubblicato sul proprio DNS. Questo avvia il processo di autenticazione delle e-mail.

Impostando un record DMARC, dai ai proprietari dei domini la possibilità di dire ai destinatari come devono rispondere alle email inviate da fonti non autorizzate o illegittime.

Consiglio dell'esperto Maitham Al Lawati: «Per le organizzazioni del settore sanitario o finanziario, il DMARC non riguarda solo la sicurezza. Si tratta di soddisfare rigorosi requisiti di conformità. Iniziate con il monitoraggio, poi passate all'applicazione delle misure».

Questa guida ti accompagna nella creazione e nella pubblicazione corretta di un record TXT DNS DMARC, oltre a spiegarti come verificarlo e risolvere gli errori più comuni.

Cosa sono i record DMARC?

Un record DMARC è un record DNS TXT che specifica come i server di posta elettronica devono gestire i messaggi che non superano i controlli di autenticazione (SPF e DKIM).

Aiuta i proprietari di domini a prevenire lo spoofing delle e-mail e il phishing, indicando ai server dei destinatari se rifiutare, mettere in quarantena o consentire le email non autorizzate.

Come funziona DMARC?

DMARC si basa su due protocolli di autenticazione delle e-mail già esistenti: SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail). Ecco la procedura di autenticazione passo dopo passo:

1. Email inviata: Viene inviata un'e-mail che dichiara di provenire dal tuo dominio
2. Verifica SPF: Il server ricevente verifica se l'IP mittente è autorizzato nel tuo record SPF
3. Verifica DKIM: Il server verifica la firma DKIM rispetto alla chiave DKIM pubblicata
4. Valutazione DMARC: Il server verifica la tua politica DMARC e ne determina l'allineamento
5. Applicazione della politica: In base alla politica DMARC (nessuna, quarantena, rifiuto), viene intrapresa l'azione appropriata
6. Reportistica: I risultati vengono raccolti e inviati agli indirizzi di reporting da voi indicati

Punto chiave: Affinché l'e-mail superi l'autenticazione DMARC, è necessario che almeno uno tra SPF o DKIM sia valido E sia correttamente allineato con il dominio nell'intestazione "Da".

Anatomia di un record DMARC

Comprendere ogni tag DMARC è essenziale per una corretta configurazione. Ecco una panoramica completa di tutti i componenti dei record DMARC:

Esempi di record DMARC

Ecco alcuni esempi reali di record DMARC per diversi casi d'uso. Copiali e personalizzali per il tuo dominio:

Modalità di monitoraggio di base (consigliata per i principianti)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Caso d'uso: Iniziale Implementazione iniziale per il monitoraggio del traffico e-mail senza applicazione delle regole.

Politica di quarantena con segnalazione

• v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Caso d'uso: applicazione graduale che interessa il 25% delle e-mail, con reportistica sia aggregata che forense.

Politica di applicazione rigorosa

• v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=s; aspf=s
• Caso d'uso: protezione completa con allineamento rigoroso sia per il dominio che per i sottodomini.

Protezione dei domini non mittenti

• v=DMARC1; p=rifiuta; sp=rifiuta; adkim=s; aspf=s
• Caso d'uso: domini che non inviano e-mail ma necessitano di protezione dallo spoofing.

Spiegazione dei tag dei record DMARC

Tabella comparativa delle politiche DMARC

1. Modalità dei criteri DMARC

Il criterio DMARC definisce il modo in cui i destinatari devono gestire le e-mail che non superano l'autenticazione DMARC. È indicata con "p". Può avere uno dei tre valori seguenti: 

• p=none: non intraprendere alcuna azione nei confronti delle e-mail non autorizzate.
• p=quarantena: Per segnalare le e-mail sospette. 
• p=reject: per respingere le e-mail non autorizzate prima che raggiungano i destinatari.

2. Opzioni di segnalazione DMARC

• Rapporti aggregati (rua=): si tratta di rapporti di sintesi inviati all'indirizzo e-mail specificato, che riportano i risultati dell'autenticazione per tutte le e-mail provenienti dal dominio.
• Rapporti forensi (ruf=): si tratta di rapporti dettagliati inviati quando un'e-mail non supera l'autenticazione DMARC.

3. Modalità di allineamento DMARC

• Allineamento SPF (aspf=): determina se il dominio del mittente nell'intestazione From: corrisponde al record SPF. È possibile scegliere tra l'allineamento rigoroso (s), che richiede una corrispondenza esatta, e l'allineamento flessibile (r), che accetta una corrispondenza a livello organizzativo. 
• Allineamento DKIM (adkim=): Determina se il firma DKIM è allineata con il dominio nell'intestazione From:. È possibile scegliere tra un allineamento rigoroso (s) per una corrispondenza esatta o un allineamento flessibile (r) per una corrispondenza a livello organizzativo. 

Come funziona DMARC con i sottodomini

Il tag "sp" (subdomain policy) controlla come le politiche DMARC si applicano ai sottodomini. Se non specificato, i sottodomini ereditano la politica del dominio principale.

• Eredità: i sottodomini ereditano automaticamente la politica DMARC del dominio principale
• Sovrascrittura: utilizzare il tag «sp=» per impostare criteri diversi per i sottodomini
• Buona pratica: definire criteri più rigorosi per i sottodomini che non inviano e-mail

Come creare un record DMARC?

Per creare un record DNS DMARC per il vostro dominio, assicuratevi di avere: 

1. a) uno strumento affidabile per generare il record
2. b) accesso alla console di gestione DNS per pubblicare il record

Seguite i passaggi indicati di seguito per creare il vostro record:

1. Generare il record DMARC 

Inizia la tua prova gratuita di 15 giorni di DMARC Security per accedere al nostro portale utilizzando un indirizzo e-mail oppure registrati utilizzando Gmail/Office 365. Vai su Strumenti di analisi > PowerToolbox > Strumento gratuito per la generazione di record DMARC per iniziare a creare il tuo record DMARC.

2. Definisci una politica DMARC per il tuo record DMARC

Decidere una criterio DMARC a seconda del livello di applicazione desiderato (nessuno, quarantena o rifiuto). Ecco come scegliere il criterio di registrazione DMARC:

• Se si desidera che non vengano intraprese azioni contro le e-mail indesiderate inviate dal proprio dominio, scegliere "nessuna".
• Se si desidera mettere in quarantena le e-mail che non superano il DMARC, scegliere "quarantena".
• Se si desidera rifiutare o scartare le e-mail che non superano l'autenticazione, in modo da ridurre al minimo gli attacchi di spoofing e phishing, scegliere "rifiuta".

3. Configurare i campi opzionali raccomandati per il record DMARC 

Anche se non tutti i campi sono obbligatori, vi consigliamo di configurare alcuni utili campi opzionali nel vostro record DMARC. Scopriamo quali sono:

1. Campo di segnalazione aggregato (rua): Se si configura il campo rua, si riceveranno i dati di autenticazione DMARC direttamente al proprio indirizzo e-mail. 
2. Campo di segnalazione forense (ruf): Ottenete informazioni sugli incidenti forensi, come gli attacchi informatici, configurando il campo ruf nel vostro record DMARC. 
3. Modalità di allineamento DKIM/SPF" Scegliere se optare per un allineamento rilassato o rigoroso per SPF e/o DKIM.

Come pubblicare un record DMARC?

Per pubblicare un record DMARC, sono necessari alcuni prerequisiti: 

• È necessario avere accesso alla console di gestione del DNS. 
• È necessario avere l'autorizzazione a modificare e aggiungere nuovi record DNS per il proprio dominio.

Pubblicare il record DMARC con cPanel

1. Accedi alla console di gestione DNS di cPanel
2. Nella sezione "Domini", clicca su "Editor zona DNS" o "Editor zona avanzato"

3. Aggiungi un record DMARC di tipo TXT (tex), compilando i dettagli come mostrato di seguito. Nel campo "Dati TXT" o "valore", devi incollare il record DMARC creato in precedenza.

Pubblicare un record DMARC con Godaddy

1. Accedete al vostro portafoglio domini GoDaddy per accedere alla zona DNS.
2. Alla voce Nome di dominio, trovare e selezionare il dominio di invio delle e-mail.
3. Sotto il nome del dominio, fare clic su DNS
4. Ora selezionate Aggiungi nuovo record e iniziate a pubblicare il vostro record con i seguenti dettagli:

• Tipo: TXT
• Nome: _dmarc
• Valore: incolla il valore del tuo record DMARC

Pubblicare un record DMARC con Cloudflare 

1. Accedere al proprio account Cloudflare.  
2. Selezionare l'account e il dominio desiderato.  
3. Andare su DNS e fare clic su Aggiungi record  
4. Incollare il record DMARC generato nella sezione Aggiungi record, come nell'esempio seguente:

Come verificare il proprio record DMARC

Dopo aver pubblicato il record DMARC, è fondamentale verificare che funzioni correttamente. Ecco una procedura di verifica passo dopo passo:

Lista di controllo passo dopo passo per la verifica dei record DMARC

1. Utilizza strumenti di ricerca DNS: Verifica se il tuo record DMARC è pubblicato correttamente utilizzando strumenti come nslookup o dig
2. Verifica della sintassi: Utilizza i validatori DMARC online per verificare la presenza di errori di sintassi
3. Verifica dell'autenticazione delle e-mail: Invia email di prova e controlla le intestazioni per i risultati DMARC
4. Rapporti di monitoraggio: Attendere i rapporti DMARC per confermare il corretto funzionamento
5. Verifica più server DNS: Verifica la propagazione su diversi server DNS a livello globale

Strumenti consigliati per la convalida DMARC

• PowerDMARC DMARC Checker: Strumento di convalida completo e gratuito
• Ricerca DMARC con MXToolbox: Verifica rapida dei record DNS
• Google Admin Toolbox: Strumento di analisi per l'ispezione dei record DNS

Ecco perché oltre 10.000 clienti si affidano a PowerDMARC: informazioni sulle minacce basate sull'intelligenza artificiale, assistenza personalizzata durante l'onboarding, conformità SOC2/ISO27001 e gestione automatizzata di più domini

• Enorme riduzione dei tentativi di spoofing e delle e-mail non autorizzate
• Onboarding più rapido + gestione automatizzata dell'autenticazione
• Informazioni e segnalazioni in tempo reale sulle minacce in tutti i domini
• Migliori tassi di consegna delle e-mail grazie alla rigorosa applicazione del DMARC

I primi 15 giorni sono offerti da noi

Inizia la tua prova gratuita di 15 giorni di DMARC Security

Verifica del record DMARC

Per verificare il tuo record DMARC ed evitare il comune errore "Nessun record DMARC trovato" , puoi utilizzare il nostro strumento di verifica gratuito.

1. Registrati gratuitamente e vai su Strumenti di analisi > PowerToolbox > Strumento di verifica dei record DMARC

2. Esaminare lo stato del record DMARC, la sintassi e i tag per individuare eventuali errori.

Sei pronto a verificare il tuo record DMARC? Utilizza il DMARC Checker gratuito di PowerDMARC

Errori comuni da evitare nei record DMARC

Evita questi errori di configurazione DMARC che si verificano spesso e che possono compromettere la sicurezza e la recapitabilità delle tue e-mail:

1. Errori di sintassi e di configurazione

• Mancano i punti e virgola: Ogni tag deve essere separato da un punto e virgola
• Spazi superflui: Evita spazi superflui attorno ai tag e ai valori
• Versione errata: Utilizzare sempre "v=DMARC1" (non v=DMARC2 o simili)
• Indirizzi e-mail non validi: Assicurati che gli indirizzi di segnalazione siano validi e accessibili

2. Errori nell'attuazione delle politiche

• Passare troppo rapidamente a p=reject: Iniziare con p=none per il monitoraggio
• Non configurare prima SPF e DKIM: DMARC richiede che questi protocolli siano configurati
• Ignorare le politiche relative ai sottodomini: Si consiglia di impostare valori sp= appropriati

3. Errori nella gestione dei documenti

• Record DMARC multipli: È consentito un solo record DMARC per dominio
• Nome del record DNS errato: Deve essere esattamente “_dmarc.tuodominio.com”
• Tipo di record errato: Deve essere un record di tipo TXT

4. Carenze nel monitoraggio e nella rendicontazione

• Configurazione della reportistica non effettuata: La mancanza del tag rua= comporta l'impossibilità di verificare l'autenticazione delle e-mail
• Ignorare i rapporti DMARC: I rapporti contengono informazioni cruciali sulla sicurezza
• Utilizzo di indirizzi di segnalazione non accessibili: assicurati di poter ricevere ed elaborare le segnalazioni

Risoluzione dei problemi relativi agli errori comuni dei record DMARC

Utilizza questa checklist dettagliata per risolvere i problemi più comuni relativi ai record DMARC:

Errori comuni dei record DMARC

Una volta rilevati gli errori nel record, è necessario apportare le modifiche necessarie al DNS e salvarle. È possibile ricontrollare il record una volta che le modifiche sono state elaborate.

Comprendere i rapporti DMARC

I rapporti DMARC forniscono informazioni fondamentali sulle prestazioni dell'autenticazione delle tue e-mail e sulle potenziali minacce alla sicurezza. Ecco cosa devi sapere:

Tipi di report DMARC

1. Rapporti aggregati (RUA)

• Frequenza: Riepiloghi giornalieri di tutti i risultati dell'autenticazione delle e-mail
• Contenuto: Statistiche sui volumi, risultati dell'autenticazione, indirizzi IP di origine
• Caso d'uso: Monitorare lo stato generale dell'autenticazione delle e-mail e identificare le tendenze

2. Relazioni forensi (RUF)

• Frequenza: Rapporti in tempo reale sugli errori di autenticazione
• Contenuto: Intestazioni e-mail dettagliate e motivi dell'errore di autenticazione
• Caso d'uso: Indagare su specifici errori di autenticazione e potenziali attacchi

Come interpretare i rapporti DMARC

Indicatori chiave da monitorare:

• Tasso di superamento del DMARC: Percentuale di email che superano l'autenticazione DMARC
• Allineamento SPF/DKIM: Grado di allineamento dei protocolli di autenticazione
• Analisi delle fonti: Identificare le fonti di invio legittime rispetto a quelle sospette
• Impatto delle politiche: Effetti delle politiche di quarantena/rifiuto sulla consegna delle e-mail

Utilizzo dei report per migliorare la sicurezza della posta elettronica

1. Identificare i mittenti legittimi: Assicurarsi che tutte le fonti di posta elettronica autorizzate siano configurate correttamente
2. Rileva i tentativi di spoofing: Controlla se c'è un uso non autorizzato del tuo dominio
3. Ottimizzare l'autenticazione: Risolvi i problemi di allineamento SPF e DKIM
4. Applicazione graduale delle politiche: Utilizzare i dati per passare in modo sicuro dal monitoraggio all'applicazione

Record DMARC per i domini non spediti 

La maggior parte delle persone si limita a proteggere i propri domini attivi, ma gli hacker possono falsificare anche i domini che non utilizzano per l'invio di email, al fine di inviare messaggi falsi a vostro nome! Per evitare che ciò accada, ecco i passaggi da seguire per implementare DMARC per i tuoi domini non mittenti: 

• Pubblica un record DMARC non permissivo: inizia pubblicando un record DMARC per il dominio inattivo con una politica applicata come p=reject. 
• Abilita la generazione di report (consigliato): anche se il tuo dominio non invia e-mail, gli hacker potrebbero comunque utilizzarlo per inviare messaggi di phishing. I rapporti DMARC ti avvisano quando ciò accade.
• Pubblica un record SPF restrittivo: imposta v=spf1 -all per impedire l'invio di e-mail.
• Disattivare i servizi di posta elettronica integrati: se il dominio è ancora collegato a server di posta elettronica esterni, potrebbe essere opportuno limitarne l'accesso qualora il dominio non sia più in uso. 

Conseguenze della mancata protezione dei domini inattivi 

La mancata implementazione del DMARC per i domini non di invio può portare a diverse conseguenze, come ad esempio: 

• Aumento del rischio di attacchi spoofing e phishing 
• Danno alla reputazione del marchio e del dominio 
• Abuso di dominio che passa inosservato per lunghi periodi di tempo

Singolo record DMARC per dominio

Quando si configura il record DMARC, è importante pubblicare una sola voce per dominio. Più record DMARC per un singolo dominio possono causare conflitti e errori di autenticazione ingiustificati! 

Perché i record DMARC multipli sono un problema

1. Errori di autenticazione delle e-mail: i destinatari potrebbero non sapere quale record DMARC seguire.
2. Errori di configurazione e incongruenze: politiche in conflitto tra loro (ad esempio, un record che utilizza p=none e un altro che utilizza p=reject) comportano un'applicazione imprevedibile delle regole.
3. Segnalazioni imprecise: i rapporti DMARC potrebbero essere incompleti o inaffidabili.

Migliori pratiche per una corretta implementazione del DMARC

Per garantire la corretta configurazione del record DMARC, ecco le migliori pratiche per l'implementazione: 

• Pubblicare un singolo record per DMARC per dominio.
• Evitare di configurare l'opzione DMARC sp a meno che non si voglia che i sottodomini abbiano un criterio diverso.
• Utilizzare uno strumento di controllo DMARC per convalidare il record dopo la pubblicazione.
• Monitorate regolarmente i rapporti DMARC per assicurarvi che le attività sospette non passino inosservate. 

Passi successivi alla pubblicazione di un record DMARC

Una volta terminata la pubblicazione del record DMARC, il passo successivo dovrebbe essere quello di concentrarsi sulla protezione del proprio dominio da truffatori e imitatori. Questo è il vostro obiettivo principale quando implementate i protocolli di sicurezza e i servizi di autenticazione delle e-mail. 

Il semplice fatto di pubblicare un record DMARC con una politica p=none non offre alcuna protezione contro spoofing di dominio e alle frodi via e-mail. Per questo, è necessario passare all' applicazione del DMARC.

Per passare all'applicazione del DMARC, un approccio graduale è la scelta migliore per ottenere risultati ideali senza alcun impatto negativo sulla deliverability. Ecco un processo graduale da seguire:

• Iniziare con un criterio p=none, che rappresenta la modalità di monitoraggio. 
• Abilita la segnalazione DMARC per il tuo dominio per analizzare il tuo traffico e-mail e la sua recapitabilità. 
• Passare alla quarantena, mantenendo la percentuale a 10 e aumentandola gradualmente al 100% nell'arco di un paio di settimane.
• Una volta che siete sicuri della vostra configurazione, passate a p=rifiuto, mantenendo pct sulla percentuale più bassa e poi aumentando gradualmente fino all'applicazione completa per il 100% del volume di posta. 

Come semplificare la gestione dei record DMARC

Per le organizzazioni che gestiscono più domini, o semplicemente per quelle che non vogliono affrontare la seccatura di configurare e gestire manualmente i record DMARC, esistono soluzioni specializzate in grado di automatizzare la gestione dei record DMARC in un unico sistema. Grazie alla tecnologia di Threat Intelligence basata sull'intelligenza artificiale e a report dettagliati, PowerDMARC ha aiutato oltre 2000 clienti in tutto il mondo a semplificare il loro percorso DMARC. 

Le soluzioni professionali per la gestione DMARC offrono:

• Gestione multi-dominio e multi-client da un unico pannello di controllo
• Assistenza personalizzata e supporto da parte di esperti
• Certificato per la conformità SOC2, ISO27001 e GDPR

Per iniziare, prova gratuitamente Prova gratuita di 15 giorni della protezione DMARC della piattaforma oggi stesso! 

Domande frequenti sui record DMARC

1. Come posso creare un record DMARC per il mio dominio?

Per creare un record DMARC: 1) Genera il tuo record DMARC utilizzando uno strumento come il generatore di PowerDMARC, 2) Accedi alla tua console di gestione DNS, 3) Crea un nuovo record TXT con il nome “_dmarc” e incolla il tuo record DMARC come valore, 4) Salva le modifiche e attendi la propagazione del DNS (fino a 48 ore).

2. Cosa succede se non ho un record DMARC?

Senza un record DMARC, il tuo dominio è vulnerabile agli attacchi di spoofing e phishing. I provider di posta elettronica come Gmail e Yahoo potrebbero rifiutare le e-mail provenienti da mittenti che inviano messaggi in massa senza DMARC. La reputazione del tuo dominio potrebbe essere danneggiata da un uso non autorizzato e non avrai alcuna visibilità sui fallimenti nell'autenticazione delle e-mail.

3. Come posso superare la verifica DMARC?

Per superare la verifica DMARC: 1) Assicurati che SPF e DKIM siano configurati correttamente, 2) Verifica che il dominio indicato nell'intestazione "Da:" corrisponda ai domini specificati in SPF/DKIM, 3) Utilizza una politica DMARC che consenta l'invio di email legittime (inizia con p=none), 4) Monitora i rapporti DMARC per individuare e risolvere eventuali problemi di autenticazione.

4. Che aspetto ha un record DMARC tipico?

Un record DMARC di base viene pubblicato come record DNS TXT all'indirizzo _dmarc.tuodominio.com e di solito viene avviato in modalità di monitoraggio. Ecco un esempio tipico:

v=DMARC1; p=none; rua=mailto:[email protected]

Cosa fa:

• v=DMARC1 identifica il record come una politica DMARC.
• p=none consente il monitoraggio senza bloccare le e-mail.
• rua specifica dove vengono inviati i rapporti DMARC aggregati.

Questa configurazione consente di monitorare i risultati dell'autenticazione e individuare i tentativi di spoofing senza compromettere la consegna delle e-mail. Una volta esaminati i rapporti e verificato che tutti i mittenti legittimi siano stati identificati correttamente, è possibile passare gradualmente alle opzioni p=quarantine o p=reject per l'applicazione delle misure.

• Informazioni su
• Ultimi messaggi

Maitham Al Lawati

Esperto di sicurezza informatica, CEO di PowerDMARC

Maitham è un imprenditore tecnologico, esperto di sicurezza informatica, CEO e fondatore di PowerDMARC con oltre 15 anni di esperienza nel settore. Maitham ha conseguito un MBA presso l'Università di Manchester e varie certificazioni professionali, tra cui CISSP, CISM, CRISC e ISC2 CCSP.

Ultimi messaggi di Maitham Al Lawati (vedi tutti)

• Statistiche relative al phishing via e-mail e al DMARC: tendenze 2026 in materia di sicurezza delle e-mail - 6 gennaio 2026
• Come risolvere il problema "Nessun record SPF trovato" nel 2026 - 3 gennaio 2026
• SPF Permerror: come risolvere il problema di un numero eccessivo di ricerche DNS - 24 dicembre 2025