Che cos'è una politica DMARC? Nessuna, Quarantena e Rifiuto

Le frodi via e-mail rappresentano una delle minacce informatiche più persistenti e dannose che le organizzazioni devono affrontare oggi. Secondo il Verizon Data Breach Investigations Report, il phishing rimane una delle principali cause delle violazioni dei dati e la maggior parte degli attacchi ha origine da un dominio e-mail contraffatto.

Una politica DMARC rappresenta la tua prima linea di difesa. Definita in RFC 7489, il DMARC (Domain-based Message Authentication, Reporting, and Conformance) è un protocollo di autenticazione delle e-mail che indica ai server di posta riceventi cosa fare quando un'e-mail non supera i controlli di autenticazione. Senza di esso, gli hacker possono facilmente spacciarsi per il tuo dominio per prendere di mira i tuoi clienti, dipendenti e partner.

Questa guida spiega in dettaglio cos’è una politica DMARC, quali sono le tre opzioni disponibili, come implementarla e applicarla correttamente e come evitare le insidie più comuni che lasciano la maggior parte delle aziende senza protezione.

Cos'è una politica DMARC?

Una politica DMARC è un insieme di istruzioni pubblicate nel proprio DNS che indica ai server di posta riceventi come gestire le e-mail che non superano l'autenticazione DMARC. In parole povere, è il livello di applicazione del protocollo DMARC e decide il destino di ogni messaggio non autenticato che dichiara di provenire dal tuo dominio.

Senza una politica DMARC, il tuo dominio di posta elettronica è praticamente una porta aperta. I criminali informatici possono inviare e-mail fraudolente che sembrano provenire dalla tua organizzazione, prendendo di mira i tuoi clienti e dipendenti con attacchi di phishing.

Come funziona una politica DMARC?

Una politica DMARC funziona fornendo ai server di posta in ricezione un insieme di regole chiare da seguire ogni volta che un'e-mail non supera l'autenticazione DMARC. Ecco esattamente come si svolge questo processo, dall'invio alla casella di posta in arrivo.

Il flusso di autenticazione, passo dopo passo:

1. Un mittente invia un'e-mail fingendo che provenga dal tuo dominio.
2. Il server di posta in arrivo esegue i controlli di autenticazione SPF e DKIM sul messaggio.
3. Se il messaggio supera entrambi i controlli e il dominio corrisponde all'intestazione "Da", supera l'autenticazione DMARC e viene recapitato nella casella di posta in arrivo del destinatario.
4. Se il messaggio non supera i controlli DMARC, il server legge il tuo record DMARC dai tuoi record DNS.
5. In base alla politica DMARC pubblicata, il server consegna, mette in quarantena o rifiuta il messaggio non autenticato.
6. Il server ricevente invia i rapporti aggregati DMARC all'indirizzo specificato nel record DMARC.

DMARC verifica inoltre che il dominio autenticato corrisponda a quello indicato nell'intestazione "Da". Questo processo, denominato "allineamento degli identificatori", colma la falla che consente agli hacker di utilizzare un dominio simile per eludere i controlli di autenticazione di base delle e-mail.

Senza un allineamento, un malintenzionato potrebbe superare il controllo SPF su un dominio, mentre ne falsifica uno completamente diverso nell'indirizzo del mittente che i destinatari vedono effettivamente.

Prima di configurare DMARC

È necessario che SPF e/o DKIM siano stati implementati e siano attivi da almeno 48 ore prima di configurare il record DMARC. Se questi non sono attivi, la politica DMARC non avrà alcun elemento su cui basare la convalida.

Vale anche la pena capire come funziona il DNS prima di iniziare a pubblicare i record, poiché i record TXT DNS configurati in modo errato sono una delle cause più comuni di errori DMARC.

Lettura consigliata: Statistiche sul phishing via e-mail e sul DMARC: tendenze di sicurezza per il 2026

Le 3 opzioni dei criteri DMARC

Sono disponibili tre opzioni di politica: p=none, p=quarantine e p=reject. Ciascuna rappresenta un diverso livello di applicazione del DMARC. Scegliere quella giusta al momento giusto è ciò che distingue le organizzazioni che sono realmente protette da quelle che pensano semplicemente di esserlo.

1. p=nessuno

L'opzione "p=none" è l'impostazione più permissiva della politica DMARC. Indica ai server destinatari di non intraprendere alcuna azione nei confronti delle e-mail che non superano l'autenticazione DMARC. Ogni messaggio, indipendentemente dal fatto che superi o meno l'autenticazione, viene recapitato normalmente nella casella di posta del destinatario. Nulla viene bloccato, nulla viene segnalato come sospetto.

Il suo unico compito è quello di generare rapporti aggregati DMARC, in modo da poter vedere chi sta inviando email per conto del tuo dominio, quanti messaggi superano o falliscono l'autenticazione e quali indirizzi IP potrebbero essere utilizzati per lo spoofing del tuo dominio.

p=none non offre alcuna protezione contro lo spoofing delle e-mail, poiché:

• Le e-mail non autorizzate continuano ad essere recapitate
• I messaggi fraudolenti continuano ad arrivare nelle caselle di posta
• Gli hacker possono utilizzare liberamente il tuo dominio

È il punto di partenza giusto, ma non è la meta finale. La maggior parte delle aziende non va mai oltre l'impostazione "p=none", rimanendo così completamente indifesa. Se la tua politica DMARC non è abilitata oltre la modalità di monitoraggio, il tuo dominio è ancora completamente esposto.

2. p = quarantena

p=quarantena è la politica di applicazione transitoria. Essa indica al server di posta in arrivo di considerare con sospetto i messaggi che non superano l'autenticazione e di reindirizzarli alla cartella dello spam o alla cartella della posta indesiderata del destinatario, anziché alla posta in arrivo.

Le e-mail che superano l'autenticazione DMARC non subiscono alcuna modifica. Solo i messaggi non autenticati vengono considerati sospetti e rimossi dalla posta in arrivo.

La politica di quarantena garantisce un'applicazione attiva della politica, fornendo al contempo una rete di sicurezza. Se una fonte di posta elettronica legittima è stata configurata in modo errato e inizia a non superare i controlli DMARC, finisce nella cartella dello spam anziché essere respinta immediatamente. È possibile individuarla, risolvere il problema ed evitare di interrompere il flusso di posta elettronica.

È consigliabile passare alla modalità p=quarantine solo dopo aver analizzato attentamente i rapporti DMARC e aver verificato che tutti i mittenti legittimi conosciuti siano correttamente autenticati.

3. p = rifiutare

"p=reject" è la politica DMARC più rigorosa e rappresenta lo standard di riferimento per la sicurezza della posta elettronica. Indica ai server destinatari di respingere completamente i messaggi non autenticati. Le e-mail fraudolente non raggiungono mai la posta in arrivo, la cartella dello spam né qualsiasi altra cartella.

Blocchi totali (p=reject) spoofing del dominio sul nascere, protegge la reputazione del tuo marchio e segnala ai provider di posta elettronica che il tuo dominio è affidabile, il che può migliorare il posizionamento nella posta in arrivo per le tue e-mail legittime.

Tuttavia, l'impostazione p=reject non ammette eccezioni. Qualsiasi mittente legittimo che non sia stato correttamente autenticato prima di passare a questa politica vedrà le proprie e-mail respinte. È necessario assicurarsi che tutti i mittenti legittimi siano inseriti nella lista bianca e superino l'autenticazione DMARC prima di procedere con questa modifica.

Altri tag delle politiche DMARC da conoscere

Il tag p= è quello che attira maggiormente l'attenzione, ma un record DMARC contiene diverse altre impostazioni che influenzano direttamente il funzionamento della politica. Ignorarle è uno dei motivi per cui le organizzazioni si ritrovano con delle lacune nella protezione anche dopo aver pubblicato un record DMARC.

sp= (Politica dei sottodomini)

Il tag sp= determina come la politica DMARC si applica ai sottodomini. Se hai impostato una politica sul tuo dominio principale ma lasci sp= , i sottodomini ereditano per impostazione predefinita la politica del dominio principale. Questo va bene nella maggior parte dei casi, ma se si desidera applicare un diverso livello di applicazione ai sottodomini, è necessario impostarlo esplicitamente.

Ad esempio, se il dominio principale è impostato su p=reject ma un sottodominio non è ancora pronto per l'applicazione completa della politica, è possibile impostare sp=quarantine per applicare una politica meno restrittiva in quel caso.

pct = (tag percentuale)

Il tag pct= indica ai server destinatari a quale percentuale dei messaggi non riusciti deve essere applicata la politica. Se omesso, il valore predefinito è 100. Questo tag è particolarmente utile durante la transizione da p=quarantine a p=reject.

Invece di attivare l'opzione per tutto il traffico in una volta sola, puoi iniziare con pct=10 o pct=25 e aumentare gradualmente il valore monitorando i tuoi report.

adkim= e aspf= (modalità di allineamento)

Questi due tag determinano il livello di rigore con cui DMARC verifica l'allineamento del dominio per DKIM e SPF . Le due opzioni sono r (relaxed) e s (strict). L'allineamento relaxed consente la corrispondenza con un sottodominio, il che significa che mail.tuodominio.com supererebbe il controllo di allineamento per tuodominio.com.

L'allineamento rigoroso richiede una corrispondenza esatta. La maggior parte delle organizzazioni dovrebbe utilizzare l'allineamento flessibile, che è l'impostazione predefinita quando questi tag vengono omessi.

fo= (Opzioni di segnalazione dei guasti)

Il tag fo= determina quando vengono generati i rapporti forensi DMARC vengono generati. Il valore predefinito è 0, il che significa che un rapporto viene inviato solo quando sia SPF che DKIM falliscono. Impostando fo=1, viene inviato un rapporto ogni volta che fallisce SPF o DKIM.

Impostando fo=s o fo=d si generano rispettivamente report specifici relativi agli errori SPF o DKIM. Per una maggiore visibilità nella risoluzione dei problemi, l'impostazione più utile è fo=1.

Confronto tra le politiche DMARC: p=none vs p=quarantine vs p=reject

Scegliere tra le tre opzioni di politica DMARC è più facile quando è possibile confrontarle fianco a fianco. Utilizza questa tabella come riferimento rapido per decidere quale politica si adatta meglio alla tua attuale fase di implementazione di DMARC.

La maggior parte delle organizzazioni dovrebbe considerare questo processo come una fase graduale: iniziare con p=none, analizzare i rapporti DMARC, correggere eventuali errori di configurazione, passare a p=quarantine e infine passare a p=reject una volta verificate tutte le fonti di posta elettronica legittime.

Come passare da p=none a p=reject

Il passaggio da p=none all'applicazione completa della politica DMARC è un processo graduale che richiede un'attenta analisi dei rapporti in ogni fase. Affrettare questa transizione è la causa più comune del blocco di email legittime.

Passaggio 1: Pubblica un record con p=none e inizia a raccogliere dati

Inizia pubblicando un record DMARC con p=none e un indirizzo rua= valido. In questo modo entrerai in modalità di monitoraggio.

Tutti i messaggi e-mail continuano a circolare normalmente, ma inizi a ricevere rapporti aggregati DMARC che indicano chi sta inviando messaggi dal tuo dominio, quali messaggi superano o falliscono l'autenticazione e quali indirizzi IP sono coinvolti.

Passaggio 2: Analizza i tuoi rapporti aggregati DMARC

I report aggregati grezzi vengono forniti in formato XML e non sono di facile lettura manuale. Utilizza un analizzatore di report DMARC per analizzarli e trasformarli in dashboard di facile lettura.

Verifica tutte le fonti di posta elettronica legittime che inviano messaggi dal tuo dominio, gli indirizzi IP che non superano inaspettatamente i controlli DMARC, gli errori di allineamento SPF e DKIM per mittenti legittimi noti e i mittenti non autorizzati che tentano di falsificare il tuo dominio.

Monitorate i risultati dell'autenticazione DMARC per almeno due o quattro settimane prima di apportare eventuali modifiche alle politiche. Le visualizzazioni dei report aggregati di PowerDMARC consentono di seguire facilmente l'andamento di questi dati nel tempo.

Fase 3: Risolvere i problemi di non allineamento di SPF e DKIM

Per ogni fonte di posta legittima che non supera i controlli DMARC, è necessario individuare e risolvere la causa principale. Tra le soluzioni più comuni figurano l'aggiunta degli indirizzi IP mancanti al record SPF, l'attivazione della firma DKIM per i servizi di posta elettronica di terze parti e la correzione degli errori di configurazione nei flussi di posta inoltrata.

Effettuare controlli regolari dei rapporti DMARC ti aiuta a individuare questi problemi prima che si trasformino in difficoltà di consegna.

Passaggio 4: Aggiungere tutti i mittenti legittimi alla lista bianca

Prima di applicare qualsiasi politica di applicazione, tutte le fonti di posta elettronica legittime devono superare l'autenticazione DMARC in modo coerente. Se in questa fase manca anche un solo mittente, tali e-mail potrebbero essere respinte una volta applicato il parametro p=reject.

Passaggio 5: Impostare p=quarantena tra il 10 e il 25 per cento

Utilizza il tag pct= per applicare inizialmente la nuova politica a una percentuale dei messaggi non validi. Inizia con p=quarantine e imposta pct=25, quindi monitora attentamente i rapporti.

Se le e-mail legittime iniziano ad arrivare nella cartella dello spam, significa che c'è un mittente che deve ancora essere sistemato prima di poter procedere.

Passaggio 6: Impostare p=quarantena al 100%

Una volta accertato che il 25% dei messaggi non riusciti è effettivamente non autorizzato, aumenta il valore di pct= fino al 100% e continua il monitoraggio.

Passaggio 7: Passare a p=reject

Una volta che p=quarantine funziona correttamente al 100% senza bloccare alcuna e-mail legittima, sei pronto per passare all'applicazione completa delle regole. Tutti i messaggi non autenticati verranno ora bloccati prima della consegna.

Il servizio DMARC servizio DMARC può gestire l'intera transizione per te, automatizzando gli aggiornamenti delle politiche senza richiedere modifiche manuali al DNS in ogni fase.

Reportistica DMARC: report aggregati vs. report forensi

I rapporti DMARC ti consentono di trasformare la tua politica in uno strumento di intelligence attivo. Se non li consulti, non avrai alcuna visibilità su chi sta utilizzando il tuo dominio, quali sono i problemi o se le misure di applicazione stanno funzionando.

Esistono due tipi di report, che hanno finalità molto diverse.

Errori comuni nelle politiche DMARC e come risolverli

L'implementazione del DMARC può essere complessa e anche piccoli errori di configurazione tendono ad avere conseguenze di proporzioni sproporzionate. Ecco gli errori più comuni e come risolverli rapidamente.

Record TXT DMARC mancante o non corretto

La pubblicazione con un nome host errato, l'assenza del tag v=DMARC1 o la creazione di record duplicati porteranno i server destinatari a ignorare completamente la tua politica. Tra gli errori più comuni relativi al nome host vi è l'uso di dmarc.tuodominio.com invece di _dmarc.tuodominio.com.

Risoluzione: Convalida il tuo record con il DMARC Record Checker di PowerDMARC prima e dopo qualsiasi modifica al DNS.

SPF e DKIM non allineati

Anche se i controlli SPF e DKIM risultano positivi, i messaggi potrebbero comunque non superare il controllo DMARC se il dominio autenticato non corrisponde all'intestazione "From". Questo è uno dei punti di errore più comunemente fraintesi nell'implementazione di DMARC.

Soluzione: Controlla le impostazioni di allineamento adkim= e aspf= nel tuo record DMARC. L'allineamento "relaxed" è l'impostazione predefinita corretta per la maggior parte delle organizzazioni e consente la corrispondenza dei sottodomini senza richiedere una corrispondenza esatta del dominio.

Le e-mail legittime non vengono recapitate dopo il passaggio alla modalità di applicazione

Ciò significa quasi sempre che un mittente legittimo è sfuggito alla fase di monitoraggio e viene ora intercettato dalla vostra politica più rigorosa.

Soluzione: Torna a p=quarantine con un valore pct= basso mentre effettui le verifiche. Individua il mittente in errore nei tuoi report aggregati, correggi la sua configurazione SPF o DKIM, verifica che superi i controlli in modo costante, quindi ripristina il livello precedente.

Superamento dei limiti di ricerca DNS SPF

Il numero massimo di record SPF è 10 ricerche DNS. Se si inviano messaggi attraverso un numero sufficiente di piattaforme di terze parti, si supererà questo limite, causando il fallimento dell'SPF e provocando un effetto a cascata che si tradurrà in errori DMARC per la posta legittima.

Soluzione: Controlla il tuo record SPF e utilizza la gestione automatizzata dell'SPF per semplificare il record e rimanere entro i limiti di ricerca.

Non è stato configurato alcun indirizzo di segnalazione

Senza un indirizzo rua= valido, si dispone di una politica implementata ma non è possibile verificare se funziona, quali elementi non funzionano o se sul proprio dominio si stanno verificando attività di spoofing.

Soluzione: Inserisci sempre un indirizzo rua= valido sin dal primo giorno. Se gestisci più domini, utilizza una piattaforma di reporting centralizzata per consolidare i tuoi report aggregati DMARC in un unico posto.

Proteggi il tuo dominio con PowerDMARC

L'efficacia di una politica DMARC dipende interamente dalla sua implementazione. I passaggi tecnici sono semplici, ma è proprio nel lavoro continuo di analisi dei rapporti, correzione degli errori di configurazione, inserimento dei mittenti legittimi nella lista bianca e passaggio graduale all'applicazione delle regole che la maggior parte delle organizzazioni fallisce.

PowerDMARC è stato progettato per rendere gestibile l'intero processo. Dalla generazione del primo record DMARC fino alla piena applicazione del parametro p=reject, la piattaforma gestisce ogni fase. Include la gestione delle politiche in hosting, dashboard di reportistica automatizzata, avvisi sulle minacce in tempo reale e il monitoraggio di SPF e DKIM su tutti i tuoi domini.

Le organizzazioni che utilizzano PowerDMARC passano da p=none a p=reject più rapidamente, con minori interruzioni per le e-mail legittime e con una visibilità completa su ogni mittente che utilizza il loro dominio.

Il tuo dominio è il tuo marchio. Non lasciarlo senza protezione.

Prenota una demo per compiere oggi stesso il primo passo verso l'autenticazione e l'applicazione complete delle regole di posta elettronica.

Domande frequenti

1. Qual è la politica DMARC predefinita?

Non esiste una politica DMARC predefinita. Se non è presente alcun record DMARC, i server di ricezione non effettueranno controlli DMARC. Quando si crea un record DMARC per la prima volta, si consiglia di impostare inizialmente il valore p=none a scopo di monitoraggio.

2. Le politiche DMARC possono influire sulla recapitabilità delle e-mail?

Sì, le politiche DMARC possono migliorare la deliverability del 10-15% se implementate correttamente, poiché i provider di posta elettronica considerano più affidabili i domini autenticati. Tuttavia, un'implementazione errata può causare la messa in quarantena o il rifiuto di email legittime.

3. Qual è la differenza tra SPF, DKIM e DMARC?

SPF verifica che il server mittente sia autorizzato, DKIM garantisce l'integrità del messaggio tramite firme crittografiche, mentre DMARC assicura l'applicazione delle politiche e la generazione di report basandosi sui risultati di SPF e DKIM.

4. Per quanto tempo dovrei mantenere l'impostazione "p=none" prima di passare a criteri più rigorosi?

Mantenere il valore p=none per almeno 30 giorni per raccogliere rapporti DMARC completi. Nel caso di organizzazioni complesse con più fonti di posta elettronica, è consigliabile prevedere un periodo di 60-90 giorni per garantire che tutti i mittenti legittimi vengano identificati e autenticati correttamente.

5. Qual è la migliore politica DMARC?

p=reject è la politica più rigorosa, poiché impedisce la consegna di tutte le e-mail non autorizzate. Detto questo, passare direttamente a p=reject è rischioso. L'approccio consigliato è quello di iniziare con p=none per monitorare il traffico e-mail, passare a p=quarantine una volta identificati tutti i mittenti legittimi e applicare p=reject solo quando si è certi che tutti i mittenti legittimi siano correttamente autenticati.

6. Come posso correggere la mia politica DMARC?

Puoi aggiornare la tua politica DMARC modificando direttamente il record TXT DMARC nella tua console di gestione DNS e cambiando il valore del tag p=. Se preferisci un'opzione più semplice, la soluzione Hosted DMARC di PowerDMARC ti permette di aggiornare la tua politica con un solo clic.

7. Quale politica DMARC useresti per respingere le e-mail che non superano i controlli DMARC?

Utilizza p=reject. Questa impostazione indica ai server di posta in ricezione di bloccare immediatamente qualsiasi messaggio che non superi l'autenticazione DMARC. L'e-mail non arriverà né nella casella di posta in arrivo né nella cartella dello spam del destinatario. Se desideri che le e-mail non conformi finiscano nella cartella dello spam anziché essere bloccate del tutto, utilizza invece p=quarantine.

• Informazioni su
• Ultimi messaggi

Maitham Al Lawati

Esperto di sicurezza informatica, CEO di PowerDMARC

Maitham è un imprenditore tecnologico, esperto di sicurezza informatica, CEO e fondatore di PowerDMARC con oltre 15 anni di esperienza nel settore. Maitham ha conseguito un MBA presso l'Università di Manchester e varie certificazioni professionali, tra cui CISSP, CISM, CRISC e ISC2 CCSP.

Ultimi messaggi di Maitham Al Lawati (vedi tutti)

• Statistiche relative al phishing via e-mail e al DMARC: tendenze 2026 in materia di sicurezza delle e-mail - 6 gennaio 2026
• Come risolvere il problema "Nessun record SPF trovato" nel 2026 - 3 gennaio 2026
• SPF Permerror: come risolvere il problema di un numero eccessivo di ricerche DNS - 24 dicembre 2025