Cos'è il tag p in DMARC
Il tag p in un record DMARC specifica la policy che il ricevente deve applicare alle email che falliscono la verifica DMARC (cioè non superano né SPF allineato né DKIM allineato). I tre valori possibili sono none, quarantine e reject, ciascuno con effetti progressivamente più severi sulla consegna.
Policy p=none
Con p=none il ricevente non applica alcuna azione restrittiva: le email che falliscono DMARC vengono comunque consegnate normalmente. Questa modalità è esclusivamente per monitoring: serve a raccogliere report DMARC aggregati senza impattare la deliverability. È il punto di partenza obbligato per ogni implementazione DMARC.
Policy p=quarantine
Con p=quarantine il ricevente sposta in cartella spam (o equivalente quarantena) le email che falliscono DMARC. È una modalità intermedia: protegge gli utenti dallo spoofing ma non rifiuta le email, lasciando margine di recupero in caso di falsi positivi. Adatta come step di transizione prima del reject.
Policy p=reject
Con p=reject il ricevente rifiuta direttamente a livello SMTP le email che falliscono DMARC, generando un bounce 5xx. È la protezione massima: impedisce qualsiasi spoofing del dominio. Implementabile solo dopo monitoring estensivo che confermi che tutti i flussi legittimi superano DMARC.
Percorso di implementazione
Il percorso raccomandato è graduale: fase 1 p=none per 4-8 settimane raccogliendo report, identificando flussi e correggendo problemi. Fase 2 p=quarantine con pct=10 (applica quarantine al 10% delle email che falliscono), incrementando gradualmente. Fase 3 p=quarantine; pct=100. Fase 4 p=reject; pct=100.
Tag pct: gradualità
Il tag pct (percentuale) permette di applicare la policy solo a una percentuale dei messaggi che falliscono. Es. p=quarantine; pct=25 applica quarantine solo al 25% dei fallimenti. Permette rollout graduale e identificazione precoce di problemi senza impatto totale.
Subdomain policy: sp
Il tag sp definisce policy diversa per i subdomain. Esempio: p=reject; sp=quarantine applica reject al dominio principale e quarantine ai subdomain. Utile quando il dominio principale ha autenticazione consolidata mentre alcuni subdomain sono ancora in fase di setup.
Considerazioni di rischio
Passare a reject senza adeguato monitoring rischia di bloccare email legittime: servizi che inviano a nome del dominio senza autenticazione adeguata (sistemi legacy, plugin, forward) cesseranno di funzionare. La gradualità tramite pct e quarantine intermedio è cruciale per identificare e correggere prima di danni operativi.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.