Verifica DMARC: questo dominio è protetto dall’impersonificazione?
DMARC dice ai server di ricezione cosa fare con un’email che dice di arrivare da un dominio ma non supera i suoi controlli: consegnarla, mandarla nello spam o rifiutarla. Inserisci un dominio, un indirizzo email o un link e ti mostriamo la sua policy DMARC e cosa significa.
Come si usa
- Scrivi il dominio che vuoi controllare, oppure incolla un indirizzo email o un link: usiamo solo il suo dominio.
- Premi «Verifica DMARC». Cerchiamo il suo record in _dmarc e, se non c’è, nei suoi domini padre, come fanno i server di ricezione.
- Guarda la policy: «reject» o «quarantine» sul 100% della posta protegge il dominio; «none» si limita a monitorare.
Cosa significa ogni risultato
- Questo dominio non ha DMARC
- Non chiede ai server di ricezione di fermare la posta che si spaccia per lui, quindi è più facile impersonarlo.
- Il record DMARC ha degli errori
- I server di ricezione possono ignorarlo, e il dominio resta come se non avesse DMARC. I segnali qui sotto dicono cosa non va.
- DMARC si limita a monitorare
- La policy è «none»: il dominio riceve report, ma la posta falsa a suo nome viene comunque consegnata.
- DMARC protegge solo una parte della posta
- La policy si applica a una parte della posta che non supera i controlli; il resto viene consegnato come se non ci fosse alcuna policy.
- La posta falsa finisce nello spam
- La policy è «quarantine»: i server di ricezione mandano nella cartella dello spam la posta che non supera i controlli.
- La posta falsa viene rifiutata
- La policy è «reject»: i server di ricezione rifiutano la posta che si spaccia per questo dominio. È la protezione più forte.
Cosa significa ogni segnale
- Il dominio non pubblica alcun record DMARC, e nemmeno i suoi domini padre.
- C’è più di un record DMARC. Ne è consentito solo uno, quindi i server di ricezione non ne applicano nessuno.
- Il record ha un errore, come una policy che non esiste, quindi i server di ricezione possono ignorarlo.
- La policy è «none»: chiede solo report, e la posta falsa viene comunque consegnata.
- La policy si applica solo a una parte della posta che non supera i controlli (pct inferiore a 100).
- Non chiede report (rua), quindi il proprietario del dominio non sa chi invia posta a suo nome.
- Il dominio non ha un record proprio: si applica quello di un dominio padre.
- La policy dei sottodomini (sp) è più debole di quella principale.
Strumenti correlati
Quali paesi copre
Funziona con domini di qualsiasi paese. Cerchiamo il record come fanno i server di ricezione: nel dominio stesso e, se non ce l’ha, nei suoi domini padre (fino a cinque livelli). Degli indirizzi dei report mostriamo solo il dominio.
Leggiamo i record DNS pubblici del dominio. Se inserisci un indirizzo email o un link, dal tuo browser esce solo il suo dominio. Non salviamo il dominio che cerchi.
Domande frequenti
Che cos’è DMARC?
Domain-based Message Authentication, Reporting and Conformance: un record DNS che dice ai server di ricezione cosa fare con la posta che usa un dominio in «Da» ma non supera SPF e DKIM. Chiede anche dei report, così il proprietario vede chi invia posta a nome del dominio.
Cosa significano none, quarantine e reject?
«none» si limita a monitorare: la posta viene consegnata come sempre e il proprietario riceve report. «quarantine» manda nello spam la posta che non supera i controlli. «reject» la rifiuta. Di solito i domini partono da «none», leggono i report e salgono gradualmente fino a «reject».
Se un dominio ha DMARC, tutta la sua posta è autentica?
No. DMARC rende difficile usare quel dominio esatto in «Da», ma un truffatore può registrare un dominio simile con il suo DMARC. Controlla il dominio del mittente lettera per lettera, oppure incolla le intestazioni in «Questa email è autentica?».
Perché dice che il record è ereditato?
Un sottodominio senza un record proprio (mail.example.com) usa quello del suo dominio padre (example.com), con la policy dei sottodomini (sp) se ce l’ha.