Guida per MSP: come realizzare un’implementazione DMARC sicura

Bloccare il phishing e migliorare la recapitabilità delle email dipendono entrambi da una corretta implementazione DMARC, ma il passaggio dalla teoria alla pratica mette spesso in difficoltà i team IT.

Questa guida trasforma quella complessità in un runbook chiaro e ripetibile per gli MSP. Imparerai un processo graduale e basato sui dati per distribuire la protezione sui domini dei clienti senza interrompere il flusso di posta legittimo.

Schema passo passo per distribuire la configurazione DMARC sui domini dei clienti

Un approccio strutturato e graduale è ciò che rende un’implementazione DMARC efficace e sicura.

📌Situazione d’uso: applica questo piano durante gli aggiornamenti di sicurezza, dopo incidenti di phishing o per motivi di conformità. È il passaggio essenziale per andare oltre il semplice utilizzo di SPF/DKIM e applicare attivamente la sicurezza email DMARC.

📌Prerequisiti: per un framework efficace, assicurati di soddisfare questi requisiti:

• Accesso al DNS per tutti i domini e sottodomini.
• Accesso amministrativo al sistema email principale (ad esempio l’interfaccia di amministrazione di Microsoft 365 per impostare i flussi DMARC in Office 365).
• Contatti e credenziali di accesso per tutti i mittenti di terze parti (marketing, CRM).
• Una casella di posta o un servizio dedicato per ricevere i report aggregati DMARC: questi dati ti guideranno nella fase cruciale di test delle email DMARC.

Una volta soddisfatti questi requisiti essenziali, segui i passaggi riportati di seguito.

Passaggio 1: individua tutte le fonti di invio

Devi individuare ogni fonte di invio email prima di modificare le policy, così da evitare interruzioni.

Perché questo passaggio è fondamentale

Saltare la fase di individuazione è la causa principale del fallimento di un’implementazione DMARC. L’obiettivo è identificare tutti i mittenti legittimi, dai servizi cloud alle vecchie stampanti, per non bloccarli in seguito.

1. Crea un inventario dei mittenti: per ciascun dominio, elenca:
   • Il sistema email principale (ad esempio Microsoft 365)
   • Le piattaforme di marketing e i CRM (Mailchimp, Salesforce)
   • Le applicazioni interne e gli scanner
   • Qualsiasi dispositivo o server che invia posta.
2. Registra i dati principali: per ogni fonte, annota l’indirizzo “Da”, il server o l’IP di invio e la relativa capacità DKIM.
3. Assegna un responsabile: documenta chi gestisce ciascun servizio per i successivi follow-up.

Avrai così un inventario completo dei mittenti. Il passo successivo sarà pubblicare un record DMARC temporaneo per raccogliere dati reali dai report, che ti serviranno a convalidare e ampliare l’elenco. Questa base di dati è il fondamento di tutti i passaggi successivi.

Passaggio 2: allinea SPF e DKIM per l’applicazione di DMARC

DMARC funziona solo se SPF e DKIM sono configurati correttamente.

Il concetto chiave

Perché DMARC possa prevenire efficacemente lo spoofing delle email, deve verificare che il dominio del mittente sia allineato ai domini autenticati tramite SPF o DKIM. L’obiettivo è assicurarsi che ogni mittente legittimo presente nell’inventario sia configurato per superare questo controllo.

Interventi di configurazione essenziali

• Correggi il record SPF: aggiorna il record SPF (TXT) del dominio in modo che includa tutte le fonti di invio valide (ad esempio include:spf.protection.outlook.com per Microsoft 365). È fondamentale mantenere la catena di lookup DNS al di sotto di 10 per evitare errori.
• Abilita DKIM ovunque: attiva la firma DKIM nell’interfaccia di amministrazione del sistema email principale. Per ogni servizio di terze parti (ad esempio CRM e strumenti di marketing), abilita la firma DKIM per il tuo dominio e annota il selettore (ad esempio selector1._domainkey). Definisci inoltre una pianificazione regolare per la rotazione delle chiavi.

Al termine, tutte le email legittime saranno autenticate correttamente. In questo modo avrai le basi per iniziare in sicurezza il monitoraggio con un record DMARC, il passaggio successivo del processo di implementazione DMARC.

Passaggio 3: pubblica DMARC in modalità solo monitoraggio

Inizia la configurazione DMARC pubblicando un record che raccoglie dati senza incidere sul flusso delle email.

Raccogli dati in sicurezza

Si parte in modalità solo monitoraggio (p=none) per raccogliere informazioni dai server di posta riceventi (come Gmail e Outlook.com) su chi invia email per conto del tuo dominio e sul superamento o meno dei controlli SPF/DKIM. Questi dati sono indispensabili prima di qualsiasi applicazione delle policy.

Interventi di configurazione principali

1. Pubblica il record DNS: nella zona DNS del dominio, crea un nuovo record TXT denominato _dmarc.yourdomain.com. Usa questo valore:

• • v=DMARC1: dichiara la versione di DMARC.
  • p=none: la policy è “solo monitoraggio”; nessuna email viene rifiutata o messa in quarantena.
  • rua=mailto:dmarc@...: l’indirizzo email su cui ricevere i report XML aggregati.
  • fo=1: richiede i report di errore per tutti i fallimenti di autenticazione, fornendo il massimo livello di dettaglio.
  • aspf=r & adkim=r: imposta la modalità di allineamento di SPF e DKIM su “relaxed”, l’impostazione più sicura e compatibile per la distribuzione iniziale e il monitoraggio.

2. Imposta la policy per i sottodomini (facoltativo ma consigliato): aggiungi sp=none; per applicare esplicitamente la stessa policy di solo monitoraggio ai sottodomini ed evitare problemi imprevisti.
3. Verifica con un test delle email DMARC: invia email di prova da tutte le fonti principali (ad esempio Office 365 e la tua piattaforma di marketing) verso un account personale Gmail o Yahoo. Esamina le intestazioni complete delle email; strumenti come l’Header Analyzer di MXToolbox possono esserti utili. Cerca nel campo Authentication-Results la presenza di dmarc=pass.

Dopo la pubblicazione, esegui un test delle email DMARC. Invia un’email dal tuo dominio e controlla le intestazioni con strumenti come il Message Header Analyzer di Microsoft (accessibile da browser su Windows 11) o MXToolbox. Verifica la presenza di dmarc=pass nei risultati di autenticazione.

Passaggio 4: analizza i report e correggi i disallineamenti

Usa i dati dei report DMARC per correggere in modo sistematico i fallimenti di autenticazione prima di applicare le policy.

Raggiungi il 100% di allineamento dei mittenti

L’obiettivo è risolvere ogni fallimento SPF o DKIM individuato nei report, così che tutte le email legittime risultino correttamente allineate. Questa attività di correzione è ciò che rende efficace la sicurezza email DMARC e previene interruzioni per il business.

Azioni principali da intraprendere

1. Analizza i report: usa uno strumento (come DMARCian o Valimail) per convertire i report XML in una dashboard chiara che mostri quali fonti falliscono i controlli e perché.
2. Applica correzioni mirate:
   • Fallimenti DKIM: abilita o correggi la firma DKIM presso il fornitore.
   • Problemi con SPF: aggiungi gli IP mancanti oppure appiattisci il record SPF se sei vicino al limite di 10 lookup DNS.
   • Problemi di allineamento: assicurati che il dominio del campo “Da” corrisponda al dominio autenticato. Per i servizi problematici, assegna un sottodominio dedicato (ad esempio marketing.domain.com).

Man mano che risolvi i problemi, il tasso di allineamento aumenterà. Quando le email aziendali principali (come quelle di Office 365) mostrano un allineamento quasi perfetto, avrai i dati necessari per passare in sicurezza all’applicazione delle policy, l’ultima fase dell’implementazione DMARC.

Passaggio 5: inasprisci la policy gradualmente, con un piano di rollback

Passa dal monitoraggio all’applicazione per fasi controllate, così da proteggere le email senza interruzioni.

Attiva “p=reject” in sicurezza

L’ultima fase della configurazione DMARC consiste nell’applicare una policy di rifiuto, che può prevenire efficacemente lo spoofing delle email bloccando i messaggi fraudolenti. Questo approccio graduale garantisce che il flusso di posta legittimo non venga interrotto.

Piano d’azione

1. Inizia con p=quarantine: aggiorna il record DMARC impostando p=quarantine quando l’allineamento supera il 95% e i mittenti critici sono stati corretti. In questo modo la posta che non supera i controlli finisce nelle cartelle di spam, come ultima verifica di sicurezza.
2. Passa a p=reject: dopo 2-4 settimane senza problemi, imposta p=reject. Usa il tag sp= per definire policy più rigide o più permissive per i sottodomini, secondo necessità.
3. Prevedi sempre un piano di rollback: documenta la modifica e tieni a portata di mano il comando esatto per tornare a p=none. È la tua rete di sicurezza indispensabile.

Un’applicazione graduale permette al sistema email globale di adattarsi e ti offre un test finale in condizioni reali. La fase di quarantena funziona da cuscinetto e intercetta gli ultimi disallineamenti prima del rifiuto completo.

Passaggio 6: rendi operativo il reporting come prova dei risultati

Trasforma i dati DMARC in prove chiare dei risultati ottenuti in termini di sicurezza.

Dimostra un miglioramento misurabile

Questo passaggio rende visibile il valore della tua implementazione DMARC. Fornisce prove verificabili del fatto che il rischio di spoofing è in calo, rispondendo con dati concreti alla domanda cruciale: “DMARC è necessario per la sicurezza email?”.

Attività di monitoraggio essenziali

• Monitora le metriche chiave: tieni traccia dei domini in fase di applicazione (p=reject), della percentuale di messaggi allineati e dei tentativi provenienti da fonti non autorizzate.
• Usa i report forensi con cautela: limita i report forensi (ruf) per motivi di privacy; per i dettagli affidati ai dati aggregati (rua) e agli strumenti di sicurezza già in uso.
• Crea una scorecard mensile: prepara per ogni cliente una dashboard di una pagina che mostri l’andamento dell’allineamento, i domini protetti e le attività ancora aperte.

Questo processo continuo trasforma la configurazione DMARC in un controllo di sicurezza gestito. La scorecard offre una convalida costante dei progressi ottenuti, dimostra la riduzione del rischio e giustifica l’investimento.

Gestisci DMARC su larga scala con NinjaOne

Piattaforme come NinjaOne trasformano l’implementazione DMARC in un servizio gestito efficiente e basato sui dati.

Integrazioni RMM principali

• Monitoraggio: automatizza i controlli dei record DNS SPF, DKIM e DMARC. Ricevi avvisi in caso di configuration drift o scadenza per evitare lacune di sicurezza.
• Automazione: raccogli e analizza i report aggregati DMARC, quindi allega i riepiloghi direttamente ai ticket dei clienti.
• Reporting: inserisci le metriche più importanti, come il tasso di allineamento e i domini in fase di applicazione, nelle dashboard dei clienti per le revisioni trimestrali.

Integrando questi passaggi nel tuo RMM, rendi operativa la sicurezza email DMARC. Diventa così un servizio continuativo e in grado di dimostrare il proprio valore, anziché un progetto una tantum, e permette al tuo MSP di proteggere in modo efficiente tutti i domini dei clienti mostrandone chiaramente i risultati.

Costruisci un processo di implementazione DMARC affidabile

Un’implementazione DMARC efficace si basa su un percorso metodico: prima l’inventario di tutti i mittenti, poi l’allineamento di SPF e DKIM e infine la pubblicazione di una policy di solo monitoraggio.

Analizzando i report per correggere i fallimenti e inasprendo l’applicazione gradualmente, con un piano di rollback, elimini in modo sistematico il rischio di spoofing.

Questo approccio disciplinato e basato sui dati consente agli MSP di proteggere in modo affidabile ogni dominio dei clienti, trasformando uno standard complesso in un servizio di sicurezza ripetibile e di valore evidente.

Argomenti correlati

• Capire e prevenire gli attacchi di spoofing via email
• 10 best practice per la sicurezza dei server email che devi conoscere
• Proteggi le tue comunicazioni: come inviare email crittografate in Outlook e Office ‍365
• Best practice per la sicurezza dei server email