Implementa Domain-based Message Authentication, Reporting and Conformance (DMARC)
Lo scopo di questo documento è quello di fornire al lettore ulteriori informazioni sul metodo di autenticazione e-mail, DMARC. Spiegando come funziona DMARC e le sue varie opzioni strategiche, i lettori comprenderanno meglio l’impatto di DMARC sul recapito e-mail.
Che cos'è DMARC? about
Domain-based Message Authentication, Reporting and Conformance, è un metodo di autenticazione e-mail che consente ai proprietari del dominio di proteggere il proprio dominio da utilizzi non autorizzati. DMARC fornisce inoltre un feedback sullo stato di autenticazione delle e-mail e consente ai mittenti di controllare cosa accade alle e-mail che non superano l’autenticazione. Ciò include opzioni per monitorare, mettere in quarantena o rifiutare la posta a seconda del criterio DMARC implementato.
DMARC dispone di tre opzioni:
- Monitoraggio (p=none): indica al provider della cassetta postale o all'ISP di eseguire le operazioni normalmente eseguite sul messaggio.
- Quarantena (p=quarantena): indica al provider della cassetta postale o all'ISP di recapitare messaggi che non passano DMARC alla cartella di posta indesiderata o indesiderata del destinatario.
- Rifiuta (p=rifiuta): indica al provider della cassetta postale o all'ISP di bloccare la posta che non passa il DMARC causando un mancato recapito.
Come funziona DMARC? how
SPF e DKIM vengono entrambi utilizzati per associare un’e-mail a un dominio e collaborare per l’autenticazione dell’e-mail. DMARC compie un ulteriore passo avanti e aiuta a prevenire lo spoofing corrispondendo al dominio controllato da DKIM e SPF. Per passare il DMARC, un messaggio deve passare SPF o DKIM. Se entrambe queste operazioni non riescono, l’autenticazione DMARC avrà esito negativo e l’e-mail verrà recapitata in base ai criteri DMARC selezionati.
Perché implementare DMARC? why
Il DMARC è facoltativo e, sebbene non sia obbligatorio, è gratuito e consente ai destinatari delle e-mail di identificare facilmente l’autenticazione delle e-mail, il che potrebbe potenzialmente migliorare la consegna. Uno dei vantaggi principali di DMARC è la possibilità di creare rapporti sui messaggi che non vanno a buon fine in SPF e/o DKIM. Inoltre, offre ai mittenti un livello di controllo su ciò che accade con la posta che non passa nessuno di questi metodi di autenticazione. Tramite il reporting DMARC, i mittenti possono ottenere visibilità sui messaggi che non superano il DMARC, consentendo di adottare le misure necessarie per mitigare ulteriori errori.
Best practice per l’implementazione di DMARC best-practice
Poiché DMARC è facoltativo, non sarà configurato per impostazione predefinita su alcuna piattaforma ESP. È necessario creare un record DMARC nel DNS per il dominio affinché funzioni. È inoltre necessario un indirizzo e-mail a scelta per indicare la destinazione dei rapporti DMARC all'interno dell'organizzazione. Come best practice, è
si consiglia di implementare lentamente l’implementazione DMARC aumentando il livello dei criteri DMARC da p=none a p=quarantena e a p=rifiuta man mano che acquisisci una comprensione DMARC del potenziale impatto di DMARC.
-
Analizza il feedback ricevuto e utilizza (p=none), che indica al destinatario di non eseguire azioni contro i messaggi che non superano l’autenticazione, ma inviano comunque i rapporti e-mail al mittente. Inoltre, se l’autenticazione dei messaggi legittimi non riesce, esamina e risolvi i problemi relativi a SPF/DKIM.
-
Determina se SPF e DKIM sono allineati e trasmettono l’autenticazione per tutte le e-mail legittime, quindi sposta il criterio in (p=quarantena), che indica al server e-mail ricevente di mettere in quarantena le e-mail che non riescono a eseguire l’autenticazione (in genere significa inserire tali messaggi nella cartella di posta indesiderata).
-
Imposta criterio su (p=rifiuta). Il criterio c= rifiuta indica al destinatario di rifiutare completamente (non recapitare) qualsiasi e-mail per il dominio che non supera l’autenticazione. Con questo criterio abilitato, solo i messaggi e-mail verificati come autenticati al 100% dal dominio avranno anche la possibilità di inserire la casella in entrata.
note note NOTE Utilizza questo criterio con cautela e stabilisci se è appropriato per la tua organizzazione.
Reporting DMARC reporting
DMARC offre la possibilità di ricevere rapporti relativi alle e-mail che non superano SPF/DKIM. Esistono due diversi rapporti generati dai server ISP come parte del processo di autenticazione che i mittenti possono ricevere tramite i tag RUA/RUF nei propri criteri DMARC:
- Aggregate Reports (RUA): non contiene dati PII (personalmente identificabili) che potrebbero essere sensibili ai requisiti RGPD.
- Rapporti forensi (RUF): contiene indirizzi e-mail sensibili al RGPD. Prima di utilizzare, è consigliabile verificare internamente come gestire le informazioni che devono essere conformi ai requisiti RGPD.
L’utilizzo principale di questi rapporti consiste nel ricevere una panoramica delle e-mail che vengono tentate di spoofing. Si tratta di rapporti altamente tecnici che è meglio digerire tramite uno strumento di terze parti. Alcune aziende specializzate nel monitoraggio DMARC sono:
Esempio di record DMARC example
v=DMARC1; p=reject; fo=1; rua=mailto:dmarc_rua@emaildefense.proofpoint.com;ruf=mailto:dmarc_ruf@emaildefense.proofpoint.co
Tag DMARC e operazioni tags
I record DMARC hanno più componenti denominati tag DMARC. Ogni tag ha un valore che specifica un determinato aspetto di DMARC.
1: Genera report in caso di errori
d: Genera report in caso di errori DKIM
s: Genera report in caso di errori SPF
rua=mailto:aggrep@example.comruf=mailto:authfail@example.comDMARC e ADOBE CAMPAIGN campaign
Un motivo comune per gli errori DMARC è il disallineamento tra l'indirizzo "Da" e "Errori-A" o "Percorso di ritorno". Per evitare questo problema, durante la configurazione di DMARC, si consiglia di controllare due volte le impostazioni dell’indirizzo "Da" ed "Errori-A" nei modelli di consegna.
-
All’interno del Modello di consegna, controlla quale indirizzo è attualmente impostato come indirizzo "Da".
-
Da qui, seleziona "Proprietà" che ti consentirà di modificare ulteriormente il modello di consegna. In questa finestra, selezionare SMTP e deselezionare "Usa l'indirizzo di errore predefinito definito per la piattaforma" se selezionato. Modelli di consegna in Adobe Campaign seleziona questa casella di controllo per impostazione predefinita. L’indirizzo di errore predefinito potrebbe non essere l’indirizzo associato all’indirizzo mittente in questo modello di consegna.
-
Se questa casella non è selezionata, viene visualizzato un campo di testo che consente di immettere un indirizzo di errore univoco che utilizza lo stesso dominio impostato in Indirizzo mittente.
Una volta salvate queste modifiche, potrai procedere con l’implementazione DMARC con il corretto allineamento del dominio.