Cerca articoli della Knowledge Base

DMARC: report aggregati (rua/ruf)

Introduzione

I report DMARC sono la parte spesso sottovalutata della configurazione DMARC. Permettono di monitorare chi sta inviando email a tuo nome, distinguendo flussi legittimi da tentativi di spoofing. In questa guida vediamo come configurarli e analizzarli.

Tipi di report DMARC

  • Aggregate (rua): report XML giornalieri con statistiche aggregate (mittenti, IP, allineamenti, risultati SPF/DKIM).
  • Forensic (ruf): report dettagliati su singole email fallite (con header completi).

Configurazione record DMARC

v=DMARC1; p=none; rua=mailto:dmarc-report@esempio.it; ruf=mailto:dmarc-forensic@esempio.it; pct=100; aspf=r; adkim=r

Parametri principali

  • p: policy (none / quarantine / reject).
  • sp: policy per sottodomini.
  • rua: indirizzo per report aggregati.
  • ruf: indirizzo per report forensic.
  • pct: percentuale di email sottoposte alla policy.
  • aspf / adkim: allineamento SPF/DKIM (s = strict, r = relaxed).
  • fo: opzioni report forensic (0/1/d/s).
  • ri: intervallo report aggregati (default 86400 sec).

Aggregate report (rua)

Sono file XML compressi che ricevi via email, ad esempio:


  google.com
  noreply-dmarc-support@google.com
  17000000001700086400


  1.2.3.450
  
    esempio.itpass
    esempio.itpass

Forensic report (ruf)

Sono email individuali con header del messaggio originale che ha fallito DMARC. Utili per investigazione ma spesso disabilitati dai provider mainstream per privacy.

Strumenti per parsare i report

  • dmarcian.com: gratuito fino a 5.000 email/mese.
  • postmark DMARC Digests: report settimanali gratis.
  • EasyDMARC: dashboard avanzata.
  • Valimail Monitor: gratis fino a un certo volume.
  • OnDMARC: enterprise grade.

Processo consigliato

  1. Inizia con p=none; rua=mailto:... per monitorare senza bloccare.
  2. Attendi 2-4 settimane per raccogliere dati.
  3. Identifica e autorizza tutti i flussi legittimi.
  4. Passa a p=quarantine; pct=25 per applicazione graduale.
  5. Aumenta pct fino a 100.
  6. Passa a p=reject quando sicuro.

Cosa cercare nei report

  • IP sconosciuti con volume alto = potenziale spoofing.
  • Fail SPF su IP legittimi = SPF mancante o errato.
  • Fail DKIM = problema chiave o selector.
  • Allineamento fallito = mismatch tra dominio header e domain firma.

Privacy

I report ruf possono contenere indirizzi email reali. Per GDPR molti provider (Google, Microsoft) non inviano forensic report. Usa fo=1 e ruf solo se necessario.

Best practice

  • Usa una casella dedicata per rua con autorisposta disabilitata.
  • Analizza i report settimanalmente.
  • Aggiorna SPF/DKIM in base ai fail rilevati.
  • Riduci progressivamente fonti non autorizzate.

Hai bisogno di aiuto?

Se vuoi gestione DNS affidata a G Tech Group, scrivici tramite il modulo di contatto.

Hai trovato utile quest'articolo?

Articoli Correlati