Cosa sono i report aggregati DMARC
I report aggregati DMARC (RUA, Reporting URI for Aggregate) sono file XML che i provider riceventi inviano giornalmente al mittente per riepilogare l'esito di autenticazione SPF/DKIM/DMARC sui messaggi ricevuti. Permettono di monitorare la deliverability, identificare flussi di invio legittimi non autenticati e individuare tentativi di spoofing del dominio.
Configurazione del record DMARC
Per ricevere report, il record DMARC deve includere il tag rua: v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com. I report arrivano da provider come Google, Microsoft, Yahoo, Mail.ru e centinaia di altri. La casella indicata può ricevere decine-centinaia di file XML al giorno per domini con buon volume.
Struttura del file XML
Ogni report contiene: report_metadata (org_name, date_range), policy_published (policy DMARC del dominio al momento del check), record (uno per ogni IP sorgente con conteggio messaggi). Ogni record include source_ip, count, policy_evaluated (disposition, dkim, spf) e auth_results (dettaglio singole verifiche).
Interpretazione dei risultati
L'esito policy_evaluated mostra come il ricevente ha trattato i messaggi. disposition: none significa consegnato, quarantine in spam, reject rifiutato. Quando dkim=fail e spf=fail, è critico capire se gli IP sono propri (problema configurazione) o sconosciuti (potenziale spoofing).
Strumenti di parsing
Leggere XML manualmente è inefficiente. Strumenti consigliati: dmarcian.com, postmarkapp.com/dmarc, valimail.com, easydmarc.com, dmarcanalyzer.com. Tutti offrono tier gratuiti per piccoli volumi, con visualizzazioni grafiche, breakdown per IP, identificazione di servizi e raccomandazioni.
Identificare flussi legittimi
I report rivelano spesso flussi non noti: helpdesk, CRM, sistemi di ticketing, plugin WordPress, scanner che inviano email a nome del dominio. Identificare ogni IP, capire la fonte e configurare SPF/DKIM appropriati prima di alzare la policy DMARC a quarantine o reject.
Identificare spoofing
IP sconosciuti che inviano email a nome del dominio sono potenziali spoofing: phishing, malware, abuso del brand. Una volta identificati, il DMARC reject ferma questi invii. È il vantaggio principale di DMARC: visibilità sull'uso del dominio mittente.
Trend e monitoring continuo
I report vanno monitorati settimanalmente. Trend importanti: percentuale di pass DMARC (target >95%), volume per IP (anomalie indicano nuovi servizi o spoofing), provider riceventi (cambi indicano shift demografico). Un dashboard DMARC è strumento essenziale per email security postura.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.