Negli ultimi mesi, i principali provider di posta (Google, Microsoft, Yahoo) hanno introdotto un comportamento più rigoroso nella gestione del protocollo DMARC.
Questo cambiamento – noto come “DMARC DNS Tree Walk” – può avere impatti diretti sulla consegna delle email provenienti dai sottodomini aziendali.
📘 Cos’è il DMARC e perché serve
DMARC (Domain-based Message Authentication, Reporting & Conformance) è il protocollo che consente a un dominio di:
- autenticare le email tramite SPF e DKIM,
- comunicare ai server riceventi come trattare i messaggi non conformi,
- ricevere report giornalieri sull’uso (o abuso) del proprio dominio.
In pratica, serve a dimostrare che un’email è davvero tua e a impedire che terzi ne inviino di false usando il tuo dominio.
🌳 Cos’è il “Tree Walk”
Tradizionalmente, quando un server riceve una mail da utente@shop.esempio.it, andava a cercare un record DMARC in:
_dmarc.shop.esempio.it
Se non lo trovava, controllava solo il dominio principale (_dmarc.esempio.it) e si fermava lì.
Oggi, con il nuovo approccio “Tree Walk”, molti provider risalgono l’intero albero DNS fino a trovare un record DMARC valido, anche attraverso sottodomini multipli come:
_dmarc.mail.marketing.shop.esempio.it
↓
_dmarc.marketing.shop.esempio.it
↓
_dmarc.shop.esempio.it
↓
_dmarc.esempio.it
In pratica, se un sottodominio non ha una policy propria, eredita automaticamente quella più vicina trovata sopra.
🧩 Esempio pratico
Nell’esempio sopra, il dominio principale esempio.it ha un record:
v=DMARC1; p=reject;
I sottodomini (shop.esempio.it, marketing.shop.esempio.it, ecc.) non hanno un record proprio.
Con il nuovo “Tree Walk”, i provider applicano automaticamente la stessa policy “p=reject” anche a loro.
Questo significa che email inviate da quei sottodomini, se non perfettamente configurate, possono venire rifiutate.
⚠️ Cosa può succedere
- Le email inviate da sistemi SaaS o strumenti esterni (
crm.esempio.it,newsletter.esempio.it) possono improvvisamente non arrivare. - I report DMARC includeranno ora sottodomini che prima non apparivano.
- Le policy troppo rigide (
p=reject) applicate senza controllo possono bloccare anche messaggi legittimi.
✅ Cosa fare subito
- Verifica tutti i sottodomini che inviano email (CRM, newsletter, ticketing, ecc.).
- Aggiungi record DMARC specifici se vuoi controllare separatamente la loro policy, ad esempio:
_dmarc.newsletter.esempio.it TXT "v=DMARC1; p=none;" - Se vuoi farli ereditare dal dominio principale, assicurati che il record principale includa il parametro:
sp=reject(così la policy vale per tutti i sottodomini in modo esplicito). - Monitora i report DMARC per capire chi invia email a nome tuo.