DMARC tag p=none vs quarantine vs reject

Cos'è il tag p in DMARC

Il tag p in un record DMARC specifica la policy che il ricevente deve applicare alle email che falliscono la verifica DMARC (cioè non superano né SPF allineato né DKIM allineato). I tre valori possibili sono none, quarantine e reject, ciascuno con effetti progressivamente più severi sulla consegna.

Policy p=none

Con p=none il ricevente non applica alcuna azione restrittiva: le email che falliscono DMARC vengono comunque consegnate normalmente. Questa modalità è esclusivamente per monitoring: serve a raccogliere report DMARC aggregati senza impattare la deliverability. È il punto di partenza obbligato per ogni implementazione DMARC.

Policy p=quarantine

Con p=quarantine il ricevente sposta in cartella spam (o equivalente quarantena) le email che falliscono DMARC. È una modalità intermedia: protegge gli utenti dallo spoofing ma non rifiuta le email, lasciando margine di recupero in caso di falsi positivi. Adatta come step di transizione prima del reject.

Policy p=reject

Con p=reject il ricevente rifiuta direttamente a livello SMTP le email che falliscono DMARC, generando un bounce 5xx. È la protezione massima: impedisce qualsiasi spoofing del dominio. Implementabile solo dopo monitoring estensivo che confermi che tutti i flussi legittimi superano DMARC.

Percorso di implementazione

Il percorso raccomandato è graduale: fase 1 p=none per 4-8 settimane raccogliendo report, identificando flussi e correggendo problemi. Fase 2 p=quarantine con pct=10 (applica quarantine al 10% delle email che falliscono), incrementando gradualmente. Fase 3 p=quarantine; pct=100. Fase 4 p=reject; pct=100.

Tag pct: gradualità

Il tag pct (percentuale) permette di applicare la policy solo a una percentuale dei messaggi che falliscono. Es. p=quarantine; pct=25 applica quarantine solo al 25% dei fallimenti. Permette rollout graduale e identificazione precoce di problemi senza impatto totale.

Subdomain policy: sp

Il tag sp definisce policy diversa per i subdomain. Esempio: p=reject; sp=quarantine applica reject al dominio principale e quarantine ai subdomain. Utile quando il dominio principale ha autenticazione consolidata mentre alcuni subdomain sono ancora in fase di setup.

Considerazioni di rischio

Passare a reject senza adeguato monitoring rischia di bloccare email legittime: servizi che inviano a nome del dominio senza autenticazione adeguata (sistemi legacy, plugin, forward) cesseranno di funzionare. La gradualità tramite pct e quarantine intermedio è cruciale per identificare e correggere prima di danni operativi.

Hai bisogno di aiuto?

Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.

Hai trovato utile quest'articolo?