DMARC per le aziende di Monaco

Tre record DNS decidono se la vostra e-mail arriva

La maggior parte delle aziende monegasche scopre l'autenticazione delle e-mail nel modo peggiore. Un cliente dice di non aver mai ricevuto il preventivo. Una newsletter che finiva in posta in arrivo comincia a finire nello spam. Oppure — peggio — un fornitore chiama per una fattura che la vostra società non ha mai inviato.

Tutti e tre i problemi hanno la stessa origine: tre piccoli record nel DNS del vostro dominio, chiamati SPF, DKIM e DMARC. Non sono un accessorio di marketing. Sono il meccanismo con cui Gmail, Outlook e ogni altro provider di posta decidono se un messaggio che dichiara di provenire dal vostro dominio viene davvero da voi.

Se questi record mancano, sono errati o impostati su una policy che non fa nulla, seguono due conseguenze. La vostra posta legittima viene trattata con sospetto. E chiunque al mondo può inviare e-mail che sembrano partire dal vostro indirizzo, senza che nulla lo impedisca.

Si risolve in una settimana. Semplicemente, la maggior parte delle società qui non ha mai guardato.

Perché le regole si sono irrigidite, e perché non torneranno indietro

Per anni l'autenticazione è stata di fatto facoltativa. È cambiato tutto nel 2024, quando Google e Yahoo hanno introdotto requisiti vincolanti per chi invia grandi volumi, e si è stretto ancora quando Microsoft ha applicato regole analoghe ai mittenti ad alto volume verso gli indirizzi Outlook e Hotmail.

Oggi i requisiti si somigliano da un provider all'altro. Chi invia su larga scala — la soglia citata di solito è intorno ai 5.000 messaggi al giorno verso gli indirizzi di uno stesso provider — deve avere SPF e DKIM attivi, un record DMARC pubblicato, un dominio mittente allineato all'autenticazione, la disiscrizione in un clic sulle e-mail di marketing e un tasso di reclami sotto lo 0,3% circa.

Due dettagli pesano più del titolo. Primo: i provider sono passati dal filtraggio silenzioso al rifiuto vero e proprio — un bounce definitivo, non una cartella spam. Secondo, ed è il punto più rilevante per Monaco: le soglie di volume stabiliscono chi subisce l'applicazione forzata, non chi viene valutato. Un family office di dodici persone che manda quaranta e-mail al giorno viene giudicato sugli stessi segnali. Fallisce solo in modo più silenzioso.

Che cosa fa davvero ciascun record

SPF pubblica l'elenco dei server autorizzati a inviare posta per il vostro dominio. Se un messaggio arriva da un server che non è in quell'elenco, il destinatario capisce che qualcosa non torna.

DKIM aggiunge a ogni messaggio una firma crittografica legata a una chiave pubblicata nel vostro DNS. Dimostra che il messaggio proviene effettivamente dal vostro dominio e non è stato alterato lungo il percorso.

DMARC tiene insieme i due, ed è quello che manca più spesso. Comunica ai server riceventi due cose: cosa fare della posta che non supera SPF e DKIM (p=none, p=quarantine o p=reject) e dove inviare i rapporti sui tentativi di uso del vostro dominio.

Quella funzione di reporting è la metà sottovalutata. Un DMARC su p=none non blocca niente, ma avvia un flusso di dati che vi dice con precisione chi invia posta a nome del vostro dominio — compresi i sistemi che avevate dimenticato e quelli che non avete mai autorizzato.

La trappola dell'allineamento

È qui che la maggior parte delle aziende monegasche fallisce, e la colpa non è del record in sé.

Una piccola impresa tipica del Principato invia da più punti di quanti immagini: Microsoft 365 o Google Workspace per la posta quotidiana, una piattaforma di newsletter, il modulo di contatto del sito, un sistema di prenotazione o un CRM, un gestionale contabile che spedisce le fatture e spesso un'agenzia che invia per conto della società.

Ognuno di questi è un mittente per il vostro dominio. DMARC richiede l'allineamento: il dominio visibile nel campo Da deve coincidere con il dominio che ha autenticato il messaggio. Quando una piattaforma firma la posta con il proprio dominio invece del vostro, il messaggio supera tecnicamente DKIM ma fallisce l'allineamento, e DMARC lo considera non autenticato.

È la ragione numero uno per cui un'azienda attiva l'applicazione forzata e blocca all'istante la propria fatturazione o la newsletter. Ed è anche il motivo per cui l'inventario non è un passaggio opzionale. Prima di cambiare qualsiasi policy vi serve l'elenco completo di ogni sistema che invia posta a vostro nome, ciascuno configurato per firmare con il vostro dominio. Se il vostro impianto di e-mail marketing e CRM è cresciuto per stratificazione negli anni, aspettatevi di trovare almeno un mittente che nessuno ricorda di aver configurato.

Spoofing, frode sulle fatture e la scadenza di settembre 2026

Il profilo economico di Monaco rende la questione ben più di un problema di recapito. Gestione patrimoniale, immobiliare, yachting e ospitalità vivono di transazioni di valore elevato concluse via e-mail tra parti che a volte non si incontrano mai di persona. È esattamente il profilo che i truffatori prendono di mira con dirottamenti di pagamento e fatture false.

Un dominio non protetto rende il loro lavoro banale. Non devono violare nulla: mandano semplicemente un messaggio che dichiara di provenire dal vostro indirizzo amministrativo, perché dalla vostra parte nulla dice il contrario. Una policy DMARC su p=reject non ferma ogni variante di questa frode, ma chiude la via più diretta.

Il momento merita attenzione. L'obbligo monegasco di fatturazione elettronica strutturata inizia ad applicarsi dal 1° settembre 2026, con scaglioni per dimensione d'impresa. Man mano che la fatturazione diventa più sistematica e automatizzata, la posta legata alle fatture diventa un bersaglio più appetibile e un'impersonificazione più costosa. Gli studi il cui sito regge relazioni riservate con la clientela — lo schema abituale dietro i siti per la gestione patrimoniale — dovrebbero trattare la protezione del dominio dentro lo stesso progetto.

Arrivare all'applicazione forzata senza rompere nulla

La sequenza è noiosa e funziona.

Pubblicate DMARC su p=none con un indirizzo per i rapporti e lasciatelo lavorare due-quattro settimane. Leggete i rapporti — usando uno strumento di monitoraggio, perché l'XML grezzo è illeggibile. Costruite l'inventario completo dei mittenti da ciò che vedete e correggete SPF e allineamento DKIM per ogni fonte legittima, una alla volta. Passate poi a p=quarantine, all'inizio su una percentuale del traffico, e osservate. Solo a quel punto passate a p=reject.

Saltare direttamente a p=reject è il modo in cui le aziende scoprono che il gestionale contabile era l'unico mittente mai configurato. Non fatelo nella settimana in cui lanciate una campagna.

Poi mantenete. Ogni nuovo strumento aggiunto in seguito è un nuovo mittente, e i record DNS si disallineano quando le piattaforme cambiano infrastruttura. Rientra nella stessa routine del resto della vostra manutenzione del sito, non in una cartella di progetto chiusa una volta per tutte.

Cosa fare questo mese

Verificate cosa pubblica oggi il vostro dominio — un'interrogazione DMARC richiede pochi secondi. Se non c'è alcun record, pubblicatene uno su p=none oggi stesso: il rischio è minimo e i dati iniziano ad arrivare. Se il record esiste ma è fermo su p=none da un anno — il caso più frequente da queste parti — avete visibilità senza protezione.

Le modifiche DNS sono semplici per chi le fa abitualmente e facili da sbagliare in modo poco appariscente per tutti gli altri: un solo record SPF malformato può peggiorare il recapito di ogni messaggio che inviate. Se il vostro lavoro passa dalle e-mail, inseritelo in una revisione più ampia di strategia digitale invece di trattarlo come un'incombenza informatica.

Volete un audit dell'autenticazione e-mail del vostro dominio e un passaggio sicuro all'applicazione forzata? Contattateci — vi diremo a che punto siete prima di cambiare qualsiasi cosa.