Analizzatore DMARC

Ti prepari al passaggio da monitoraggio a enforcement e devi capire se il record pubblicato regge la valutazione dei riceventi. Marketing invia via CRM, prodotto via provider transazionale e finanza via relay locale. Prima di alzare `p` da `none` a `quarantine`, DN01 mostra se il TXT su `_dmarc.example.com` è sintatticamente valido, se tag duplicati invalidano il record e se `pct` limita già l’enforcement. Quella singola pubblicazione DNS è ciò che miliardi di caselle valutano; un errore in `p=` o un secondo TXT DMARC può indebolire la protezione su tutti i canali.

I ticket di deliverability incolpano DMARC anche quando SPF passa da solo. Un messaggio può avere SPF valido e fallire DMARC quando envelope From, header From e dominio firmante DKIM non si allineano secondo `aspf` e `adkim`. DN01 mostra i modi di allineamento: senza tag assume relaxed (`r`) e avvisa che i riceventi possono accettare corrispondenze di dominio più ampie. Combina il risultato con DKIM Validator e DNS Checker.

I team sicurezza usano DMARC come controllo anti-spoofing per domini executive, portali partner e brand simili. Se `_dmarc` manca, DN01 restituisce diagnostica chiara — `no DMARC record found at _dmarc.<domain>` — e raccomanda di pubblicare `v=DMARC1` con policy iniziale. Non è un guasto dello strumento; è lo stato che i riceventi vedono quando il phishing può riusare il tuo dominio senza policy di reject pubblicata.

Gli MSP revisionano DMARC su decine di zone clienti in onboarding o rinnovi. I `dig` manuali non scalano quando devi confrontare `sp` con `p`, verificare caselle report e trovare `pct` invalido. DN01 restituisce report coerenti con durata, inventario tag e raccomandazioni per i ticket.

Architetture con molti sottodomini — `news.example.com`, `billing.example.com`, `eu.example.com` — dipendono da `sp=` quando le zone figlie inviano con SPF e DKIM propri. Senza `sp`, i riceventi applicano `p` ai sottodomini, sorprendendo team che credevano la zona isolata. DN01 mostra entrambi i valori e segnala policy sottodominio invalide.

I questionari compliance chiedono prove di maturità nell’autenticazione email. Gli auditori vogliono sapere se il reporting aggregato (`rua`) è configurato, se l’enforcement è parziale (`pct` sotto 100) e se il record è valido oggi. DN01 risponde dal DNS live, conserva TXT grezzo e separa errori duri da avvisi.

Dopo un’ondata di spoofing, l’incident response inizia spesso con «DMARC mancante o rotto?». Quando più TXT su `_dmarc` includono più di un frammento `v=DMARC1`, i riceventi possono trattare la configurazione come invalida. I team marketing cambiano spesso ESP e dimenticano `rua` o `pct=100` dopo i test — DN01 rende visibili questi stati intermedi. Ricontrolla dopo TTL, valida firme con DKIM Validator e confronta la riga grezza con il pannello DNS del cliente.

Se DN01 segnala assenza di DMARC, interroga `_dmarc.tuodominio.tld` specificamente, non il TXT root dove vive SPF. Molti team pubblicano SPF all’apex e assumono ereditarietà DMARC. Conferma su tutti i NS autoritativi dopo migrazione DNS. La raccomandazione di pubblicare `v=DMARC1` su `_dmarc` nel risultato è la stessa istruzione operativa restituita dal backend quando il record manca.

Quando `valid` è falso con `found` true, leggi prima l’array errori. Tag `p=` duplicati, policy sconosciute, `pct` non intero o fuori 0–100 invalidano il record. Rimuovi duplicati, mantieni un solo TXT con punto e virgola e attendi TTL prima di rieseguire.

Avvisi su `p=none`, `rua` assente o allineamento relaxed descrivono esposizione. `p=none` monitora senza chiedere quarantena o reject. Senza `rua` non riceverai report XML aggregati. Decidi se servono `adkim=s` o `aspf=s` prima di `reject`.

Se il DNS live differisce dal pannello registrar, confronta il record grezzo con `dig +short TXT _dmarc.dominio`. Cache e import parziali ingannano dashboard. DN01 interroga al momento della richiesta.

Se la posta legittima fallisce dopo inasprimento policy, DMARC può essere corretto mentre SPF o DKIM no. DNS Checker per include SPF, DKIM Validator per selettori e scadenza chiavi. `pct` sotto 100 rende i fallimenti apparentemente casuali. Documenta il report DN01 prima e dopo la modifica così le decisioni di rollback usano lo stesso parser dell’API di produzione.

DMARC si appoggia a SPF e DKIM. SPF valida il percorso envelope; DKIM la firma crittografica; DMARC chiede se uno si allinea al dominio visibile in From e cosa fare se entrambi falliscono. DN01 non invia posta né valuta singoli messaggi: ispeziona la policy DNS per i riceventi. Abbinalo a DKIM Validator e DNS Checker.

Il tag `p=` è obbligatorio. Le policy devono essere `none`, `quarantine` o `reject`; ogni altro valore è invalido. `none` va bene per monitoraggio iniziale, ma DN01 avvisa che non blocca i fallimenti. `quarantine` manda in spam; `reject` chiede scarto. L’escalation deve basarsi sui report `rua`.

`pct` limita la frazione di messaggi falliti coperta. Valori sotto 100 significano enforcement parziale. DN01 interpreta `pct` come intero ed errore se fuori 0–100. Le marche in produzione finiscono spesso a `pct=100`.

I report aggregati vanno a URI `rua`, di solito `mailto:` registrati nel processore. DN01 elenca destinazioni separate da virgola e avvisa se manca `rua`. I report forensi `ruf` sono opzionali e sensibili.

`adkim` e `aspf` controllano corrispondenza strict (`s`) o relaxed (`r`). Se assenti, DN01 assume relaxed e avvisa su combinazioni apex/sottodominio indesiderate. Modalità strict sono comuni prima di `reject`.

Valido in DN01 significa assenza di errori di parse bloccanti al momento del controllo. `valid=false` va trattato come difetto DNS critico fino alla correzione.

`dig TXT _dmarc.example.com` mostra stringhe grezze velocemente, ma l’interpretazione resta manuale. DN01 codifica regole su duplicati, `sp` e `rua` e restituisce raccomandazioni in un passaggio.

DNS Checker su DN01 mostra tutti i TXT della zona; DMARC Analyzer si concentra sulla policy su `_dmarc` e sui rischi di `pct` parziale.

I report XML aggregati in casella mostrano storico, ma non provano la pubblicazione DNS attuale dopo cambio urgente. DN01 risponde in secondi.

Le console DMARC dei vendor offrono dashboard; gli auditor esterni servono lookup neutro del TXT visibile su internet.

Validator TXT generici non sempre applicano regole DMARC. DN01 usa lo stesso parser Go dell’API di produzione.

Inventari foglio calcolo invecchiano dopo edit DNS. URL risultato DN01 dà snapshot attuale con query name, record grezzo e timing. Per clienti con più domini brand puoi mostrare rapidamente quale zona è ancora su `p=none` senza `rua` e quale applica già `reject` con alignment strict.