Non usi il tuo dominio per inviare email? Proteggilo dallo spoofing

Anche se non usi il tuo dominio per inviare email, qualcuno potrebbe provare a usarlo per impersonarti. Per prevenire ciò, devi indicare che nessuno è autorizzato a inviare email da quel dominio.

Questo può accadere con domini che hai acquistato per proteggere il tuo marchio, domini che usi solo per visualizzare un sito web o domini che reindirizzano a un altro indirizzo. Anche se non hai mai creato un account email come contatto@iltuodominio.com, qualcuno potrebbe provare a usare quell’indirizzo per inviare email fraudolente fingendo di essere te.

La soluzione è pubblicare regole chiare nei record DNS del dominio, indicando quali servizi sono autorizzati a usarlo.

Come possono inviare email se non hanno accesso al tuo dominio?

L’indirizzo che appare come mittente di un’email può essere falsificato. È simile a scrivere un indirizzo falso sul ritorno di una lettera: l’apparenza di un indirizzo non prova che il messaggio provenga effettivamente da lì.

Questa pratica è conosciuta come email spoofing o impersonificazione del mittente. Un attaccante potrebbe inviare messaggi che sembrano provenire da indirizzi come:

• fatturazione@iltuodominio.com
• supporto@iltuodominio.com
• amministrazione@iltuodominio.com

Non hanno bisogno di accedere al tuo pannello o conoscere le tue password per provarci. L’obiettivo è solitamente sfruttare la fiducia generata dal nome del dominio per richiedere pagamenti, rubare credenziali o distribuire file dannosi.

Quando qualcuno riceve una di queste email, il loro servizio email controlla i record DNS del dominio per verificare se il messaggio è stato inviato da un server autorizzato. Se il dominio non ha regole chiare, sarà più difficile rilevare che il mittente è falso e decidere se il messaggio deve essere accettato, inviato allo spam o rifiutato.

Il tuo dominio può essere esposto anche se non ha account email

Non usare email con un dominio può creare un falso senso di sicurezza. Proprio perché nessuno ne controlla la configurazione, è comune che questi domini non abbiano alcuna protezione specifica contro questo tipo di impersonificazione.

Questo scenario è comune in:

• Domini acquistati per proteggere un marchio.
• Variazioni del dominio principale.
• Domini che reindirizzano a un altro sito web.
• Domini usati solo per una landing page.
• Vecchi domini che non inviano più email.
• Sottodomini destinati ad applicazioni o servizi interni.

Ad esempio, un’azienda potrebbe lavorare con ilmiomarchio.com, ma avere anche registrato ilmiomarchio.es per proteggere il suo nome. Anche se il secondo dominio reindirizza solo al sito principale, è consigliabile prevenire che qualcuno provi a inviare email da amministrazione@ilmiomarchio.es.

I tre record che dovresti conoscere

SPF, DKIM e DMARC formano il sistema di autenticazione che permette di verificare se un’email è autorizzata. Tuttavia, non tutti sono usati allo stesso modo quando un dominio non invia messaggi.

Puoi controllare se il tuo dominio ha queste misure di protezione configurate con strumenti come DMARC Domain Checker. Devi solo inserire il nome del tuo dominio per controllare i suoi record SPF, DKIM e DMARC e rilevare se ne manca qualcuno.

SPF: indica che nessuno è autorizzato a inviare email dal dominio

SPF è un record DNS che definisce quali server sono autorizzati a inviare messaggi per conto di un dominio.

Quando il dominio non dovrebbe inviare alcuna email, puoi pubblicare una politica che indica che nessun server è autorizzato:

v=spf1 -all

La parte -all indica che nessun server ha il permesso di inviare email da quel dominio. Se qualcuno prova a farlo, il messaggio non supererà il controllo SPF e il servizio ricevente può identificarlo come non autorizzato.

Non è lo stesso che lasciare il dominio senza un record SPF. Se questo record non esiste, i servizi email non sanno chiaramente chi può inviare messaggi dal dominio. Tuttavia, con v=spf1 -all indichi esplicitamente quanto segue:

Questo dominio non è usato per inviare email. Pertanto, qualsiasi messaggio inviato da esso dovrebbe essere considerato non autorizzato.

DKIM: non hai bisogno di una firma se non invii

DKIM aggiunge una firma digitale alle email che invii. Il servizio che riceve il messaggio può verificare quella firma usando una chiave pubblicata nei record DNS del dominio. In questo modo, può verificare che l’email provenga da un servizio autorizzato e che il suo contenuto non sia stato modificato durante la trasmissione.

Se il dominio non è usato per inviare email, non ci sono messaggi da firmare e, quindi, non è necessario configurare DKIM.

Cosa succede se vuoi inviare email?

In tal caso, dovresti attivare DKIM. Non devi creare la firma tu stesso: il servizio che usi per inviare email, come il tuo provider di posta elettronica, una piattaforma di newsletter o un’applicazione, ti fornirà il record DKIM che devi aggiungere al DNS. Se usi il servizio email di cdmon, puoi controllare cosa è il DKIM individuale e perché è importante configurarlo.

Ogni servizio può usare la propria chiave. Pertanto, se invii email da più piattaforme, devi seguire le istruzioni di ciascuna e aggiungere i record DKIM che forniscono.

DMARC: indica cosa fare con le email che pretendono di essere dal tuo dominio

DMARC non rifiuta le email da solo. È una regola che dice ai servizi email, come Gmail o Outlook, cosa fare quando ricevono un messaggio che sembra essere inviato dal tuo dominio ma non supera i controlli di sicurezza.

Ad esempio, puoi indicare che quelle email dovrebbero essere rifiutate in modo che non raggiungano i loro destinatari.

In un dominio che non usi per inviare email, puoi aggiungere questa regola:

v=DMARC1; p=reject;

Questa regola è memorizzata in un record TXT, un tipo di record DNS che consente di aggiungere informazioni scritte al dominio. In questo caso, serve a dire a servizi come Gmail o Outlook cosa fare con le email che cercano di impersonare il tuo dominio.

Devi aggiungere questo record dal pannello del provider che gestisce i DNS del tuo dominio. Se li gestisci in cdmon, controlla la guida su come configurare un record TXT.

Crea un nuovo record TXT e inserisci questi dettagli:

• Nome o host: _dmarc
• Tipo di record: TXT
• Valore o contenuto: v=DMARC1; p=reject;

Non è necessario scrivere completamente _dmarc.iltuodominio.com se il pannello aggiunge automaticamente il nome del tuo dominio. Prima di salvarlo, controlla come viene visualizzato il risultato: dovrebbe apparire come _dmarc.iltuodominio.com.

Se vuoi anche proteggere i sottodomini, usa questo valore:

v=DMARC1; p=reject; sp=reject;

La parte sp=reject applica la stessa protezione agli indirizzi che usano sottodomini, come supporto@negozio.iltuodominio.com.

Non confondere l’invio di email con la ricezione

I record SPF e DMARC aiutano a prevenire che qualcuno invii email fingendo di essere dal tuo dominio. I record MX servono a un’altra funzione: indicano quali server dovrebbero ricevere le email che ricevi.

Per questo motivo, dovresti distinguere tra due situazioni.

Il dominio non invia, ma riceve email

Se non usi il dominio per inviare email ma vuoi continuare a riceverle o reindirizzarle a un altro indirizzo, puoi bloccare l’invio tramite SPF e DMARC come abbiamo visto nella sezione precedente. Questi record aiutano a prevenire che altri inviino messaggi fingendo di essere dal tuo dominio.

Per continuare a ricevere email, lascia i record MX come appaiono nei DNS del dominio. Non è necessario crearne altri o aggiungere il loro contenuto a SPF o DMARC.

Non eliminare o sostituire i record MX, poiché smetteresti di ricevere messaggi.

Il dominio non invia e non riceve email

Se non usi il dominio per inviare o ricevere email, puoi configurare un record chiamato Null MX. Questo record indica chiaramente che il dominio non ha alcun servizio email e, quindi, non accetta messaggi.

Per configurarlo, accedi al pannello da cui gestisci i DNS del dominio e crea un record MX con questi dettagli:

• Nome o sottodominio: @
• Destinazione: .
• Priorità: 0

Se il dominio ha già altri record MX, dovrai eliminarli, poiché indicano che ci sono server autorizzati a ricevere le sue email. Fai questo solo se hai verificato che non usi alcun account email, alias o reindirizzamento collegato al dominio.

Il Null MX è più adatto che lasciare il dominio senza record MX. Se semplicemente li elimini, alcuni server potrebbero provare a consegnare messaggi all’indirizzo IP del sito web. Invece, il Null MX li informa direttamente che il dominio non riceve email ed evita quei tentativi inutili.

Se gestisci i DNS in cdmon, puoi controllare la guida su come configurare un record MX. Se il pannello non consente di inserire un punto (.) come destinazione, contatta il team di supporto prima di modificare i record attuali.

Configurazione raccomandata in base all’uso del dominio

Uso Email	SPF	DKIM	DMARC	MX
Non invia · Riceve	v=spf1 -all*	Non necessario	p=reject*	Mantenere MX
Non invia · Non riceve	v=spf1 -all	Non necessario	p=reject; sp=reject	Null MX
Invia tramite un servizio	Autorizzare server reali	Configurare la chiave del servizio	Rivedere prima di applicare reject	Secondo il servizio ricevente

* Dovresti usare queste politiche solo se hai verificato che il dominio non invia messaggi da moduli, newsletter, applicazioni o altre piattaforme.

Prima di applicare una politica di rifiuto, rivedi tutti i tuoi invii

Un dominio può inviare email anche se non usi una casella di posta per farlo. Ad esempio:

• Moduli di contatto di WordPress.
• Conferme di acquisto di WooCommerce.
• Fatture automatiche.
• Avvisi di prenotazione.
• Recuperi password.
• Newsletter e campagne commerciali.
• Notifiche di applicazioni.
• Servizio clienti.

Se configuri v=spf1 -all o DMARC con p=reject mentre il tuo sito web o qualche servizio continua a inviare email dal dominio, quei messaggi potrebbero essere bloccati anche se sono legittimi.

Prima di cambiare i record, fai un inventario di tutti i servizi associati al dominio. Se ne scopri qualcuno, dovrai autorizzarlo tramite SPF, attivare il suo DKIM e assicurarti che entrambi siano correttamente allineati con DMARC.

Come proteggere un dominio che non invia email in cdmon

Se i DNS del dominio sono gestiti in cdmon, puoi rivedere l’autenticazione dal Pannello di Controllo.

Prima di modificare qualsiasi cosa:

1. Conferma che nessun account, sito web o piattaforma esterna invii email dal dominio.
2. Controlla se il dominio riceve messaggi o utilizza reindirizzamenti.
3. Salva una copia dei record DNS attuali.
4. Rivedi se i record SPF o DMARC esistono già. Non dovresti creare due record SPF o due politiche DMARC per lo stesso dominio.
5. Configura la politica corrispondente all’uso effettivo del dominio.
6. Attendi che le modifiche DNS si propaghino e controlla nuovamente i record.

Da ConnectiLogs, puoi controllare lo stato di SPF, DKIM e DMARC dei tuoi domini e rilevare se manca qualche configurazione.

Se non sei sicuro se un modulo, un’applicazione o una piattaforma esterna stia inviando messaggi, non applicare direttamente una politica di rifiuto. Prima, rivedi la configurazione o contatta il team di supporto cdmon.

Errori comuni da evitare

Pensare che non avere record MX impedisca l’invio di email

I record MX sono usati per ricevere messaggi. Rimuoverli non impedisce a qualcuno di provare a mostrare il tuo dominio come mittente.

Creare un secondo record SPF

Un dominio dovrebbe avere solo un record SPF. Se ne esiste già uno, dovresti modificarlo o sostituirlo come appropriato, non aggiungerne un altro separatamente.

Applicare p=reject senza rivedere moduli e piattaforme

Anche se non usi account email, il tuo sito web potrebbe inviare conferme, avvisi o risposte automatiche. Una politica troppo rigida può bloccare questi messaggi legittimi.

Pubblicare un Null MX quando hai ancora bisogno di ricevere messaggi

Il Null MX indica che il dominio non accetta alcuna email. Impedirà anche il funzionamento di account, alias e reindirizzamenti.

Dimenticare i sottodomini

Un attaccante può anche provare a usare indirizzi associati a sottodomini. Il tag sp=reject consente di indicare una politica di rifiuto per loro.