Il problema: il tuo dominio può essere falsificato
Il protocollo email originale (SMTP) non prevede alcun meccanismo di autenticazione del mittente. Questo significa che senza configurazioni aggiuntive, qualsiasi server nel mondo può inviare email con mittente [email protected] — e molti server di posta di destinazione le accetteranno senza problemi.
Questo è il fondamento tecnico del Business Email Compromise (BEC): l'attaccante impersona il CEO, il CFO o un fornitore fidato per autorizzare pagamenti fraudolenti o esfiltrare informazioni. Il FBI ha stimato che il BEC ha causato perdite globali per oltre 3 miliardi di dollari nel 2024.
DMARC, SPF e DKIM sono i tre standard che, implementati correttamente insieme, risolvono questo problema. Non sono opzionali: dal febbraio 2024 Google e Yahoo richiedono DMARC obbligatorio per i mittenti bulk, e il trend normativo va verso l'obbligo generalizzato. Come evidenziato nel report sui 10 errori di sicurezza più comuni nelle PMI, la mancanza di autenticazione email è tra i gap più pericolosi e semplici da correggere.
SPF: Sender Policy Framework
L'SPF è un record DNS TXT che elenca quali server IP sono autorizzati a inviare email per conto del tuo dominio. Il server di posta destinatario controlla se l'IP del server mittente è nella lista SPF — se non lo è, l'email fallisce la verifica SPF.
Come creare un record SPF
Il record SPF va aggiunto come TXT nel DNS del dominio. Esempio per un'azienda che usa Microsoft 365 e un servizio di email marketing come SendGrid:
Nome: tuaazienda.it (o @) Tipo: TXT Valore: v=spf1 include:spf.protection.outlook.com include:sendgrid.net ~all
Spiegazione dei tag:
v=spf1— versione SPFinclude:spf.protection.outlook.com— include tutti i server Microsoft 365include:sendgrid.net— include i server SendGrid per le newsletter~all— softfail: email da server non in lista vengono marchiate come sospette ma non rifiutate (usare-allper hard fail una volta sicuri di aver elencato tutti i server)
Non creare più record SPF per lo stesso dominio: funziona solo l'ultimo. Se hai bisogno di includere più sorgenti, usare il meccanismo include: all'interno di un unico record. Un dominio con più record SPF ha un comportamento indefinito che può causare falsi negativi.
DKIM: firma crittografica delle email
Il DKIM aggiunge una firma digitale a ogni email in uscita. La firma viene creata con una chiave privata custodita dal tuo server di posta; la chiave pubblica viene pubblicata nel DNS. Il server destinatario verifica la firma usando la chiave pubblica: se corrisponde, l'email è autentica e non modificata in transito.
Generare e pubblicare la chiave DKIM
Il processo varia a seconda della piattaforma email:
- Microsoft 365: Admin Center → Security → Email & Collaboration → Policies → DKIM → Abilita per ogni dominio → copia i CNAME da aggiungere al DNS
- Google Workspace: Admin Console → Apps → Google Workspace → Gmail → Authenticate email → Generate new record → aggiungi il record TXT al DNS
- Server on-premise (Postfix/Exchange): usa OpenDKIM per generare la coppia di chiavi RSA 2048-bit e configura il server per firmare le email in uscita
La chiave DKIM pubblicata nel DNS ha questo formato:
Nome: selector1._domainkey.tuaazienda.it Tipo: TXT Valore: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKB...
DMARC: la policy e i report
Il DMARC (Domain-based Message Authentication, Reporting and Conformance) è il livello che unisce SPF e DKIM e definisce cosa fare con le email che falliscono l'autenticazione. Aggiunge anche un meccanismo di reporting fondamentale per capire chi sta usando (o abusando) il tuo dominio.
Le tre policy DMARC
p=none— modalità monitor: non blocca nulla, ma invia report. Fase di start per analizzare il traffico email prima di applicare policy restrittivep=quarantine— le email non autenticate vengono messe in spam. Fase intermedia quando sei ragionevolmente sicuro di aver configurato SPF e DKIM correttamentep=reject— le email non autenticate vengono rifiutate dal server destinatario. Il livello massimo di protezione, da attivare quando hai la certezza che tutte le email legittime passino l'autenticazione
Esempio di record DMARC
Nome: _dmarc.tuaazienda.it Tipo: TXT Valore: v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; adkim=s; aspf=s
Tag principali:
p=none— policy (cambiare in quarantine poi reject progressivamente)rua— indirizzo per i report aggregati giornalieri (consiglio: usare un servizio dedicato come Postmark o MXToolbox per analizzarli)ruf— indirizzo per i report forensici (dettagli sulle singole email fallite)adkim=s— allineamento DKIM strict: il dominio nel header From deve corrispondere esattamente al dominio DKIMaspf=s— allineamento SPF strict
Implementazione step-by-step per una PMI
- Inventario delle sorgenti email — elenca tutti i servizi che inviano email per il tuo dominio: server di posta principale, gestionale ERP, e-commerce, newsletter, CRM, sistemi di ticketing. Ognuno deve essere incluso in SPF e configurato con DKIM
- Configura SPF — crea il record SPF includendo tutte le sorgenti. Verifica con
nslookup -type=txt tuaazienda.ito con strumenti online come MXToolbox SPF Checker - Abilita DKIM su ogni piattaforma email che usi. Attendi 24-48 ore per la propagazione DNS e verifica con un test di invio
- Pubblica DMARC in p=none con indirizzo rua. Analizza i report per 2-4 settimane: vedrai chi sta inviando email per conto del tuo dominio — legittimamente e no
- Correggi le sorgenti mancanti — i report mostreranno email che falliscono SPF o DKIM. Aggiusta le configurazioni per ogni sorgente legittima
- Passa a p=quarantine — dopo aver verificato che tutte le sorgenti legittime passano l'autenticazione. Attendi 2 settimane per monitorare eventuali problemi
- Porta a p=reject — la protezione massima. Da questo momento le email false che impersonano il tuo dominio vengono rifiutate automaticamente dai server destinatari
Il servizio di Sicurezza Email FrameSec include la configurazione e il monitoring di DMARC, SPF e DKIM, con report mensile sui tentativi di spoofing rilevati e avvisi immediati su anomalie nel traffico email del tuo dominio.
Non passare direttamente da p=none a p=reject: puoi bloccare email legittime se hai sorgenti non ancora configurate correttamente. La progressione graduale (none → quarantine → reject) richiede 4-8 settimane ma garantisce una transizione senza impatti operativi.
Abbinare DMARC a una simulazione di phishing periodica è la strategia completa: DMARC protegge dall'uso del tuo dominio, la simulazione misura la capacità dei dipendenti di riconoscere le email false che arrivano da altri domini.
Domande frequenti
Cos'è il domain spoofing e come mi protegge DMARC?
Il domain spoofing è la falsificazione del mittente email per far sembrare che un'email provenga dal tuo dominio. DMARC (con SPF e DKIM) permette ai server destinatari di verificare l'autenticità e rifiutare o mettere in quarantena le email non autenticate. Senza DMARC, chiunque può inviare email che sembrano provenire da tuaazienda.it.
DMARC p=reject blocca tutte le email false?
Blocca le email che usano il tuo dominio esatto nel campo From. Non protegge da cousin domains (tuaazienda-it.com) o look-alike domains, per cui serve il monitoraggio attivo dei domini simili al tuo.
Posso usare DMARC con Microsoft 365 o Google Workspace?
Sì. Entrambe le piattaforme supportano DMARC, SPF e DKIM nativamente. La configurazione richiede l'accesso al pannello DNS del provider del dominio e pochi clic nell'admin console della piattaforma email.