Come appare il messaggio
550 5.7.1 Unauthenticated email from example.com is not accepted due to domain's DMARC policy. Please contact the administrator of example.com domain if this was a legitimate mail.Cause frequenti
- Un servizio invia posta per il tuo dominio (strumento newsletter, CRM, ticket) ma non è nel tuo SPF e non firma con la chiave DKIM del tuo dominio.
- L'allineamento fallisce: SPF o DKIM passano, ma per il dominio del provider e non per il dominio dell'indirizzo From.
- Un inoltro o una mailing list cambia il messaggio o il server mittente, rompendo SPF e DKIM.
- La policy è stata impostata su
p=rejectprima che tutti i mittenti fossero pronti. - Il record SPF è rotto, ad esempio oltre il limite di ricerche, quindi SPF fallisce per tutti.
Verifica
- Qual è la tua policy DMARC?
- Cosa contiene il tuo record SPF?
dig +short TXT example.com | grep spf1 - Quale risultato ha visto il destinatario? Guarda il messaggio di rimbalzo o gli header
grep -iE 'authentication-results|dmarc=|spf=|dkim=' bounce.eml - La chiave DKIM per il selector del mittente è pubblicata?
dig +short TXT selector1._domainkey.example.com
Soluzione
- Aggiungi il servizio mittente al tuo record SPF e resta sotto le 10 ricerche DNS. Il controllo SPF le conta.
- Attiva DKIM per il tuo dominio presso il servizio, così firma con
d=example.come non con il suo dominio. - Assicurati che l'indirizzo From usi lo stesso dominio che SPF o DKIM autenticano (allineamento).
- Se i mittenti non sono pronti, torna a
p=noneoquarantinee leggi prima i report aggregati (rua). - Per la posta inoltrata affidati a DKIM, che sopravvive all'inoltro, non a SPF.
Domande frequenti
Perché fallisce solo con alcuni destinatari?
Rifiutano solo i destinatari che applicano DMARC. Altri, come i piccoli server, possono ignorare la tua policy.
Come arrivo a p=reject in sicurezza?
Parti con p=none e un indirizzo per i report, correggi ogni mittente legittimo in base ai report, poi passa a quarantine e solo dopo a reject. Il generatore DMARC costruisce il record.