Approfondimenti su DMARC, autenticazione email e protezione dei domini dallo spoofing.
Ogni guida ripete che un SPF largo allarga la superficie d'attacco. Quasi nessuna dice di quanto, e l'aritmetica è più insidiosa che sommare i range ip4. Ecco i quattro modi in cui il conto ingenuo mente, fatti su record di fornitori veri: risolti dal DNS e ricalcolati, non ripresi a memoria.
Hai pubblicato il record, hai puntato il tag rua= su una casella, e dopo una settimana non c''è ancora niente da leggere. Le verifiche che trovano la causa hanno un ordine preciso, e quasi tutti gli elenchi in circolazione le danno alla rinfusa. Qui c''è la sequenza — compresa la causa di cui non parla nessuno: i report esistono, e stanno andando a qualcun altro.
La prima dashboard DMARC mostra un muro di "fail" e la domanda che viene è se qualcuno stia falsificando il tuo dominio. Di solito no: nei report aggregati "fail" indica due cose diverse, e quella allarmante è molto più rara di quella innocua. Ecco la regola che le separa, applicata a righe di report vere.