DMARC: cos’è, come funziona e come configurarlo nel 2026

DMARC (Domain-based Message Authentication, Reporting and Conformance) è uno standard di autenticazione email che permette al proprietario di un dominio di verificare l’allineamento delle email con SPF e DKIM, definire come trattare i messaggi che non superano i controlli e ricevere report sull’utilizzo del dominio. L’obiettivo principale è ridurre lo spoofing diretto del dominio e rendere più difficile l’impersonificazione del brand tramite email non autorizzate.

Dal maggio 2026 il riferimento tecnico corrente è RFC 9989, che ha sostituito RFC 7489. I formati di reporting sono oggi descritti anche nelle RFC 9990, per i report aggregati, e RFC 9991, per i failure report. Per un’azienda questo aggiornamento non cambia il principio operativo di DMARC, ma rende importante evitare esempi e tag ormai storici, come pct.

Cos’è DMARC e cosa protegge realmente

DMARC agisce sul dominio visibile nel campo From delle email. Quando un messaggio viene ricevuto, il server destinatario verifica i risultati di SPF e DKIM e controlla se almeno uno dei domini autenticati è allineato con il dominio mostrato al destinatario. Se l’allineamento fallisce, viene applicata la policy pubblicata dal proprietario del dominio.

DMARC è quindi particolarmente efficace contro lo spoofing del dominio protetto. Non è invece un sostituto di un gateway di Email Security, di Microsoft Defender for Office 365, dell’MFA o della formazione degli utenti: un attaccante può utilizzare domini simili, account realmente compromessi o infrastrutture legittime. Per questo DMARC va inserito in una strategia di sicurezza email multilivello.

Per approfondire il rischio lato utente e gli attacchi che superano i soli controlli di autenticazione, consulta il servizio di Phishing Simulation e la guida alla sicurezza Microsoft 365 per PMI.

Come funziona DMARC: autenticazione e allineamento

Il flusso DMARC può essere sintetizzato in quattro passaggi:

1. Il server ricevente esegue i controlli SPF e DKIM sul messaggio.
2. Verifica l’allineamento tra il dominio nel campo From e il dominio autenticato da SPF e/o DKIM.
3. Determina l’esito DMARC. È sufficiente che almeno uno tra SPF o DKIM superi il controllo e sia correttamente allineato.
4. Se DMARC fallisce, il receiver considera la policy pubblicata dal dominio e, quando supportato, genera i report previsti.

SPF, DKIM e DMARC: come lavorano insieme

SPF, DKIM e DMARC svolgono funzioni differenti e complementari. SPF autorizza le sorgenti di invio associate al dominio dell’envelope sender. DKIM applica una firma crittografica e associa il messaggio a un dominio di firma. DMARC verifica l’allineamento con il dominio mostrato nel campo From e pubblica una policy per i messaggi che non risultano conformi.

Una configurazione aziendale robusta utilizza normalmente sia SPF sia DKIM, anche se il superamento di DMARC richiede l’allineamento di almeno uno dei due meccanismi. Questa impostazione è inoltre coerente con i requisiti applicati ai bulk sender da Gmail, Yahoo e dai servizi consumer Microsoft.

Il record DMARC: struttura e tag principali nel 2026

Il record DMARC è un record DNS TXT pubblicato sotto _dmarc.dominio.tld. Una configurazione iniziale può essere molto semplice:

I tag più importanti da conoscere sono:

• v: versione del protocollo; il valore è DMARC1.
• p: policy richiesta per il dominio: none, quarantine o reject.
• rua: URI a cui inviare i report aggregati.
• ruf: URI per eventuali failure report message-specific; il supporto dipende dal receiver.
• sp: policy applicabile ai sottodomini quando prevista.
• adkim: modalità di allineamento DKIM, relaxed o strict.
• aspf: modalità di allineamento SPF, relaxed o strict.
• fo: opzioni relative alla generazione dei failure report quando ruf è presente.
• t: test mode introdotto da RFC 9989. Il valore y segnala che il dominio sta testando la policy indicata.
• np: policy richiesta per sottodomini non esistenti, prevista dal nuovo standard.

Il vecchio tag pct, usato per applicare la policy solo a una percentuale del traffico, è classificato come storico dalla RFC 9989 e non deve essere proposto come elemento corrente di una nuova implementazione.

Policy DMARC: p=none, p=quarantine e p=reject

La policy p definisce il trattamento richiesto per i messaggi che falliscono DMARC:

• p=none: modalità di monitoraggio. Non richiede quarantine o reject e viene spesso usata nella fase iniziale per raccogliere dati.
• p=quarantine: richiede un trattamento più restrittivo dei messaggi non conformi, normalmente associato a spam/junk o controlli aggiuntivi secondo le decisioni del receiver.
• p=reject: richiede il rifiuto dei messaggi che falliscono DMARC ed è il livello di enforcement più forte.

p=none non è tecnicamente un passaggio obbligatorio del protocollo, ma per domini aziendali già in produzione è spesso il punto di partenza operativo più prudente. Prima dell’enforcement devono essere identificate tutte le sorgenti legittime: Microsoft 365, applicazioni SaaS, sistemi ERP, CRM, piattaforme marketing, ticketing, scanner, applicazioni interne e provider esterni.

Esempi di record DMARC aggiornati

Esempio di monitoraggio:

Esempio di enforcement sul dominio e sui sottodomini:

Esempio di test mode secondo RFC 9989:

Le configurazioni reali devono essere costruite sulla base del mail flow effettivo. Non è corretto imporre automaticamente alignment strict o failure reporting a tutti i domini senza aver verificato servizi, forwarding, mailing list e provider utilizzati.

Anatomia completa di un record DMARC: guida ai tag DNS

Per una configurazione professionale, è necessario inserire un record di tipo TXT nel DNS del proprio dominio. Ogni tag all'interno della stringa ha un ruolo specifico nella definizione del comportamento del protocollo:

Esempio reale di record DMARC commentato

Di seguito riportiamo un esempio di configurazione completa e sicura, ideale per un'azienda che ha già completato la fase di test e vuole proteggere attivamente il proprio dominio:

nexsys.it. IN TXT "v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc-rua@nexsys.it; ruf=mailto:dmarc-ruf@nexsys.it; sp=reject; adkim=s; aspf=s; fo=1"

Questo specifico record indica ai server riceventi di mettere in quarantena (spam) il 100% delle email che falliscono l'allineamento sul dominio principale, mentre applica il blocco totale (reject) per i sottodomini. Inoltre, abilita l'invio di report statistici e forensi agli indirizzi specificati per un monitoraggio costante.

Come configurare DMARC in azienda

1. Mappare tutti i domini e sottodomini utilizzati per l’invio.
2. Inventariare ogni sorgente legittima: Microsoft 365, Google Workspace, CRM, ERP, marketing automation, help desk, appliance, applicazioni e fornitori.
3. Verificare SPF e DKIM per ciascuna sorgente e correggere errori di autenticazione o alignment.
4. Pubblicare il record DMARC e attivare la raccolta dei report aggregati.
5. Analizzare le sorgenti osservate e distinguere traffico autorizzato, configurazioni errate e utilizzi non riconosciuti.
6. Correggere le sorgenti legittime e passare all’enforcement quando il traffico atteso è correttamente allineato.
7. Mantenere il monitoraggio nel tempo, perché nuovi servizi SaaS o modifiche DNS possono introdurre regressioni.

Report DMARC: cosa mostrano e perché serve una piattaforma

I report aggregati DMARC permettono di osservare quali sorgenti stanno inviando per conto del dominio, i volumi rilevati e gli esiti di autenticazione e alignment. I dati sono tecnici e vengono ricevuti in formati strutturati: su domini con numerosi servizi di invio, interpretarli manualmente diventa rapidamente inefficiente.

Una piattaforma specializzata consente di normalizzare i report, classificare le sorgenti e seguire nel tempo la percentuale di traffico correttamente autenticato. Nexsys utilizza dmarcian come soluzione di riferimento per questo scenario.

DMARC, Gmail, Yahoo e Outlook.com

I principali provider hanno rafforzato i requisiti di autenticazione per i mittenti ad alto volume. Gmail richiede SPF, DKIM e DMARC per i domini che inviano più di 5.000 messaggi al giorno verso account Gmail personali. Yahoo richiede ai bulk sender SPF, DKIM e una policy DMARC valida almeno p=none. Microsoft applica requisiti analoghi ai mittenti che raggiungono almeno 5.000 messaggi verso i propri servizi consumer e può rifiutare messaggi non conformi con errore 550 5.7.515.

Questi requisiti non significano che DMARC garantisca da solo la deliverability. Reputazione, complaint rate, qualità delle liste, contenuto, TLS, DNS e pratiche di invio restano determinanti.

DMARC e NIS2: relazione corretta

DMARC non è nominato dalla NIS2 come controllo obbligatorio universale. Può però contribuire a una strategia di gestione del rischio cyber, in particolare per la protezione del canale email, del dominio aziendale e dei processi esposti a spoofing e impersonificazione. La conformità normativa deve essere valutata sul complesso delle misure tecniche e organizzative adottate dall’organizzazione.

Per una valutazione più ampia della postura tecnica puoi consultare la consulenza cybersecurity Nexsys oppure, per ambienti cloud Microsoft, il Microsoft 365 Security Assessment.

FAQ DMARC

Cos’è DMARC e a cosa serve?

DMARC è uno standard di autenticazione email che verifica l’allineamento del dominio visibile nel campo From con SPF e/o DKIM, permette di pubblicare una policy per i messaggi non conformi e abilita il reporting sull’utilizzo del dominio.

DMARC funziona senza SPF e DKIM?

DMARC dipende dai risultati di SPF e DKIM. Per superare DMARC è necessario che almeno uno dei due meccanismi passi e sia correttamente allineato con il dominio nel campo From.

Qual è la differenza tra p=none, p=quarantine e p=reject?

p=none è usato per il monitoraggio, p=quarantine richiede un trattamento più restrittivo dei messaggi non conformi e p=reject richiede il rifiuto dei messaggi che falliscono DMARC.

Il tag pct è ancora valido nel 2026?

RFC 9989 classifica pct come storico. Il nuovo standard introduce il tag t per indicare il test mode della policy.

DMARC protegge da tutto il phishing?

No. DMARC riduce soprattutto lo spoofing diretto del dominio protetto. Non blocca automaticamente domini simili, account compromessi o messaggi malevoli inviati da infrastrutture legittime.

DMARC è obbligatorio per Gmail, Yahoo e Microsoft?

I principali provider applicano requisiti DMARC specifici ai mittenti ad alto volume. Gmail e i servizi consumer Microsoft usano una soglia di 5.000 messaggi giornalieri; Yahoo prevede requisiti dedicati ai bulk sender.

Quanto tempo serve per arrivare a p=reject?

Dipende dal numero di domini e sorgenti di invio. Un ambiente semplice può richiedere poco tempo, mentre organizzazioni con molte piattaforme SaaS, sistemi legacy e provider esterni necessitano di una fase di osservazione e remediation più articolata.