Guida al rollout di DMARC in Microsoft 365: da None a Reject senza interrompere la posta

By Mirko Peters · 2026-10-21

Scopri come introdurre in sicurezza DMARC in Microsoft 365, dal monitoraggio fino al rifiuto rigoroso, senza compromettere la consegna della posta legittima dell'organizzazione.

Automatically translated with AI from the original post. Read the English original

Introdurre i protocolli di autenticazione della posta in un tenant Microsoft 365 può sembrare come disinnescare una bomba se si procede nel disordine. Questa guida passo passo al rollout di DMARC in Microsoft 365 accompagna gli amministratori IT nella transizione sicura dal monitoraggio iniziale a un criterio di rifiuto rigoroso, evitando di far finire nel nulla per errore fatture aziendali legittime, campagne di marketing o avvisi automatici.

Punti chiave

• Introduci sempre l'autenticazione della posta nell'ordine corretto: prima SPF, poi DKIM e infine DMARC.
• Avvia il criterio DMARC con p=none per monitorare il traffico e mappare tutti i servizi di invio legittimi e non autorizzati.
• Evita di superare il limite di 10 ricerche DNS in SPF controllando con attenzione i servizi di terze parti, come le piattaforme di marketing e i sistemi di help desk.
• Passa gradualmente attraverso quarantena e percentuali di applicazione prima di arrivare a un criterio di rifiuto rigoroso.
• Configura i report aggregati affinché vengano inviati a una casella condivisa anziché alla posta personale di un utente, per garantire una visibilità continua.

La regola d'oro dell'ordine di implementazione

Se ricordi un solo principio durante il progetto di rafforzamento della sicurezza, ricorda l'ordine di implementazione. Le organizzazioni spesso incontrano problemi perché applicano gli standard in ordine invertito. Poiché il sistema di posta si basa su protocolli legacy come SMTP, nati per la fiducia anziché per la verifica, introdurre un criterio di applicazione rigoroso prima di mappare l'infrastruttura farà fallire la posta legittima.

La sequenza corretta costruisce una rete di sicurezza in ogni fase. Devi prima stabilire la lista degli ospiti, applicare i sigilli antimanomissione e solo dopo introdurre l'arbitro che tiene insieme ogni cosa. Saltare avanti ti lascia nel dubbio sui tuoi flussi di posta e affidarsi alle supposizioni è il modo più rapido per far bloccare le email aziendali dai destinatari esterni.

Primo passo: stabilire SPF e i pericoli dei limiti di ricerca

La prima mossa è pubblicare un record Sender Policy Framework (SPF) alla radice del dominio. Pensalo come la lista degli ospiti all'ingresso di un club esclusivo. Indica esplicitamente al mondo quali server sono autorizzati a trasmettere email che riportano il nome del tuo dominio.

Quando scrivi il record SPF iniziale di Microsoft 365, concludilo con un soft fail (~all) anziché con un hard fail (-all). Questo dice ai server riceventi di trattare la posta non autorizzata con sospetto anziché rifiutarla immediatamente. Questo periodo di tolleranza ti offre lo spazio per individuare eventuali servizi che hai dimenticato.

Evitare la trappola delle dieci ricerche

Un errore frequente nella gestione di SPF è il rigido limite di 10 ricerche. Ogni volta che un server ricevente elabora il tuo record SPF e incontra un meccanismo che richiede una query DNS separata, come una piattaforma di marketing automation di terze parti, un help desk di assistenza clienti o un fornitore di servizi paghe, consuma una ricerca dal tuo budget.

Se l'organizzazione aggiunge troppi servizi esterni, il numero totale di ricerche supererà dieci e l'intera valutazione SPF fallirà. Analisi di milioni di domini mostrano che una percentuale sorprendente di aziende compromette involontariamente la propria sicurezza della posta in questo modo. Verifica regolarmente i servizi per mantenere leggero il tuo impatto SPF.

Secondo passo: attivare DKIM in Microsoft 365

Una volta pubblicata la lista dei destinatari, ti serve un modo per assicurarti che i messaggi non vengano manomessi durante il transito. DomainKeys Identified Mail (DKIM) funziona come un sigillo di ceralacca digitale apposto su ogni messaggio in uscita. Include una firma crittografica che copre l'oggetto, il corpo del messaggio e l'indirizzo Da: visibile.

In Microsoft 365, le email inviate dal dominio predefinito onmicrosoft.com vengono firmate automaticamente. Tuttavia, il tuo dominio aziendale personalizzato rimane senza firma finché non configuri esplicitamente DKIM nell'interfaccia di amministrazione. Per farlo correttamente, devi creare entrambi i record selector (selector1 e selector2) nel tuo DNS pubblico. Questa configurazione a doppio puntatore consente a Microsoft di ruotare in seguito le chiavi di firma senza causare interruzioni del servizio.

Google e altri importanti provider consigliano di lasciare che SPF e DKIM funzionino correttamente per almeno 48 ore prima di intervenire su DMARC. Questo periodo di assestamento garantisce che i controlli di base siano solidi prima che arrivi l'arbitro.

Passo tre: distribuire DMARC in modalità monitoraggio

Domain-based Message Authentication, Reporting, and Conformance (DMARC) fa da arbitro. Non esegue un proprio test sul contenuto del messaggio; invece, esamina i risultati dei controlli SPF e DKIM e verifica se sono allineati con il nome di dominio visibile nella riga Da:.

Quando pubblichi per la prima volta il record TXT di DMARC in _dmarc.yourdomain.com, il parametro di policy deve essere impostato in modalità di sola osservazione: p=none. Letto da sinistra a destra, questo record dice ai server di ricezione: «Questo è un record DMARC, per ora non applicare alcuna azione di enforcement se i controlli falliscono e invia i report aggregati a questo indirizzo email».

Non saltare mai questa fase di monitoraggio. I report aggregati giornalieri (RUA), recapitati come file XML, riveleranno ogni singolo servizio, legittimo o malevolo, che invia posta per conto del tuo dominio. Indirizza questi report a una casella condivisa monitorata invece che alla posta di un singolo dipendente, così non andranno persi durante le ferie.

Passo quattro: passare da quarantena a rifiuto

Quando i report settimanali mostrano che tutti i flussi di posta legittimi superano correttamente l'allineamento, è il momento di stringere le viti. Il parametro di policy DMARC attraversa tre diverse modalità operative:

• None (p=none): la torre di osservazione. Puramente osservativa, usata per il controllo e la raccolta dei dati dei report aggregati.
• Quarantine (p=quarantine): l'etichetta di avvertimento. Indica ai server di ricezione di contrassegnare le email sospette o non superate, di solito instradandole direttamente nella cartella posta indesiderata o spam del destinatario.
• Reject (p=reject): la porta blindata. Indica ai destinatari di scartare del tutto i messaggi non autenticati o falsificati prima che raggiungano una casella di posta.

Per rendere questa transizione il più possibile graduale, usa le percentuali di DMARC (pct=). Puoi applicare la quarantena o il rifiuto a una piccola parte della posta non superata, ad esempio il 10%, poi il 25% e infine il 50%, prima di impegnarti completamente. Questo aumento progressivo evita interruzioni improvvise dell'attività se uno strumento di newsletter non autorizzato ti sfugge di mente.

Conclusione

Proteggere l'infrastruttura di posta elettronica della tua organizzazione dalla Business Email Compromise (BEC) e dallo spoofing di dominio richiede pazienza e una strategia di implementazione metodica. Configurando SPF, abilitando DKIM e aumentando con cautela la policy DMARC dall'osservazione fino al rifiuto rigoroso, proteggi il nome della tua azienda e garantisci che le comunicazioni autentiche arrivino sempre a destinazione.

Per approfondire il funzionamento dei protocolli di autenticazione delle email, ascolta l'episodio completo per approfondimenti di esperti, strategie di architettura pratiche e indicazioni operative per il tuo tenant di Microsoft 365.

Domande frequenti

Per quanto tempo devo mantenere la policy DMARC impostata su none in Microsoft 365?

Google e gli esperti di sicurezza delle email consigliano di mantenere la policy DMARC impostata su p=none per almeno una settimana. Questo periodo ti permette di raccogliere report aggregati completi che coprono i flussi di posta aziendali settimanali e ciclici.

Perché devo abilitare DKIM prima di attivare DMARC?

DKIM firma crittograficamente il messaggio e viaggia con esso, sopravvivendo agli inoltri che spesso compromettono SPF. Avere SPF e DKIM configurati correttamente garantisce che l'allineamento DMARC superi i controlli in modo affidabile.

Microsoft 365 invia report forensi DMARC?

No. Microsoft 365 invierà i report aggregati (RUA) all'indirizzo di reporting che hai indicato, ma non genera né invia report forensi (RUF), anche se li richiedi nel tuo record DMARC.

Cosa succede se pubblico due record DMARC per il mio dominio personalizzato?

Pubblicare più record DMARC confonde i server di posta ricevente, che finiscono per non applicare alcun criterio, vanificando completamente i tuoi sforzi di sicurezza. Assicurati sempre che il dominio abbia esattamente un solo record TXT DMARC.