DMARC: il protocollo per combattere le truffe via email
DMARC è un protocollo sviluppato a partire dal 2012, su iniziativa di PayPal, per combattere le truffe via email. La sua funzione principale è permettere ai mittenti di specificare cosa fare con i messaggi che sembrano provenire dal loro dominio, ma che in realtà non rispettano alcuni criteri di autenticazione.
Perché DMARC è necessario
Al momento chiunque voglia inviare un messaggio email con mittente @paypal.com, per tentare una truffa, può farlo senza troppi problemi, il protocollo SMTP infatti non prevede nativamente un sistema di verifica sul campo “From:”. A stabilire l’autenticità del messaggio ci pensano i sistemi antispam dei destinatari.
Nel tempo, sono stati introdotti strumenti come SPF e DKIM per risalire alla vera identità del mittente. Tuttavia, nessuno di questi ha risolto definitivamente il problema dell’abuso di identità.
Come funziona DMARC
Con DMARC, è il titolare del dominio a decidere come devono essere trattati i messaggi che risultano non conformi:
Se un’email non proviene dagli IP autorizzati (definiti nel record SPF)
Se non è firmata con una chiave DKIM valida
Se il dominio del mittente non coincide con quello autentico
…il server ricevente dovrà applicare la policy DMARC pubblicata nel DNS del dominio.
Esempio di record:
v=DMARC1; p=reject; rua=mailto:d@rua.agari.com; ruf=mailto:dk@bounce.paypal.com,mailto:d@ruf.agari.com
In questo caso, tutti i messaggi non conformi devono essere rifiutati (policy: reject).
Il vantaggio per i mittenti
DMARC consente ai titolari di dominio di controllare direttamente come i server riceventi gestiscono le email apparentemente inviate da loro, evitando che sia il solo antispam del destinatario a decidere. È un passo importante verso la trasparenza e l’affidabilità nella posta elettronica.
Come si implementa
Dal lato del mittente, implementare DMARC è semplice: basta che siano già attivi un record SPF e una firma DKIM. Esistono diversi wizard online che aiutano a generare correttamente il record DNS DMARC.
Ma attenzione: partire subito con una policy reject è rischioso. Il consiglio è di iniziare con una policy none, in modo da raccogliere i report di ricezione senza bloccare la posta.
Implementare DMARC sul server ricevente richiede uno sforzo maggiore. Al momento della stesura dell’articolo, una piena adozione era presente su Gmail, Yahoo, Hotmail/Outlook.com e pochi altri.
In Qboxmail, abbiamo avviato la sperimentazione DMARC proprio per fronteggiare l’aumento di spam da caselle @libero.it.
Nota tecnica: Yahoo e Libero.it hanno adottato policy reject e quarantine. Questo ha causato problemi agli utenti che inviano posta con il loro indirizzo ma usano SMTP di provider esterni.
Report e approfondimenti
DMARC prevede anche che i server riceventi inviino regolarmente report al dominio mittente, indicando le email che non hanno superato i controlli. Gli indirizzi per ricevere questi report sono definiti nel record DNS stesso.
Per ulteriori approfondimenti:
L’importanza dei report DMARC
Gestione sicura delle email in ambienti critici
