DMARC: perché la policy p=none non basta (e cosa chiedono oggi i mailbox provider in più)

Negli ultimi anni le regole di recapito email sono diventate più stringenti. I principali mailbox provider – Google, Yahoo e Microsoft – stanno richiedendo agli speditori standard più elevati in termini di autenticazione, sicurezza e protezione del dominio mittente. 

In questo scenario, una configurazione DMARC di base non basta più.
In particolare, la policy DMARC p=none, ancora molto diffusa, non garantisce una reale protezione del dominio né assicura livelli di deliverability adeguati. 

–Vediamo perché e cosa fare oggi per adeguarsi. 

Dal 2024 Google e Yahoo hanno introdotto requisiti più severi per chi invia email, soprattutto per gli speditori più attivi.
A partire da giugno 2025 anche Microsoft (Outlook e Hotmail) si è allineata a queste regole, che puoi approfondire in questo articolo del nostro blog.  

In sintesi e semplicità: i provider oggi valutano sempre di più quanto un dominio mittente sia realmente protetto, non solo se “ha una policy DMARC”. 

DMARC (Domain-based Message Authentication, Reporting & Conformance) è uno standard che serve a: 

• proteggere il dominio da abusi e impersonificazione 

• aiutare i mailbox provider a riconoscere le email legittime e bloccare le email illegittime 

• migliorare il recapito delle comunicazioni autentiche 

DMARC è uno strumento di Reporting, in quanto è fondato su report giornalieri che i mailbox provider condividono con lo speditore. 

Per questo motivo, il tuo record DMARC non può limitarsi a dichiarare una policy (es: p=none), ma dovrà segnalare un indirizzo email a cui ricevere i report.  

Senza report, non è possibile sfruttare la seconda qualità del DMARC: la conformance, ovvero la possibilità di stabilire le regole di riconoscimento del proprio dominio.  

Assicurati che il tuo record DMARC abbia un tag RUA.  

Es: non “v=DMARC1; p=none”  

ma  

“v=DMARC1; p=none; rua=mailto:ruareport@tuodominio” 

DMARC è un processo che si articola in tre fasi: 

1. Monitoraggio tramite report giornalieri: in questa fase riceverai e interpreterai, normalmente con l’aiuto di una piattaforma, i report XML sul traffico del tuo dominio.  

1. Allineamento di SPF e DKIM: in questa fase, basandoti sui report, potrai allineare e integrare tutti i flussi di email che non rispettano gli standard SPF e DKIM (non stiamo parlando solo del traffico del tuo account MailUp, ma di tutte le funzioni di mailing collegate al tuo dominio). 

1. Enforcement, cioè applicazione delle policy restrittive, quarantine o reject.  

Proprio su quest’ultimo punto che oggi si gioca la partita.  

Alla luce di queste evoluzioni, in MailUp abbiamo deciso di rafforzare i criteri del Deliverability Index, l’indice che trovi subito in piattaforma e indica lo stato di salute e protezione delle tue email. 

L’obiettivo è fornire un’indicazione più accurata e trasparente del reale livello di protezione del dominio, evitando di comunicare una falsa sensazione di sicurezza. 

Una policy DMARC p=none (soprattutto se sprovvista del tag RUA) 

• non garantisce protezione effettiva 

• non riflette gli standard richiesti dai mailbox provider 

• non può essere valutata come livello ottimale di deliverability 

Aggiornare l’indice significa aiutare i clienti a capire dove intervenire davvero. 

Ecco cosa puoi fare per proteggere il tuo dominio.

• aggiorna il Deliverability Index in base ai nuovi standard 

• offre un servizio consulenziale DMARC dedicato 

• affianca il cliente in analisi, monitoraggio ed enforcement 

• avviare il monitoraggio della reportistica 

• correggere eventuali problemi di allineamento SPF e DKIM 

• impostare una policy DMARC p=quarantine o p=reject 

Tutte queste attività possono essere gestite con il supporto dei nostri consulenti, senza affrontare la complessità tecnica in autonomia.  

Se vuoi entrare ancora più nel dettaglio sul tema DMARC e sulle nuove regole di recapito imposte da Google, Yahoo e Microsoft, puoi approfondire guardando il nostro webinar dedicato. 

Durante il webinar abbiamo analizzato: 

• come stanno evolvendo gli standard di deliverability 

• perché una policy DMARC p=none non è più sufficiente 

• casi reali in cui una configurazione non adeguata ha impattato il recapito 

• quali azioni concrete intraprendere per proteggere il dominio