Impostazioni policy DMARC
Cos'è e a cosa serve un Record DMARC
DMARC è un protocollo di autenticazione delle email che permette al titolare di un dominio di specificare come si devono comportare i destinatari nel caso in cui il messaggio non sia autentico.
DMARC da quindi la possibilità ad un mittente di imporre, ai server destinatari, un comportamento sui messaggi che hanno come mittente (From:) un proprio dominio, nel caso in cui le impostazioni SPF e DKIM non risultino valide.
Il sistema di autenticazione delle email DMARC serve a proteggere dallo truffe (spoofing o phishing) con mittenti contraffatti. DMARC offre inoltre la possibilità di ricevere quotidianamente dei report in formato XML, dai server destinatari, sul flusso di email per verificare che i server che inviano email a tuo nome siano legittimi.
Impostare un Record DMARC
Warning
Prima di attivare una policy DMARC per il proprio dominio assicurarsi che il record SPF sia impostato correttamente
L'impostazione di un record DMARC richiede di scegliere come devono essere gestite le email sospette, ovvero che non risultano conformi alle impostazioni SPF e DKIM del dominio.
Le opzioni di policy (p) sono:
- none (nessuna) : nessuna azione viene eseguita sul messaggio.
- quarantine (quarantena): i messaggi sono marcati come spam e spostati nella cartella Spam.
- reject (rifiuta): è richiesto al server destinatario di respingere il messaggio.
Warning
Si consiglia di attivare le policy DMARC gradualmente partendo da none e solo dopo passare a quarantine e poi reject
Un record DMARC di esempio può essere questo:
v=DMARC1; p=quarantine; rua=mailto:rua@dmarc.qboxmail.com; ruf=mailto:ruf@dmarc.qboxmail.com
che indica, ai server destinatari, di marcare come spam i messaggi sospetti ed invia il report quotidiano all'indirizzo rua@dmarc.qboxmail.com.
Per applicare il record sopra mostrato è necessario creare un record di tipo TXT nel DNS del dominio:
| Nome record | Tipo di Record | Valore |
|---|---|---|
| _dmarc.mycompany.com | TXT | v=DMARC1; p=quarantine; rua=mailto:rua@dmarc.qboxmail.com; ruf=mailto:ruf@dmarc.qboxmail.com |
Qboxmail interpreta ed applica le policy DMARC impostate dai mittenti e prevede l'invio dei report XML quotidiani.
E' possibile utilizzare anche dei tool web per creare le proprie policy DMARC: https://www.kitterman.com/dmarc/assistant.html
Report DMARC
DMARC permette di ricevere report giornalieri relativi al traffico email associato al proprio dominio. I server destinatari generano i report e li inviano agli indirizzi specificati nel campo rua del record DMARC configurato nel DNS. È consigliato utilizzare un indirizzo fornito dal provider email o dal servizio di sicurezza che gestisce l’analisi dei report.
I report permettono di:
- individuare abusi del dominio:
- rilevare invii non autorizzati;
- identificare configurazioni errate o servizi legittimi che inviano email senza rispettare le policy DMARC.
Note
In assenza dei report, molte attività di abuso non sono visibili.
Gestione dei report DMARC in Qboxmail
Tramite il servizio di Email Security generiamo e inviamo i report DMARC verso tutti i domini che configurano un record DMARC valido con indirizzo rua raggiungibile.
Ogni giorno i nostri sistemi analizzano milioni di messaggi email provenienti da migliaia di domini.
Nello specifico, per ciascun dominio:
- vengono raccolti e analizzati i dati dei messaggi ricevuti;
- viene verificato l’esito dei messaggi rispetto alla policy DMARC configurata;
- vengono generati report XML conformi allo standard DMARC;
- i report vengono inviati agli indirizzi indicati nel campo rua.
Per gli Email Provider che desiderano identificare correttamente i report DMARC inviati da Qboxmail, i messaggi vengono spediti con le seguenti caratteristiche:
- mittente: report@dmarc.qboxmail.com
- server di invio: dmarcreport.qboxmail.com
Note
L’invio dei report DMARC è un’attività volontaria che contribuisce a garantire un servizio email più sicuro per tutti gli attori coinvolti.
Limiti di DMARC con inoltri e risposte automatiche
Warning
Le risposte automatiche e gli inoltri possono avere dei problemi se sul dominio è impostata una policy DMARC con p=quarantine o p=reject.
Questo perchè, risposte automatiche ed inoltri, necessitano della riscrittura del mittente in quanto il server destinatario vederebbe arrivare un messaggio da un mittente per il tramite dei nostri server di inoltro ma il record SPF del mittente originale non autorizza i nostri sistemi ad inviare per suo conto.
Per questo è necessario riscrivere il mittente con la tenica del Sender Rewriting Scheme (SRS). Questa tecnica però non è ad oggi pienamente compatibile con DMARC per cui è necessario rimuovere il record DMARC o impostare la policy a p=none.
Ecco un esempio di record DMARC da impostare in questi casi:
v=DMARC1; p=none; rua=mailto:rua@dmarc.qboxmail.com; ruf=mailto:ruf@dmarc.qboxmail.com
Verifica della corretta impostazione del record DMARC nel DNS
Al fine di verificare la corretta impostazione del record DMARC sul tuo dominio puoi eseguire, da terminale, il comando nslookup:
nslookup -q=txt _dmarc.mycompany.com
che dovrebbe dare come risultato:
_dmarc.mycompany.com text = "v=DMARC1; p=quarantine; rua=mailto:rua@dmarc.qboxmail.com; ruf=mailto:ruf@dmarc.qboxmail.com
Tip
Scopri di più su SPF, DKIM e DMARC sul sito Qboxmail.
