Configurare Sophos Email DMARC Manager

DMARC Manager mostra quali sistemi inviano per conto di un dominio e se SPF o DKIM sono allineati per DMARC. Il servizio Sendmarc è integrato in Sophos Central. Un avvio sicuro separa tre attività: raccogliere report, correggere i mittenti legittimi e solo dopo irrigidire la policy DMARC.

Percorso rapido: verifica licenza e accesso DNS, registra lo stato corrente, fai clic su DMARC Reporting per il dominio, pubblica senza modifiche il CNAME indicato da View Setup Instructions e controllalo con Verify. Attendi 24-48 ore, quindi classifica i mittenti noti e sconosciuti.

Importante: una migrazione DMARC cambia i destinatari dei report di autenticazione ed eventualmente il record DNS DMARC gestito. Non cambia record MX o connettori mailflow Sophos e non è un cutover del flusso di posta. Non modificare MX, smart host o connettori senza un progetto separato approvato.

Registrare prerequisiti e stato corrente

Servono una licenza Sophos Email o Sophos Email Monitoring System (EMS), l’add-on DMARC Manager e accesso in scrittura alla zona DNS autoritativa di ogni dominio mittente. Definisci responsabili, finestra di modifica e rollback.

Per ogni dominio registra:

• il record DMARC completo in _dmarc.example.com, inclusi v=DMARC1, policy, percentuale, rua, ruf, aspf e adkim;
• ogni servizio legittimo, return-path, selettore DKIM, team responsabile e volume previsto;
• destinatari correnti dei report, conservazione e requisiti privacy;
• TTL, deleghe CNAME, TXT o NS e backup della zona;
• conformità e volume di riferimento e inoltri noti.

Un nome DNS non può avere contemporaneamente un CNAME e altri record. Verifica se l’host mostrato è già occupato. In Cloudflare imposta il nuovo CNAME su DNS only; il proxy può impedire risoluzione o verifica.

Attivare DMARC Reporting per un dominio

1. In Sophos Central apri Global Settings > Products and Services > Email, quindi Gateway Domains o M365 Mailflow Domains.
2. In DMARC Reporting, fai clic su Not verified. Se appare DMARC reporting setup, leggilo e scegli Proceed.
3. Apri la scheda DMARC e fai clic su View Setup Instructions.
4. Copia esattamente host, destinazione e TTL del CNAME mostrato nella zona autoritativa. Non usare valori di esempio.
5. Dopo la pubblicazione fai clic su Verify. Se fallisce subito, attendi la propagazione e ricontrolla host e destinazione.
6. Valuta separatamente le opzioni aggiuntive. Seleziona Save & Back e conferma lo stato Reporting.

In alternativa, Entri può pubblicare i record DNS, ma solo per i provider DNS supportati. Dalla configurazione del record seleziona Configure DNS, quindi Continue. Se Entri non rileva automaticamente il provider, selezionane uno supportato. Il responsabile DNS autorizza quindi il provider; se le responsabilità sono separate, inoltragli l’accesso per l’autorizzazione. Usa Change provider per correggere la selezione quando necessario, quindi scegli Connect e Done. Verifica poi che Entri abbia effettivamente applicato i record richiesti, torna alla configurazione restante del dominio e completa i controlli di verifica e accettazione esistenti. Done da solo non dimostra che il DNS autoritativo sia efficace. Per un provider non supportato usa il percorso manuale; il backup della zona e il rollback approvato valgono per entrambi i percorsi.

Sophos consiglia CNAME perché le modifiche future nel portale non richiedono un nuovo aggiornamento manuale del TXT DMARC. È supportato anche TXT, ma va ripubblicato dopo ogni modifica. Fanno fede i valori del portale.

Apri la vista avanzata da My Products > Email Security > DMARC Manager > Manage DMARC. In Accounts > Domains, scegli Edit Settings e la scheda DMARC.

Osservare prima e irrigidire la policy con cautela

In Policy Settings, avvia un dominio nuovo o non ancora corretto con DMARC Policy: None, normalmente p=none. I destinatari inviano report senza che la policy richieda quarantena o rifiuto. È una fase di osservazione, non la protezione finale.

In Aggregate Reports > Reports Will Be Sent To, inserisci solo destinatari aggiuntivi necessari e approvati. In Failure Reports puoi attivare Report Processing: Enabled e scegliere l’ambito in Report Options. I report possono contenere dati personali o del messaggio: approva prima destinatari e conservazione.

Scegli consapevolmente Strict o Relaxed in Alignment Settings. DMARC passa quando riesce almeno un percorso allineato: SPF con envelope-from corrispondente o DKIM con dominio di firma corrispondente. Un pass SPF o DKIM non allineato al From visibile non basta.

Dopo almeno due settimane di dati rappresentativi e la correzione delle fonti legittime, passa gradualmente da None a Quarantine e poi Reject. Prima controlla sistemi critici, inoltri, sottodomini e rollback. Applica con Save; un punteggio più alto da solo non giustifica l’enforcement.

Comprendere i limiti della migrazione dei report

L’attuale guida alla migrazione non stabilisce passaggi operativi per trasferire la consegna dei report da un’altra piattaforma a DMARC Manager. Ogni provider può gestire in modo diverso destinatari, record TXT DMARC o deleghe DNS. Prima di cambiare qualsiasi destinazione, gli amministratori devono convalidare con il provider attuale e Sophos i requisiti specifici di passaggio, coesistenza, conservazione e rollback.

Una modifica del reporting non è un cutover del flusso di posta: non modificare record MX, smart host o connettori mailflow Sophos. Non pubblicare mai due record DMARC per lo stesso dominio e non presumere che i destinatari possano funzionare in parallelo senza supporto e approvazione espliciti di entrambi i provider.

Interpretare riepilogo e report del portale

Il riepilogo è in My Products > Email Security > DMARC Manager. Almeno un dominio deve essere Reporting e generare posta in uscita. I dati iniziali arrivano normalmente dopo 24-48 ore. Con Domain e Date Range scegli un dominio o All domains; il valore predefinito è 30 giorni, il massimo personalizzato 365.

Domain Score e Risk Level aiutano a stabilire le priorità. Il Domain Score attuale è composto da Impersonation (80%) per DMARC, SPF e DKIM, Branding (5%) per BIMI e Privacy (15%) per TLS-RPT e MTA-STS. Le condizioni pubblicate sono:

• DMARC mancante, configurato in modo errato o impostato su None produce una valutazione bassa; Quarantine è moderata e Reject alta. La mancanza di configurazione o allineamento SPF/DKIM può ridurre Impersonation;
• senza BIMI, Branding vale 0; con BIMI valido e un VMC vale 5;
• Privacy dipende dalla completezza di TLS-RPT e MTA-STS e dallo stato MTA-STS In Testing o Enforced. Con entrambi i record presenti, In Testing produce 4 e Enforced produce 5. La documentazione Sophos riporta valori contraddittori per gli stati intermedi incompleti, quindi non ricavarne una formula esatta.

Considera il punteggio un indicatore di configurazione aggiornato in ritardo, non una decisione sulla preparazione all’enforcement. Le modifiche possono comparire il giorno successivo; il punteggio da solo non deve determinare un irrigidimento della policy. Valuta inoltre:

• Passing, Failing e Forwards nella tendenza;
• nuovi paesi, IP o hostname e variazioni improvvise di volume;
• mittenti ad alto volume e bassa conformità;
• differenze tra piattaforma prevista, SPF, DKIM e allineamento.

Usa View report o Manage DMARC per i dettagli. Email Senders associa IP, hostname, volume, Compliance, Deliverability e Reputation. Failure Reports offre dettagli per messaggio se disponibile e approvato. TLS-RPT Reports riguarda il trasporto TLS, non l’autenticazione DMARC.

Approva un mittente solo dopo conferma tecnica e organizzativa: responsabile, scopo, SPF o DKIM e allineamento devono coincidere.

Accettare la modifica e gestirla nel tempo

La configurazione è accettata quando:

• Sophos Central mostra Reporting e il DNS autoritativo restituisce il valore previsto;
• i report aggregati del traffico corrente arrivano entro 24-48 ore;
• ogni mittente critico ha un responsabile e un risultato di allineamento spiegato;
• policy, allineamento e destinatari aggiuntivi approvati sono nel change log.

Invia alert su cali di conformità, nuovi mittenti e problemi DNS a una casella monitorata. Se manca un alert, controlla lo spam per alert@sophosdmarc.com. Ogni mese rivedi mittenti sconosciuti, servizi dismessi, DNS e policy.

Risolvere sistematicamente i problemi comuni

Verifica non riuscita: interroga il DNS autoritativo per l’host esatto; escludi errori, suffissi duplicati, conflitti CNAME, TTL e proxy Cloudflare. Ripeti Verify senza creare record concorrenti.

Nessun dato dopo 48 ore: conferma Reporting, traffico in uscita e un record effettivo che inoltri i report al manager. Controlla fuso orario e filtri Domain e Date Range; attendi di più con basso volume.

Mittente legittimo non conforme: esamina separatamente envelope-from, From visibile, dominio e selettore DKIM. L’inoltro può rompere SPF, mentre DKIM allineato può far passare DMARC. Non allentare globalmente aspf o adkim; correggi prima il servizio.

Mittente sconosciuto: non approvarlo. Registra IP, host, volume, paesi, periodo e dominio, cerca un responsabile interno e trattalo come abuso se non autorizzato.