Visualizzatore delle relazioni aggregate DMARC

Caricando una relazione aggregata DMARC ricevuta dai server di posta, nei formati XML, gzip o ZIP, lo strumento mostra in forma di tabella gli esiti dell'autenticazione SPF e DKIM e l'applicazione della politica per ciascun indirizzo mittente. L'analisi avviene interamente nel browser e i file non vengono inviati ad alcun server.

Cos'è il visualizzatore di report aggregati DMARC

Quando un dominio ha DMARC attivo, i provider di posta destinatari come Gmail, Yahoo e Microsoft rispediscono ogni giorno un file XML che riassume chi ha inviato messaggi a nome di quel dominio, quanti messaggi sono arrivati, come è andata l'autenticazione SPF/DKIM e come è stata applicata la policy DMARC. Questo viene chiamato report aggregato (Aggregate Report). L'XML grezzo non è pensato per essere letto da persone e in genere arriva compresso in gzip o dentro un archivio ZIP, per cui aprire direttamente l'allegato non fornisce quasi nessuna informazione utile.

Questo strumento converte il file XML, gzip o ZIP del report aggregato in una tabella leggibile con il numero di messaggi, i risultati di autenticazione SPF/DKIM e la disposizione della policy per ogni IP di origine, subito dopo il caricamento nel browser. L'intera analisi avviene lato client in JavaScript e il contenuto del file non viene mai inviato a un server. Poiché questi report rivelano informazioni sensibili, come gli IP di invio della posta della vostra organizzazione, questa garanzia è un pilastro centrale della progettazione.

Come usare il visualizzatore di report aggregati DMARC

Procurarsi il file del report aggregato Individuate l'allegato (.xml, .xml.gz o .zip) inviato all'indirizzo indicato nel tag rua del vostro record DMARC.
Caricare il file Trascinatelo e rilasciatelo nell'area di caricamento, oppure fate clic per selezionarlo dal dispositivo.
Controllare i metadati del report Verificate l'organizzazione mittente, il periodo del report, il dominio interessato e la policy pubblicata (p) con la relativa percentuale di applicazione (pct).
Esaminare i risultati per IP di origine Ogni riga mostra il numero di messaggi di un IP di origine, se SPF/DKIM sono passati o falliti, e come è stata effettivamente applicata la policy.
Cercare mittenti sconosciuti Se un IP che non riconoscete invia un volume elevato di messaggi, trattatelo come un possibile tentativo di spoofing e verificatelo insieme all'intestazione From.

Consigli per sfruttarlo al meglio

Le relazioni aggregate DMARC arrivano di norma ogni giorno all'indirizzo indicato nel record, in formato XML compresso in gzip o in ZIP. Potete caricare qui direttamente l'allegato ricevuto.
Se la quota di messaggi conformi sia a SPF sia a DKIM è bassa, è possibile che qualche mittente legittimo — un vostro servizio di invio o un'agenzia — non abbia configurato correttamente l'autenticazione: annotate l'indirizzo IP e indagate.
Finché la politica pubblicata resta impostata su «nessuna», anche i messaggi non autenticati continuano a essere consegnati. La strada prudente è alzarla gradualmente a quarantena e poi a rifiuto solo quando la conformità è sufficientemente alta.
Se un indirizzo mittente sconosciuto invia un gran numero di messaggi, può trattarsi di frodi o posta indesiderata che si spacciano per il vostro dominio: verificate l'intestazione «From» e la risoluzione inversa dell'indirizzo.
Confrontando relazioni di più giorni, annotate il periodo di riferimento contenuto nel nome del file: seguire l'andamento nel tempo diventa molto più semplice.

Quando usare il visualizzatore di report aggregati DMARC

Verificare tentativi di spoofing e phishing

Controllate periodicamente gli IP che inviano a nome del vostro dominio per individuare tempestivamente eventuali IP sconosciuti che facciano pensare a uno spoofing.

Verificare una nuova configurazione SPF/DKIM dopo una migrazione

Subito dopo il cambio di provider di posta o l'aggiornamento dei record DNS, confermate nel report che le vostre fonti di invio reali superano l'autenticazione.

Monitorare la conformità della policy sui sottodomini

Se avete pubblicato una policy per i sottodomini (sp), verificate che la posta inviata tramite i sottodomini venga effettivamente trattata come previsto.

Verificare i mittenti di terze parti

Individuate piattaforme di marketing, agenzie o servizi SaaS che inviano posta a nome del vostro dominio e controllate se la loro configurazione SPF/DKIM è completa.

Decidere quando irrigidire la policy

Prima di passare da none a quarantine o reject, usate il tasso di successo indicato nel report per assicurarvi che la posta legittima non venga bloccata per errore.

Glossario DMARC

DMARC: Domain-based Message Authentication, Reporting & Conformance. Unisce i risultati di SPF e DKIM e permette al proprietario del dominio di dichiarare, tramite il DNS, come trattare la posta che fallisce l'autenticazione.
SPF: Sender Policy Framework. Il proprietario del dominio pubblica nel DNS l'elenco degli indirizzi IP autorizzati a inviare posta a suo nome, e i destinatari confrontano l'IP di invio reale con questo elenco.
DKIM: DomainKeys Identified Mail. Aggiunge una firma crittografica alla posta in uscita in modo che i destinatari possano verificare che il messaggio non sia stato alterato durante il transito e provenga davvero dal dominio dichiarato.
Report aggregato (Aggregate Report): Un report XML inviato ogni giorno all'indirizzo indicato nel tag rua del record DMARC, che riassume il numero di messaggi, i risultati di autenticazione e la disposizione della policy per ogni IP di origine.
Policy (p / sp): Come trattare la posta che fallisce l'autenticazione: none (nessuna azione, solo monitoraggio), quarantine (trattata come sospetta, ad esempio inviata allo spam) o reject (consegna rifiutata). 'p' si applica al dominio stesso e 'sp' ai suoi sottodomini.
Allineamento (alignment): Verifica se il dominio nell'intestazione From corrisponde al dominio effettivamente verificato da SPF o DKIM. Se non corrispondono, il messaggio fallisce DMARC anche se SPF o DKIM sono passati singolarmente.
pct: La percentuale di messaggi a cui viene applicata la policy DMARC. Impostandola sotto il 100 l'applicazione riguarda solo quella quota di traffico, utile per un'implementazione graduale.
Disposizione (disposition): L'azione effettivamente applicata dal server destinatario a un messaggio, registrata per IP di origine nel report, per confermare se corrisponde alla policy dichiarata (p/sp).

Domande frequenti

Se nel vostro record DMARC avete indicato un indirizzo di posta nell'apposito campo, i principali fornitori vi invieranno ogni giorno allegati XML compressi. Se quel campo non è configurato non riceverete alcuna relazione: cominciate aggiungendolo al record TXT nel DNS.

No. La decompressione e l'analisi del file XML avvengono interamente in JavaScript nel browser e il contenuto non viene inviato ad alcun server esterno. Poiché le relazioni DMARC contengono anche gli indirizzi dei mittenti interni, la scelta progettuale tiene conto della riservatezza e della sicurezza.

Se sono mittenti legittimi a non superare i controlli, alzare la politica a quarantena o a rifiuto comporta il rischio che i loro messaggi non arrivino più. Finché la conformità non è sufficientemente alta, conviene mantenere la politica sul solo monitoraggio.

Lo strumento tratta soltanto le relazioni aggregate giornaliere. Le relazioni forensi, che contengono la copia dei singoli messaggi non conformi, hanno un formato diverso e non sono gestite.

La versione attuale accetta un file per volta. Per confrontare relazioni di più giorni, caricatele una alla volta e mettete a confronto i risultati.

A proposito — come le relazioni DMARC hanno reso visibile l'invisibile

DMARC è la specifica definita nel 2012 che riunisce due tecniche di autenticazione già esistenti, SPF e DKIM, e consente al dominio mittente di dichiarare nel DNS come debbano essere trattati i messaggi che non superano i controlli. Per molti amministratori, però, il valore maggiore non sta nell'applicazione della politica, ma nella funzione delle relazioni aggregate.

Prima di DMARC non esisteva quasi alcun modo per sapere quanti messaggi venissero inviati a nome di un dominio e quanti di questi provenissero da mittenti legittimi o da falsari. Anche quando la reputazione del proprio dominio veniva sfruttata, non ce ne si accorgeva finché non arrivava una lamentela: era una minaccia invisibile.

Le relazioni aggregate rendono visibile, per tutta la posta inviata nel mondo a nome di quel dominio, da quale indirizzo siano partiti quanti messaggi e come siano stati giudicati da SPF e DKIM. Poiché i grandi fornitori di posta inviano fedelmente le relazioni relative ai messaggi che ricevono, è possibile scoprire mittenti di cui non si era a conoscenza: servizi in cloud, strumenti di invio sottoscritti autonomamente da un collega oppure veri e propri falsari.

Da quando, nel 2024, Google e Yahoo hanno di fatto reso obbligatorio DMARC per chi invia grandi volumi di posta, la domanda di analisi delle relazioni aggregate è cresciuta rapidamente fra sviluppatori e amministratori. Molte aziende adottano servizi di monitoraggio a pagamento, ma per una consultazione occasionale è spesso sufficiente uno strumento gratuito che, come questo, lavori interamente nel browser.

Vedi tutte le curiosità