Verificare il record DMARC di un dominio

Cos’è DMARC, cosa significano le policy p=none, quarantine e reject, perché conta per fermare lo spoofing del tuo dominio e come arrivare a p=reject senza bloccare la posta legittima. Con un controllo gratuito e immediato di qualsiasi dominio.

STRUMENTO GRATUITO · SENZA REGISTRAZIONE

Controlla ora il DMARC del tuo dominio

Inserisci il tuo dominio e il nostro analizzatore di autenticazione della posta verifica in pochi secondi il record DMARC insieme a SPF e DKIM: se esiste, quale policy si applica e cosa resta da sistemare. L’analisi è immediata e non memorizziamo il tuo dominio.

Che cos’è DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) è uno standard di autenticazione della posta che indica ai server destinatari cosa fare con i messaggi che dichiarano di provenire dal tuo dominio ma non superano i controlli SPF o DKIM. Si pubblica come record TXT nel DNS, all’etichetta _dmarc.tuodominio.it. DMARC non sostituisce SPF e DKIM: si appoggia a loro e aggiunge due elementi chiave — l’allineamento (il dominio del "Da:" visibile deve corrispondere al dominio autenticato) e i report che ti dicono chi invia a tuo nome.

Come si presenta un record DMARC

Un record iniziale tipico è:

v=DMARC1; p=none; rua=mailto:[email protected]; fo=1

I tag più importanti: v=DMARC1 (versione, obbligatorio), p= (policy: none, quarantine o reject), rua= (indirizzo per i report aggregati giornalieri), pct= (percentuale di posta a cui si applica la policy, utile per il rilascio a fasi), sp= (policy per i sottodomini) e adkim/aspf (modalità di allineamento, r rilassata o s rigida). Senza rua perdi la visibilità dei report — proprio ciò che rende utile DMARC.

p=none, p=quarantine e p=reject spiegate

La policy p= è il cuore di DMARC:

· p=none — modalità osservazione. Non si agisce sulla posta che fallisce; si raccolgono solo report. È il punto di partenza per vedere chi invia a tuo nome senza rischiare la recapitabilità.
· p=quarantine — la posta che non supera autenticazione e allineamento è trattata come sospetta e finisce di solito nella cartella spam.
· p=reject — la posta che fallisce viene rifiutata dal server e non viene consegnata. È l’obiettivo finale: solo p=reject (o quarantine) protegge davvero il tuo dominio dallo spoofing diretto. Un p=none permanente non protegge: si limita a segnalare.

Perché DMARC è importante?

Senza una policy DMARC attiva (quarantine o reject), chiunque può inviare email con il tuo dominio nel "Da:" e impersonare il tuo marchio: phishing, frode del CEO (BEC) e truffe verso i tuoi clienti. DMARC in reject taglia alla radice lo spoofing diretto del dominio. Migliora anche la recapitabilità (le caselle si fidano di più dei domini autenticati) e dal 2024 Google e Yahoo richiedono DMARC a chi invia posta massiva (oltre 5.000 messaggi al giorno): senza, la tua posta legittima può essere rifiutata o finire in spam.

Come passare da p=none a p=reject senza bloccare la posta

La chiave è procedere a fasi, guidandoti con i report:

1. Pubblica p=none con rua e lascia arrivare 1-2 settimane di report aggregati.
2. Individua tutte le fonti legittime (il tuo server, l’ESP di marketing, la fatturazione, il CRM, gli strumenti di supporto…) e sistema SPF e/o DKIM per ciascuna finché non si allinea sotto DMARC.
3. Passa a p=quarantine, eventualmente con un pct= basso (per esempio pct=25) e aumentalo gradualmente.
4. Quando trascorrono settimane senza fallimenti legittimi, passa a p=reject con pct=100.

Non passare mai direttamente a reject senza aver esaminato i report: il rischio è bloccare la posta transazionale o i fornitori che ancora non si allineano.

Domande frequenti su DMARC

Come controllo se il mio dominio ha DMARC?

Puoi consultare il record TXT di _dmarc.tuodominio.it, oppure usare il nostro analizzatore gratuito: inserisci il dominio e ti dice subito se esiste un record DMARC, quale policy (p=) si applica e se SPF e DKIM sono correttamente allineati.

Basta avere p=none?

No. p=none serve solo a osservare e raccogliere report; non protegge dallo spoofing. È un buon punto di partenza, ma l’obiettivo è arrivare a p=quarantine e poi a p=reject in modo controllato.

DMARC può farmi perdere posta legittima?

Solo se passi a quarantine o reject prima di aver allineato tutte le fonti di invio. Per questo il rilascio è a fasi, esaminando i report aggregati (rua) per assicurarti che tutta la posta legittima superi SPF o DKIM con allineamento prima di irrigidire la policy.

Servono SPF e DKIM per usare DMARC?

Sì. DMARC si appoggia a SPF e DKIM e verifica l’allineamento tra il dominio autenticato e il dominio visibile del mittente. Serve almeno uno dei due allineato perché un messaggio superi DMARC; l’ideale è averli entrambi.

Fonti e riferimenti

Aggiornato: luglio 2026 · Contenuto informativo; non costituisce consulenza professionale.

Continua a imparare

Monitora la tua autenticazione della posta in continuo

Registrati gratis su OCIRIA Security e ricevi avvisi quando il tuo DMARC, SPF o DKIM cambia o smette di proteggere il tuo dominio.

Registrati gratis Parla con noi