Risposta rapida
Come configuro DMARC per il mio dominio?
Pubblica un record TXT su _dmarc.tuodominio con il testo v=DMARC1; p=none; rua=mailto:you@yourdomain, leggi i report aggregati per circa un mese, poi alza la policy a quarantine e infine a reject. DMARC è definito dalla RFC 9989 da maggio 2026. Postelva ospita il record nel suo editor DNS gratuito.
Le tre policy DMARC e che cosa fa ciascuna
| Politica | Record | Effetto su un messaggio che non supera DMARC | Quando usarla |
|---|---|---|---|
| Monitor | v=DMARC1; p=none; rua=mailto:[email protected] | Consegnato come sempre; i report ti vengono inviati | Prime settimane, per vedere ogni mittente |
| Quarantine | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Trattato come sospetto, di solito inviato nello spam | Dopo che SPF e DKIM sono superati su tutta la tua posta legittima |
| Reject | v=DMARC1; p=reject; rua=mailto:[email protected] | Rifiutato dal server ricevente | Quando i report non mostrano più alcun errore legittimo |
Configura DMARC in sei passaggi
Conferma prima SPF e DKIM
DMARC richiede che almeno uno dei due sia superato e coincida con il tuo dominio From. Pubblica entrambi prima di DMARC, seguendo le guide su SPF e DKIM.
Scegli una casella per i report
Crea un indirizzo come dmarc@tuodominio. La RFC 9989 dice che il titolare deve predisporre una casella per ricevere e analizzare i report aggregati.
Pubblica il record di monitoraggio
Aggiungi un record TXT con host _dmarc e valore v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.
Leggi i report per circa un mese
I report arrivano circa una volta al giorno dai destinatari che li inviano. Cerca la posta legittima che non supera l'allineamento SPF e DKIM e correggi quei mittenti.
Passa a quarantine
Cambia p=none in p=quarantine. Mantienilo per un periodo simile e confronta nei report come sono stati trattati i messaggi.
Passa a reject, oppure fermati a quarantine
Passa a p=reject quando i report sono puliti. Se scrivi a mailing list da questo dominio, resta a quarantine.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Che cosa contiene un record DMARC?
Un record DMARC è un record TXT su _dmarc.tuodominio che inizia con v=DMARC1 ed elenca tag separati da punto e virgola. Il tag di versione viene per primo e distingue maiuscole e minuscole. La RFC 9989 definisce questi tag: p (policy per il dominio), sp (policy per i sottodomini esistenti), np (policy per i sottodomini inesistenti), adkim e aspf (allineamento, r per relaxed o s per strict, relaxed per impostazione predefinita), rua (indirizzi dei report aggregati), ruf (indirizzi dei report di errore), fo (opzioni di errore), t (modalità di test, y o n) e psd.
Se p manca, il destinatario tratta la policy come none. Se sp manca, la policy p copre i sottodomini. Se rua manca, non vengono prodotti report aggregati. Un record minimo utile ha quindi tre parti: la versione, una policy e un indirizzo per i report.
Il tag pct, che molte guide più vecchie mostrano ancora, è stato rimosso dalla RFC 9989 perché veniva applicato con precisione raramente, tranne a 0 e 100. Lo sostituisce il tag t: t=y si comporta come pct=0 e t=n come pct=100, e n è il valore predefinito. Elimina pct dai vecchi record. Il contesto più ampio è in SPF, DKIM e DMARC a confronto.
Che cosa significa allineamento in DMARC?
Allineamento significa che il dominio autenticato da SPF o DKIM coincide con il dominio nell'indirizzo From visibile. In modalità relaxed, quella predefinita, i due devono avere solo lo stesso dominio organizzativo, quindi mail.example.com si allinea con example.com. In modalità strict devono essere identici. La RFC 9989 osserva che quasi tutti i titolari di dominio ritengono sufficiente l'allineamento relaxed.
Un messaggio supera DMARC quando SPF o DKIM è superato ed è allineato. Basta uno dei due. Un provider di posta come Proton Mail o Fastmail firma con il tuo dominio tramite i record CNAME DKIM, quindi l'allineamento è garantito senza lavoro aggiuntivo. La trappola è un servizio di terze parti che firma con il proprio dominio: il suo DKIM è superato ma non è allineato finché non configuri per esso un dominio di firma personalizzato.
La RFC 9989 trova il dominio organizzativo tramite una ricerca lungo l'albero DNS, con al massimo otto interrogazioni, invece di una lista dei suffissi pubblici. Per un dominio ordinario su .com o .me questo non cambia nulla di ciò che devi fare.
Per quanto tempo devo restare su p=none?
Resta su p=none per almeno un mese, poi su p=quarantine per un periodo simile, prima di p=reject. È l'ordine consigliato dalla RFC 9989 nelle sue indicazioni di adozione e corrisponde alle pagine di aiuto dei provider. Mailbox.org inizia il suo record di esempio con p=none e avverte che una policy severa impostata troppo presto può far rimbalzare posta legittima. Proton consiglia p=quarantine e il passaggio a p=reject quando la posta legittima è superata.
Secondo la lettura di Postelva del 12 novembre 2026 delle indicazioni DMARC dei 3 provider che le pubblicano (Proton Mail, Mailbox.org e Mailfence), 2 iniziano con p=none e 1 raccomanda p=quarantine.
Per p=reject valgono due cautele. La RFC 9989 dice che un dominio che lo usa non deve fare affidamento solo su SPF e deve firmare con DKIM, perché SPF si rompe con l'inoltro. Dice anche che i domini i cui utenti scrivono a mailing list non dovrebbero pubblicare affatto p=reject. Le liste spesso modificano i messaggi, il che rompe la firma.
Dove vanno i report DMARC e che cosa mostrano?
I report aggregati vanno all'indirizzo mailto: in rua, di solito una volta al giorno da ciascun destinatario, ed elencano le fonti che hanno inviato posta con il tuo dominio nella riga From. La RFC 9989 richiede ai destinatari di supportare gli indirizzi mailto: e raccomanda di inviare i report aggregati almeno ogni 24 ore. Il reporting aggregato è definito nella RFC 9990.
I report di errore, richiesti con ruf, sono copie per singolo messaggio. Molti destinatari li trattengono o li oscurano per motivi di privacy, quindi non farci affidamento. Se l'indirizzo rua si trova fuori dal tuo dominio, il titolare di quell'altro dominio deve autorizzarlo con un record TXT su tuodominio._report._dmarc.altrodominio contenente v=DMARC1;, una regola che impedisce l'abuso di caselle di terzi. Per un piccolo dominio personale l'elenco delle fonti è breve: il tuo provider e poco altro.
Per leggere ciò che il tuo DNS pubblica prima e dopo ogni fase, usa i comandi per verificare i record MX, SPF, DKIM e DMARC.
Il mio dominio personale ha bisogno di DMARC?
Sì, per qualsiasi dominio che invia posta: costa un record TXT e blocca i messaggi contraffatti che usano il tuo nome. Google richiede DMARC, con una policy none sufficiente, ai mittenti oltre i 5,000 messaggi al giorno verso account Gmail, e Microsoft applica la stessa soglia a Outlook.com. Una casella personale sta ben al di sotto di quei limiti. Il record dice comunque ai destinatari che cosa vuoi che si faccia con una contraffazione.
Per un dominio che non invia nulla, imposta subito p=reject con SPF -all e un null MX. Postelva offre un modello «nessuna email» per quel caso. Per un dominio con una casella di posta, inizia da none. Il lato del trasporto della stessa protezione, la cifratura tra server, è trattato in come configurare MTA-STS e TLS-RPT.
Una definizione citabile: DMARC è la policy DNS che dice ai destinatari che cosa fare con la posta i cui risultati SPF e DKIM non sono allineati con il dominio From, e dove inviare i report in merito.
Domande sulla configurazione di DMARC
La RFC 9989 impone p=reject?
No. Lo standard definisce tre policy e lascia la scelta al titolare del dominio. Consiglia un percorso graduale e sconsiglia p=reject per i domini i cui utenti scrivono a mailing list.
La RFC 9989 modifica il mio record DMARC esistente?
I record iniziano ancora con v=DMARC1, quindi un record funzionante continua a funzionare. Il tag ri è stato eliminato, pct è stato rimosso e sono stati aggiunti t, np e psd.
Che cosa succede se pubblico p=reject troppo presto?
La posta legittima che non supera l'allineamento, come uno strumento di newsletter dimenticato, viene rifiutata dai destinatari. I report a p=none servono proprio a trovare prima quei mittenti.
Posso usare una casella gratuita per i report?
Sì, qualsiasi casella che leggi. Un indirizzo separato o un alias tiene i file dei report giornalieri fuori dalla tua casella principale.
Quanti record DMARC può avere un dominio?
Uno per nome, su _dmarc.tuodominio. I sottodomini possono avere un proprio record o ereditare la policy del dominio padre tramite sp.
In sintesi
- DMARC è un record TXT su _dmarc.tuodominio che inizia con v=DMARC1.
- La RFC 9989 (maggio 2026) è la specifica attuale; rende obsoleta la RFC 7489 e rimuove pct.
- Inizia da p=none con un indirizzo rua, leggi i report per circa un mese.
- Poi p=quarantine per un periodo simile, poi p=reject.
- Un messaggio supera DMARC quando SPF o DKIM è superato e si allinea con il dominio From; l'allineamento relaxed è il predefinito.
- Un dominio con p=reject non deve fare affidamento solo su SPF e non dovrebbe essere usato con le mailing list.
- Postelva ospita il record nel DNS gratuito; un .com costa 12,49 USD/anno ogni anno.
Fonti (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (consultato il 2026-11-12)
- RFC 7489, DMARC (obsoleted) — RFC Editor (consultato il 2026-11-12)
- SPF, DKIM and DMARC for a custom domain — Mailbox.org (consultato il 2026-11-12)
- Custom domain and anti-spoofing — Proton (consultato il 2026-11-12)
- Email sender guidelines — Google Workspace Admin Help (consultato il 2026-11-12)
- Strengthening email security: new requirements for high-volume senders — Microsoft Tech Community (consultato il 2026-11-12)