Che cos’è la quarantena DMARC? Spiegazione della politica p=quarantine

La quarantena DMARC (p=quarantine) è la politica DMARC che indica ai server di posta in ricezione di consegnare i messaggi che non superano l'autenticazione DMARC in una cartella diversa dalla posta in arrivo. Ciò significa solitamente indirizzarli nella cartella dello spam o della posta indesiderata, anziché bloccarli del tutto.

Che cos’è la quarantena DMARC?

La quarantena DMARC è una politica di applicazione specificata nel record DMARC del proprio dominio. Quando un mittente invia un’e-mail a nome del proprio dominio, il server di posta in arrivo verifica il messaggio confrontandolo con i record SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) pubblicati. Se l’e-mail non supera questi controlli di autenticazione e la politica DMARC è impostata su p=quarantine, al destinatario viene indicato di considerare l’e-mail come sospetta.

Anziché rifiutare completamente l'e-mail o consegnarla normalmente nella posta in arrivo, il destinatario la mette in quarantena. Questa azione protegge il destinatario da potenziali tentativi di phishing o spoofing, consentendo comunque che il messaggio venga consegnato in una cartella secondaria.

Come viene applicata una politica di quarantena DMARC?

L'attuazione di una politica di quarantena DMARC comporta un processo collaborativo tra i record DNS pubblicati dal mittente e l'agente di trasferimento della posta del destinatario.

1. Pubblicazione della politica: il proprietario del dominio pubblica nel proprio DNS un record TXT DMARC contenente il tag p=quarantine.
2. Verifica dell'autenticazione: quando riceve un'e-mail che dichiara di provenire da quel dominio, il server di posta del destinatario verifica le firme SPF e DKIM.
3. Allineamento DMARC: il destinatario verifica l'allineamento DMARC. Il dominio utilizzato per la convalida di SPF o DKIM deve corrispondere al dominio presente nell'indirizzo "Da" visibile.
4. Applicazione della politica: se sia l'SPF che il DKIM falliscono, oppure se superano il controllo ma non corrispondono al dominio "Da", il controllo DMARC fallisce. Il server ricevente consulta il record DMARC, rileva che p=quarantine ed esegue l'azione richiesta.
5. Generazione dei report: il server ricevente genera report XML aggregati che descrivono in dettaglio i risultati dell'autenticazione e li invia agli indirizzi e-mail specificati nel tag "rua" del record DMARC.

Dove finiscono le e-mail in quarantena?

Quando una politica DMARC impone a un destinatario di mettere in quarantena un’e-mail, la destinazione esatta dipende dal modo in cui il provider di posta elettronica ricevente ha implementato le proprie procedure. La quarantena è una raccomandazione e i provider la gestiscono in modi diversi.

• Google Workspace / Gmail: le e-mail in quarantena vengono solitamente recapitate direttamente nella cartella "Spam" dell'utente. Spesso viene visualizzato un banner di avviso che indica all'utente che non è stato possibile verificare l'e-mail.
• Microsoft 365 / Outlook: Microsoft gestisce la quarantena in modo diverso a seconda delle impostazioni dell'organizzazione. Per impostazione predefinita, i messaggi in quarantena vengono spesso spostati nella cartella "Posta indesiderata" dell'utente. Gli amministratori possono inoltre configurare Microsoft Defender per Office 365 in modo da instradare questi messaggi verso un portale di quarantena centralizzato di Microsoft 365, dove un amministratore dovrà esaminarli e sbloccarli prima che l'utente finale possa accedervi.
• Yahoo: Analogamente a Google, Yahoo di norma reindirizza le e-mail che non superano il controllo DMARC, in base a una politica di quarantena, nella cartella “Spam” dell’utente.

Un'analisi dettagliata del funzionamento della politica di quarantena DMARC

L'efficacia della politica di quarantena dipende in larga misura da un monitoraggio e da un adeguamento costanti. Quando si passa a uno stato di quarantena, è necessario analizzare attivamente i report XML generati dai ricevitori.

Questi report evidenziano quali indirizzi IP mittenti non superano l'autenticazione. Probabilmente individuerete mittenti di terze parti legittimi, come il vostro CRM, le piattaforme di marketing o i sistemi di ticket di assistenza, che sono stati configurati in modo errato. La fase di quarantena vi consente di identificare queste fonti, correggere le loro configurazioni SPF o DKIM e verificare le modifiche nei report successivi, senza l'impatto catastrofico derivante dal respingere immediatamente le loro e-mail.

Importanza della politica di quarantena DMARC

La politica di quarantena (p=quarantine) funge da rete di sicurezza fondamentale. Passare direttamente da una fase di monitoraggio all'applicazione completa della politica è estremamente rischioso. Se sono presenti fonti di invio legittime non ancora individuate, una politica di rifiuto causerà il mancato recapito di quelle e-mail importanti senza che ciò venga notato, con conseguenti interruzioni delle operazioni aziendali.

La quarantena ti consente di verificare l'efficacia delle tue misure di autenticazione delle e-mail in un ambiente reale. Inizia a proteggere la reputazione del tuo dominio allontanando le e-mail contraffatte dalla posta in arrivo, ma è al contempo sufficientemente tollerante da consentire al destinatario di recuperare, se necessario, un'e-mail legittima configurata in modo errato. Ciò contribuisce a infondere fiducia prima di compiere il passo definitivo verso il rifiuto.

Esempi di quarantena DMARC

Ecco alcuni esempi comuni di come potrebbe presentarsi un record DMARC con una politica di quarantena. È possibile utilizzare il nostro generatore di record DMARC per crearli e il nostro strumento di verifica dei record DMARC per convalidarli una volta pubblicati.

v=DMARC1; p=quarantine; rua=mailto:[email protected];

Una politica di quarantena standard che invia rapporti aggregati a un indirizzo specificato.

v=DMARC1; p=quarantine; t=y; rua=mailto:[email protected];

Una politica che utilizza il nuovo tag di test DMARC (t=y). Questo indica ai destinatari di trattare le e-mail non conformi come se la politica fosse di un livello inferiore (solo monitoraggio) mentre si verifica la configurazione.

v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected];

Una politica che applica la quarantena al dominio principale, ma respinge le e-mail non valide che dichiarano di provenire da sottodomini.

Il tag pct=: Quanta posta dovresti mettere in quarantena?

Storicamente, il tag "pct" veniva utilizzato per implementare l'applicazione delle regole in modo graduale. Anziché applicare una politica a tutte le e-mail non conformi, i proprietari dei domini potevano specificare una percentuale.

La best practice prevedeva un'implementazione graduale, partendo da una percentuale bassa, ad esempio pct=10. Gli amministratori avrebbero monitorato i report aggregati per valutarne l'impatto. Man mano che acquisivano la certezza che le e-mail legittime superassero l'autenticazione, avrebbero aumentato la percentuale per fasi (ad esempio, a 25, 50 e 75) fino a raggiungere il 100. Solo a quel punto avrebbero preso in considerazione il passaggio a una politica di rifiuto. Un valore pct permanentemente basso lascia una parte significativa della posta contraffatta non soggetta a controlli, vanificando lo scopo del DMARC.

Aggiornamento importante: la dismissione di pct

La specifica DMARC è stata formalmente aggiornata con la pubblicazione di RFC 9989. In base a questo nuovo standard, il pct Il tag è deprecato. L'esperienza ha dimostrato che il tag veniva implementato in modo non uniforme dai destinatari e spesso utilizzato in modo improprio come rete di sicurezza permanente. DMARCbis sostituisce il pct sostituire con un tag di verifica binario più semplice: t=y per la modalità di prova oppure t=n ai fini dell'applicazione.

• t=y: Indica ai destinatari di trattare un’e-mail non recapitabile come se la politica fosse di un livello inferiore. Ad esempio, se si pubblica una politica di quarantena con t=y, I ricevitori lo considereranno solo come monitoraggio. Ciò sostituisce di fatto le implementazioni frazionarie.
• t=n: Indica al destinatario di applicare integralmente la politica. Questo è il comportamento predefinito se il tag viene omesso.

Se sei Configurazione di DMARC oggi dovresti evitare il pct tag e prepararsi alla conformità DMARCbis utilizzando il tag di test.

Lettura consigliata: Gli RFC 9989, 9990 e 9991 relativi a DMARC sostituiscono l'RFC 7489

Quando utilizzare p=quarantine (e quando passare oltre)

È consigliabile implementare una politica di quarantena solo dopo aver dedicato tempo sufficiente all'analisi dei rapporti mentre la politica era impostata su p=none. Il segnale che indica di passare alla quarantena è quando i rapporti mostrano che tutte le fonti di invio note e legittime superano costantemente il test di allineamento DMARC. Se la politica DMARC rimane disabilitata, si rimane esposti al rischio di spoofing.

La quarantena rappresenta la fase intermedia fondamentale tra il monitoraggio e l'applicazione delle misure. Tuttavia, non è consigliabile lasciare i messaggi in quarantena a tempo indeterminato. Il rischio di mantenere i messaggi in quarantena è che le e-mail contraffatte finiscano comunque nella cartella dello spam del destinatario, dove un utente potrebbe aprirle accidentalmente o interagire con link dannosi.

Il segnale che indica che sei pronto a passare da p=quarantena a p=rifiuto è quando i tassi della cartella di quarantena diminuiscono e i report aggregati mostrano una conformità vicina al 100% per i tuoi mittenti autorizzati. Il rifiuto dei messaggi dovrebbe essere un evento raro per il traffico legittimo prima di effettuare il passaggio.

p=nessuna vs p=quarantena vs p=rifiuto

Le tre politiche DMARC rappresentano diverse fasi del percorso verso la sicurezza della posta elettronica. Una politica con impostazione p=none serve esclusivamente a monitorare il traffico, mentre p=quarantine offre una via di mezzo che invia le email non conformi alla cartella dello spam. L'obiettivo finale è p=reject, che blocca le email fraudolente prima che vengano consegnate.

Lettura consigliata: scopri di più sulle politiche DMARC.

Domande frequenti

Cosa significa "p=quarantine" in un record DMARC?

Indica ai destinatari delle e-mail di considerare con sospetto i messaggi che non superano l'autenticazione DMARC. In genere, i destinatari gestiscono questa situazione smistando le e-mail non conformi nella cartella dello spam o della posta indesiderata, anziché nella casella di posta in arrivo principale.

Dove finiscono le e-mail messe in quarantena da DMARC?

A seconda del servizio di posta elettronica, come Gmail o Yahoo, questi messaggi finiscono solitamente nella cartella dello spam o della posta indesiderata del destinatario. In alcuni ambienti aziendali, come Microsoft 365, potrebbero invece essere indirizzati a un portale di quarantena amministrativo di Microsoft 365.

La quarantena DMARC è la stessa cosa del filtro antispam?

No. Il filtro antispam valuta il contenuto e la reputazione del mittente di un’e-mail per stabilire se si tratti di un messaggio indesiderato. La quarantena DMARC è un’azione specifica intrapresa perché l’e-mail non è riuscita a dimostrare, tramite verifica crittografica, di essere stata autorizzata dal proprietario del dominio.

È meglio usare p=quarantine o p=reject?

È consigliabile iniziare con la quarantena per testare in modo sicuro la propria configurazione. L'obiettivo finale dovrebbe essere l'adozione di una politica di rifiuto che garantisca una protezione completa contro lo spoofing.

Quale percentuale devo impostare con il tag pct?

In passato, gli amministratori iniziavano con un valore basso, ad esempio pct=10, per poi aumentarlo gradualmente fino a 100. Il tag pct è deprecato nella nuova specifica DMARCbis (RFC 9989) ed è consigliabile passare all'uso del nuovo tag di test (t=y).

Per quanto tempo devo rimanere in “p=quarantena” prima di passare allo stato “reject”?

È necessario rimanere in quarantena finché i rapporti aggregati non mostreranno in modo costante che tutte le fonti di posta elettronica legittime superano l'autenticazione. Ciò richiede in genere da alcune settimane a qualche mese di monitoraggio e messa a punto.

• Informazioni su
• Ultimi messaggi

Yunes Tarada

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.

Ultimi messaggi di Yunes Tarada (vedi tutti)

• Guida alla configurazione di Happyfox DKIM, DMARC e SPF - 13 agosto 2026
• Che cos’è la quarantena DMARC? Spiegazione della politica p=quarantine - 12 agosto 2026
• Guida alla configurazione di Twikey SPF, DKIM e DMARC - 11 agosto 2026