Il sito può funzionare perfettamente mentre la posta permette impersonazione o blocca il recupero password. Il problema vive nei record e nei servizi di invio, invisibile a un controllo visivo. Proteggi il dominio senza rifiutare messaggi aziendali legittimi.
Il modulo DNS email interroga MX, TXT, DMARC, CAA e discovery MTA-STS del nome obiettivo. Riporta segnali e conserva errori. Verifica il dominio che invia davvero: www.example.com non è automaticamente una valutazione completa della posta di example.com.
Ambito di questo audit
Cosa si può misurare
- MX, SPF TXT, _dmarc TXT, CAA e discovery _mta-sts osservati sul nome interrogato.
- Finali SPF permissivi o neutrali, conteggio diretto dei meccanismi che interrogano DNS e politica DMARC di monitoraggio.
- Controlli riusciti supportati ed errori DNS come prove.
Cosa non dimostra
- Il modulo nativo non invia messaggi, verifica arrivo in posta in entrata né ogni selettore DKIM.
- Il conteggio SPF non espande include ricorsivamente; un valore basso non prova il rispetto del limite.
- Un TXT MTA-STS presente non dimostra file HTTPS funzionante o TLS dei server di posta.
Analizza un obiettivo autorizzato e verificato con i moduli effettivi del piano e profilo. Questi controlli valutano configurazione pubblica; collegare il fornitore e provare consegna richiede altro lavoro.
Inventaria i mittenti prima di cambiare DNS
Elenca posta interna, assistenza, transazionale, fatturazione, marketing e servizi precedenti attivi. Registra dominio From visibile, mittente della busta, dominio firmatario DKIM e responsabile. Richiedi a ogni fornitore i record aggiornati; non indovinare un include copiato da un’altra azienda.
Conserva nome, risultato e ora. Un timeout DNS non è una risposta autorevole di assenza. Verifica sorprese con il fornitore e considera le cache. MX descrive ricezione; un dominio può inviare senza MX. Quindi il silenzio del controllo quando MX manca non dimostra invio sicuro.
Interpreta le politiche proporzionalmente
| Osservazione | Priorità tipica | Importanza |
|---|---|---|
| SPF termina con +all | Alta | Autorizza qualsiasi mittente |
| SPF o DMARC non osservato sul dominio di posta | Di solito media; verificare query e dominio | Manca politica contro impersonazione |
| Avviso limite SPF | Media | La valutazione può fallire |
| DMARC p=none | Bassa; può essere fase intenzionale | Monitoraggio senza richiesta di quarantena o rifiuto |
| CAA o discovery MTA-STS assente | Di solito bassa | Ulteriore rafforzamento da valutare |
Una debolezza non dimostra che una mail falsa sia arrivata. La presenza corretta di record non garantisce consegna. Dai priorità ai domini per accesso, fatture e supporto: gli abusi danneggiano direttamente la fiducia.
Correggi SPF senza perdere mittenti validi
SPF valuta il mittente connesso rispetto al dominio della busta, non autentica direttamente il From visibile. Pubblica un’unica politica coerente con i fornitori realmente usati. Evita +all; scegli la regola finale dopo prove delle sorgenti legittime.
Il protocollo limita a dieci i termini con query DNS durante la valutazione, inclusi include annidati e redirect. Il conteggio testuale Sitelemetry è un avviso iniziale, non valutazione ricorsiva. Esamina l’intera catena con i fornitori. Elimina prima vecchi mittenti e meccanismi inutili. Sostituire alla cieca include con IP fissi crea manutenzione quando cambia l’infrastruttura.
Porta DMARC dal monitoraggio all’applicazione graduale
DMARC collega il From visibile a SPF o DKIM allineato. Uno dei due meccanismi può bastare; entrambi non sono sempre obbligatori. DKIM usa selettori specifici: una scansione pubblica non può indovinare tutte le chiavi.
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.comÈ una politica illustrativa di monitoraggio. Sostituisci l’indirizzo con una casella controllata di cui puoi elaborare i rapporti; un destinatario esterno può richiedere autorizzazione DNS. Esamina rapporti e tutti i flussi, inclusi effetti degli inoltri. Risolvi l’allineamento prima di quarantine o reject. Un rilascio graduale evita di perdere fatture e recuperi password con inventario incompleto.
CAA e MTA-STS rispondono a domande diverse
CAA definisce le autorità autorizzate a emettere certificati. Allinea restrizioni a fornitori reali, certificati CDN e wildcard. Un vincolo imprudente può bloccare rinnovi. CAA assente è opportunità di rafforzamento, non prova che un aggressore possieda un certificato.
MTA-STS permette ai mittenti partecipanti di applicare una politica TLS alla posta in ingresso. TXT è solo una parte: file HTTPS, modelli MX e certificati devono concordare. Prova tutto prima di imporre. Non è HTTPS del sito; TXT assente non dimostra che tutta la posta viaggi senza cifratura.
Verifica record e consegna effettiva
- Salva valori DNS esistenti e responsabili dei servizi.
- Pubblica la modifica revisionata nel DNS autorevole e conferma il nome interrogato.
- Ricontrolla dopo i tempi di cache e ripeti lo stesso ambito.
- Invia messaggi controllati da ogni servizio a tuoi account di test.
- Esamina autenticazione del destinatario e rapporti DMARC; conferma password, fatture e risposte di supporto.
Separa controllo delle politiche e monitoraggio della consegna. Reputazione, filtri e contenuto contano anche con autenticazione riuscita. Documenta errori DNS, selettori non valutati e servizi non testati: un riepilogo verde non deve nascondere lacune.
Domande frequenti
Sitelemetry verifica che tutte le email arrivino in posta in entrata?
No. DNS pubblico valuta segnali di configurazione. Consegna richiede messaggi controllati, risultati di autenticazione del destinatario e dati del fornitore o casella.
DMARC p=none è configurazione sbagliata?
Può essere una fase intenzionale di monitoraggio. Non richiede applicazione; esamina rapporti e completa allineamento prima di irrigidire.
SPF può superare il limite anche dopo controllo riuscito?
Sì. Il controllo conta meccanismi visibili, senza valutare tutti gli include ricorsivamente. Verifica politiche annidate prima di dichiarare conformità completa.
Fonti e approfondimenti
- RFC 7208: Sender Policy Frameworkwww.rfc-editor.org
- RFC 9989: DMARCwww.rfc-editor.org
- RFC 8659: autorizzazione DNS delle autorità di certificazionewww.rfc-editor.org
- RFC 8461: sicurezza rigorosa SMTP MTAwww.rfc-editor.org
- RFC 9990: rapporti aggregati DMARCwww.rfc-editor.org
Preparato dal team Sitelemetry e verificato rispetto all’ambito del prodotto e alle fonti primarie citate. Gli esempi sono illustrativi, salvo quando è indicato un caso osservato.
