Come implementare DMARC: una guida passo passo all'implementazione

L'e-mail rimane ancora oggi lo strumento principale a cui ricorre la maggior parte degli hacker quando vuole spacciarsi per un marchio. Se il tuo dominio non è protetto, chiunque può inviare e-mail che sembrano provenire da te, e i tuoi clienti non hanno alcun modo affidabile per distinguere le e-mail autentiche da quelle false. Imparare a implementare DMARC è il modo più diretto per colmare questa lacuna. Questa guida illustra passo dopo passo come implementare DMARC, compresa la configurazione DNS per Google Workspace, Microsoft 365, GoDaddy e Cloudflare, e come passare in modo sicuro dalla fase di monitoraggio a quella di applicazione completa.

È possibile implementare DMARC manualmente modificando autonomamente i propri record DNS, oppure automatizzare l'intero processo con PowerDMARC e gestire tutte le politiche da un'unica dashboard. Questa guida illustra in modo esaustivo la procedura manuale e evidenzia i casi in cui l'automazione consente di risparmiare tempo.

Articolo correlato: Guida alla configurazione di DMARC

Cosa occorre prima di implementare DMARC

DMARC non autentica la posta di per sé. Si basa su SPF e DKIM e verifica che almeno uno dei due superi il controllo e corrisponda al dominio indicato nell’indirizzo “Da”. Per questo motivo, prima di pubblicare una politica è necessario che siano soddisfatte tre condizioni.

• Accesso al proprio DNS: il record DMARC va pubblicato come record TXT del DNS, pertanto è necessario disporre delle credenziali di accesso alla piattaforma su cui viene gestito il proprio DNS, che si tratti del proprio registrar, di un provider di hosting o di un servizio come Cloudflare.
• Un record SPF funzionante: l'SPF elenca i server e i servizi autorizzati a inviare e-mail per il tuo dominio. Se invii e-mail tramite Google Workspace, ad esempio, il tuo record include: _spf.google.com.
• Firma DKIM abilitata: DKIM aggiunge una firma crittografica alla posta in uscita, in modo che i destinatari possano verificare che non sia stata alterata durante il transito e che provenga effettivamente dal tuo dominio.

Insieme, questi strumenti ti consentono di implementare SPF, DKIM e DMARC come stack di autenticazione completo. Una volta che SPF e DKIM avranno firmato correttamente la tua posta per un paio di giorni, sarai pronto per aggiungere DMARC.

Come implementare DMARC passo dopo passo

Il processo di base è lo stesso su tutte le piattaforme. Ecco i sette passaggi che ti consentono di passare da zero a una politica monitorata e applicata.

Fase 1: Verificare che SPF e DKIM siano attivi

Verifica che il tuo record SPF esista e includa tutti i servizi che inviano posta per tuo conto, e che DKIM sia abilitato e stia effettuando la firma. Puoi verificare entrambi gli aspetti utilizzando i nostri strumenti SPF Checker e DKIM Checker. Assicurati che la firma avvenga senza problemi per almeno 48 ore prima di attivare DMARC, in modo che i destinatari valutino messaggi già autenticati anziché record di cui sono appena venuti a conoscenza.

Fase 2: Decidere dove saranno archiviati i report

DMARC ti invia rapporti aggregati sotto forma di file XML. Scegli una casella di posta dedicata o un gruppo in cui raccoglierli, ad esempio [email protected], anziché indirizzarli verso una casella di posta personale dove rimarrebbero accumulati senza essere letti. Questo indirizzo va inserito nel tag "rua" del tuo record.

Fase 3: Genera il tuo record DMARC

Crea il record utilizzando il nostro strumento gratuito DMARC Record Generator.

Un record per principianti si presenta così:

v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r

Ecco a cosa serve ogni tag:

• v=DMARC1 indica la versione e deve sempre essere indicato per primo.
• p=none indica ai ricevitori di non intraprendere ancora alcuna azione e di limitarsi a inviare rapporti. Questa è la tua politica di monitoraggio.
• rua= è il luogo in cui vengono consegnati i rapporti aggregati.
• I parametri adkim=r e aspf=r impostano l'allineamento "relaxed", che consente ai sottodomini di allinearsi con il dominio principale. L'impostazione "relaxed" è adatta alla maggior parte delle configurazioni; l'impostazione "strict" (s) richiede una corrispondenza esatta e spesso causa problemi ai mittenti di terze parti.

Una nota sui record più recenti

The pct, rf and ri tags that older guides show have been deprecated by RFC 9989, the updated DMARC standard published in May 2026. Existing records that still use them keep working, because receivers ignore unknown tags, but you should leave them out of new records. To roll out a policy gradually under the new standard, use test mode (t=y) instead of pct. More on that in the roadmap section below.

Fase 4: Pubblica il record nel tuo DNS

Aggiungi il record generato come record TXT con il nome host _dmarc (in modo che risolva in _dmarc.tuodominio.com). Incolla la stringa completa della policy nel campo "Valore" o "Contenuto" e salva. Le istruzioni specifiche per il provider sono riportate nella sezione successiva.

Passaggio 5: Verificare che il record sia attivo

La propagazione delle modifiche al DNS può richiedere da pochi minuti a 48 ore. Una volta completata la propagazione, esegui il nostro DMARC Checker per verificare che il record sia stato pubblicato correttamente e non presenti errori di sintassi.

Fase 6: Controlla e leggi i tuoi report

Una volta impostato p=none, i report aggregati iniziano ad arrivare al tuo indirizzo RUA. Questi report indicano tutte le fonti che inviano email a nome del tuo dominio e se ciascuna di esse supera i controlli SPF e DKIM. Il formato XML grezzo è di difficile lettura, pertanto PowerDMARC lo analizza trasformandolo in tabelle e grafici di facile comprensione sulla dashboard di DMARC Report Analyzer, rendendo così molto più semplice individuare eventuali problemi di deliverability e errori di autenticazione.

Fase 7: Passare alla fase di applicazione

Una volta che i tuoi report dimostrano in modo costante che tutti i tuoi mittenti legittimi superano l’autenticazione, inasprisci la politica passando da “nessuna azione” alla “quarantena” e, infine, al “rifiuto”. L’adozione di una soluzione DMARC in hosting contribuisce a semplificare e automatizzare il percorso verso l’applicazione della politica, senza compromettere la deliverability delle email. Continua a tenere attivo il DMARC Analyzer anche in seguito, in modo da individuare immediatamente qualsiasi nuova fonte di invio o tentativo di spoofing non appena si presenta.

Come implementare DMARC sui principali provider

Il record in sé è identico ovunque. Ciò che cambia è la posizione in cui va inserito e, per alcuni provider, la posizione in cui si trova il DKIM. Ecco una breve panoramica delle quattro piattaforme più comuni.

Google Workspace (Gmail)

DMARC non è configurato nella Console di amministrazione di Google. Da lì è possibile abilitare DKIM, ma il record vero e proprio viene pubblicato presso l'host del proprio dominio.

• Abilita DKIM nella Console di amministrazione alla voce App > Google Workspace > Gmail > Autenticazione e-mail.
• Verifica che il tuo record SPF includa _spf.google.com.
• Accedi al tuo provider di hosting e aggiungi un record TXT denominato _dmarc, specificando come valore la stringa della tua politica.
• Salva il record e verificalo con il DMARC Checker.

Per una guida dettagliata, consulta la guida su come configurare DMARC per Google Workspace (Gmail).

Microsoft 365 / Outlook

Microsoft gestisce il DKIM tramite due record CNAME anziché un record TXT, quindi in questo caso l'ordine dei passaggi è importante.

• Verifica che il tuo record SPF includa spf.protection.outlook.com.
• Pubblica i due record CNAME DKIM e attendi che vengano risolti.
• Abilita la firma DKIM nel portale di Microsoft Defender alla voce Posta elettronica e collaborazione > Criteri e regole > Criteri relativi alle minacce > DKIM. Attiva l'opzione solo dopo che i record CNAME si sono propagati, poiché farlo troppo presto genera un errore di verifica.
• Aggiungi il record TXT DMARC denominato _dmarc presso il tuo provider DNS.
• Verifica il record con il DMARC Checker.

Per una guida dettagliata, consulta la guida su come configurare DMARC per Microsoft 365.

GoDaddy

• Accedi a GoDaddy e apri " I miei prodotti".
• Seleziona " DNS " o " Gestisci DNS " per il tuo dominio.
• Nella sezione "Record", fare clic su "Aggiungi" e selezionare "TXT " come tipo.
• Inserisci _dmarc come nome e incolla la tua politica nel campo del valore.
• Salva e attendi fino a 48 ore affinché le modifiche vengano applicate.

Se esiste già un record DMARC, modificarlo anziché aggiungerne un secondo, poiché ogni dominio deve averne esattamente uno.

Per una guida dettagliata, consulta la guida su come configurare DMARC su GoDaddy.

Cloudflare

• Accedi alla dashboard di Cloudflare e seleziona il tuo dominio.
• Apri la scheda DNS e fai clic su “Aggiungi record”.
• Seleziona TXT come tipo e inserisci _dmarc come nome.
• Incolla la tua politica nel campo del contenuto e salva.

La propagazione su Cloudflare è solitamente rapida, spesso inferiore ai cinque minuti.

Per una guida dettagliata, consulta la guida su come configurare DMARC per Cloudflare.

Implementazione DMARC completata. E adesso?

La pubblicazione del record è solo l'inizio, non la fine. Il modo più sicuro per arrivare a p=reject è un'implementazione graduale, che consenta di dedicare a ogni fase un tempo sufficiente per il monitoraggio, in modo da individuare i mittenti legittimi prima che vengano bloccati.

Ai sensi della RFC 9989, il vecchio approccio che prevedeva un aumento graduale del tag pct da 25 a 100 è stato abbandonato. Se si desidera testare una politica più rigorosa senza ancora intervenire in caso di errori, è necessario pubblicare la politica di destinazione con il tag test-mode impostato su t=y, esaminare i rapporti e, una volta pronti ad applicare effettivamente la politica, rimuovere il tag o impostare t=n.

Migliori pratiche di implementazione del DMARC

• Monitorare prima di applicare le regole: non passare mai direttamente al rifiuto. Dedicare del tempo effettivo al valore p=none, in modo da individuare prima tutti i mittenti legittimi.
• Controlla l'allineamento, non limitarti a valutare se il test è superato o meno: un mittente può superare i controlli SPF o DKIM e comunque non superare il DMARC se il dominio autenticato non corrisponde al tuo dominio "Da". I report ti mostrano entrambi i risultati.
• Imposta una politica per i sottodomini: utilizza il tag "sp" se desideri che i sottodomini seguano una politica diversa da quella del dominio principale. In assenza di tale tag, i sottodomini ereditano la politica del dominio principale.
• Utilizza un indirizzo dedicato alle segnalazioni: evita di inviare le segnalazioni alla tua casella di posta personale, in modo che vengano effettivamente esaminate.
• Continuare il monitoraggio anche dopo l'attuazione: nel corso del tempo vengono aggiunti nuovi strumenti di marketing, sistemi CRM e fornitori, e ciascuno di essi rappresenta una nuova fonte di invio che deve essere autenticata.

Sfide comuni nell'implementazione di DMARC (e relative soluzioni)

L'implementazione di DMARC non garantisce automaticamente che tutto funzioni senza intoppi per sempre. Di seguito sono riportate alcune difficoltà comuni nell'implementazione di DMARC e alcuni semplici modi per risolverle senza bisogno di competenze tecniche:

1. Superamento del limite di 10 ricerche SPF

Causa: SPF consente un massimo di 10 ricerche DNS e il concatenamento di diverse istruzioni `include:` supera tale limite, causando un PermError.

Soluzione: ottimizza il tuo record con la soluzione SPF in hosting di PowerDMARC, in modo che venga risolto dinamicamente entro il limite previsto.

2. L'inoltro viola le regole SPF

Motivo: quando la posta viene inoltrata, l'IP del mittente cambia e l'autenticazione SPF fallisce sul lato ricevente.

Soluzione: utilizzare DKIM insieme a SPF, poiché una firma DKIM valida di solito non viene compromessa dall'inoltro e garantisce il superamento del controllo DMARC.

3. Discrepanze nell'allineamento DKIM

Motivo: un mittente di terze parti utilizza il proprio dominio per la firma anziché il tuo, pertanto la firma viene accettata ma non corrisponde al tuo dominio "Da".

Soluzione: configurare un DKIM personalizzato con il fornitore in modo che il dominio di firma corrisponda al proprio.

4. Applicare le misure troppo in fretta

Motivo: se si imposta il rifiuto prima che i propri report siano stati ripuliti, si bloccano i mittenti legittimi che non sono ancora stati confermati.

Soluzione: attenersi alla tempistica prevista e inasprire le misure solo quando i rapporti dimostreranno che tutta la posta legittima viene smistata correttamente.

5. Record SPF o DMARC multipli

Motivo: un dominio può avere solo un record SPF e un record DMARC; la presenza di record duplicati causa il fallimento dell'autenticazione.

Soluzione: unire più record SPF in uno solo e mantenere un unico record DMARC.

Implementa DMARC più rapidamente con PowerDMARC

La pubblicazione di un record è solo il primo passo. Tenersi aggiornati sui rapporti, individuare nuovi mittenti e segnalare in modo sicuro le violazioni: è qui che risiede la maggior parte del lavoro quotidiano, ed è proprio questo che PowerDMARC gestisce per te.

• I report aggregati vengono convertiti da un formato XML complesso in tabelle e grafici di facile lettura, in modo da poter comprendere a colpo d'occhio cosa sta succedendo.
• I rapporti forensi sono crittografati con la tua chiave privata, alla quale nemmeno noi possiamo accedere.
• I report PDF programmati possono essere generati automaticamente o su richiesta per essere condivisi con il proprio team.
• La piattaforma integra BIMI, MTA-STS e TLS-RPT insieme all'autenticazione standard.
• La funzione di appiattimento SPF e la gestione degli errori ti consentono di evitare il limite di 10 ricerche e altre configurazioni errate comuni.

Sei pronto a proteggere il tuo dominio? Inizia una prova gratuita o prenota una demo con PowerDMARC e attiva le misure di protezione senza bloccare nemmeno una singola email legittima.

Domande frequenti

È difficile configurare e gestire il DMARC?

Per DMARC, la configurazione iniziale è semplice: basta verificare SPF e DKIM, generare un record e pubblicare una voce TXT nel proprio DNS. La parte più complessa è la gestione continua, l’analisi dei report e l’applicazione delle misure in modo sicuro; è proprio in questo ambito che uno strumento automatizzato elimina gran parte del lavoro manuale.

In parole semplici, come funziona il DMARC?

DMARC verifica che un'e-mail in arrivo superi i controlli SPF o DKIM e che il dominio autenticato corrisponda a quello indicato nell'indirizzo del mittente. Se nessuno dei due corrisponde, DMARC indica al destinatario di monitorare, mettere in quarantena o rifiutare il messaggio, in base alla politica impostata.

Quanto tempo occorre per implementare il DMARC?

La pubblicazione di un record DMARC richiede pochi minuti, anche se la propagazione del DNS può richiedere fino a 48 ore. Il raggiungimento della piena applicazione in modo sicuro richiede solitamente da quattro a dodici settimane, poiché è necessario un periodo di monitoraggio sufficiente per confermare che tutti i mittenti legittimi vengano accettati prima di passare alla fase di rifiuto.

Posso implementare DMARC da solo?

Sì. Se disponi dell'accesso al DNS e di record SPF e DKIM funzionanti, puoi pubblicare autonomamente un record DMARC seguendo i passaggi sopra indicati. Molte organizzazioni iniziano manualmente e poi passano a uno strumento gestito man mano che il volume dei report aumenta.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Presentazione degli avvisi di dirottamento DNS: colmare le lacune che il DMARC non riesce a coprire - 27 luglio 2026
• I migliori strumenti DMARC basati sull'intelligenza artificiale nel 2026: quali fornitori utilizzano effettivamente l'IA (e in che modo) - 27 luglio 2026
• Come implementare DMARC: una guida passo passo all'implementazione - 25 luglio 2026