Report DMARC: capirli e archiviarli con un filtro Gmail

Publié le 06 novembre 2026

Simbolo di una busta luminosa al neon su sfondo nero, che richiama le email, la sicurezza e i report DMARC

Una mattina trovi nella posta un messaggio di Google intitolato «Report domain: votre-domaine.fr Submitter: google.com Report-ID: …», con un allegato compresso. Il giorno dopo arriva un messaggio simile da Microsoft, poi da Yahoo e da altri. Nessun testo, nessuna spiegazione, soltanto un file. Phishing? Un attacco informatico? Niente di tutto questo: sono report DMARC aggregati e, in realtà, sono una buona notizia.

Vediamo cosa raccontano, come leggerli in due minuti e soprattutto come toglierli dalla posta in arrivo senza perderli, grazie a una funzione di Gmail poco conosciuta: l'importazione di filtri da un file XML.

DMARC in trenta secondi

Quando un server riceve un'email che dichiara di provenire da votre-domaine.fr, verifica due cose:

SPF: l'indirizzo IP del mittente è nell'elenco dei server autorizzati dal dominio?
DKIM: il messaggio contiene una firma crittografica valida apposta da un server che possiede la chiave del dominio?

DMARC coordina entrambi. Richiede che almeno uno dei controlli riesca e sia «allineato», cioè riguardi lo stesso dominio mostrato nel campo «Da:» visibile al destinatario. Indica inoltre al server cosa fare in caso di errore, tramite un semplice record DNS TXT pubblicato su _dmarc.votre-domaine.fr:

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

Il parametro p definisce la politica: none (solo monitoraggio), quarantine (spostamento nello spam) oppure reject (rifiuto del messaggio). È invece il parametro rua a spiegare le email misteriose.

Perché ricevi questi report

rua significa reporting URI for aggregate reports. Chiede ai principali provider di posta di inviare, di norma una volta al giorno, un riepilogo dei messaggi ricevuti a nome del tuo dominio. Se ricevi questi report, il tuo indirizzo compare nel parametro.

Spesso non l'hai inserito personalmente. Da febbraio 2024 Gmail e Yahoo richiedono un record DMARC ai mittenti che inviano grandi quantità di email; molti hosting provider, fornitori e procedure guidate lo configurano automaticamente, inserendo in rua l'indirizzo di contatto del dominio. I report iniziano così ad arrivare senza preavviso.

Da ricordare: un report non è un avviso di sicurezza. Google lo invia anche quando tutto funziona perfettamente. È un resoconto, non una segnalazione.

Leggere un report senza strumenti

L'allegato è un file XML compresso: .zip per Google, .gz per Microsoft e molti altri. Decomprimilo e aprilo in un browser o editor di testo. Dopo l'intestazione, che identifica il mittente del report e il periodo coperto (con timestamp Unix convertibili online in date), ogni blocco <record> appare così:

<record>
  <row>
    <source_ip>203.0.113.25</source_ip>
    <count>14</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>votre-domaine.fr</header_from>
  </identifiers>
</record>

Significa che 14 messaggi sono stati inviati dall'IP 203.0.113.25 a nome del tuo dominio. La firma DKIM era valida, SPF è fallito, ma poiché basta uno dei due controlli, DMARC è superato. disposition indica come il destinatario ha gestito i messaggi: none significa consegna normale.

Tre casi da riconoscere

Tutto è pass dagli IP del tuo provider email: è la situazione normale e non serve intervenire.
SPF fallisce, DKIM riesce: succede spesso con inoltri automatici e mailing list che rispediscono il messaggio dai propri server. Finché DKIM resta valido, il messaggio passa.
Tutto è fail da un IP sconosciuto: potrebbe essere uno strumento legittimo non autorizzato (newsletter, CRM, sito che invia notifiche) oppure qualcuno che falsifica il tuo dominio. Una ricerca sull'IP aiuta generalmente a capirlo.

Se gestisci più domini o grandi volumi, servizi specializzati (Postmark, dmarcian, EasyDMARC e altri) trasformano i file in dashboard leggibili, spesso con un piano gratuito. Basta indirizzare rua all'indirizzo che forniscono.

Il trucco: importare un filtro Gmail da XML

I report sono preziosi quando qualcosa non va, ma non devono occupare ogni giorno la posta in arrivo. Puoi creare un filtro manualmente, ma esiste un metodo più rapido e condivisibile: Gmail può importare filtri già pronti da un file XML. È lo stesso formato usato per esportarli e permette di reinstallare una regola su un altro account con pochi clic.

Copia il testo seguente in un file di testo chiamato filtre-dmarc.xml:

<?xml version='1.0' encoding='UTF-8'?>
<feed xmlns='[http://www.w3.org/2005/Atom](http://www.w3.org/2005/Atom)' xmlns:apps='[http://schemas.google.com/apps/2006](http://schemas.google.com/apps/2006)'>
  <title>Mail Filters</title>
  <id>tag:mail.google.com,2008:filters:1</id>
  <updated>2026-11-06T12:00:00Z</updated>
  <entry>
    <category term='filter'></category>
    <title>Mail Filter</title>
    <id>tag:mail.google.com,2008:filter:1</id>
    <updated>2026-11-06T12:00:00Z</updated>
    <content></content>
    <apps:property name='subject' value='&quot;Report domain&quot;'/>
    <apps:property name='hasAttachment' value='true'/>
    <apps:property name='label' value='Rapports DMARC'/>
    <apps:property name='shouldArchive' value='true'/>
    <apps:property name='shouldMarkAsRead' value='true'/>
    <apps:property name='shouldNeverSpam' value='true'/>
  </entry>
</feed>

Il criterio combina l'oggetto «Report domain», raccomandato dallo standard DMARC e usato da Google, Microsoft e dalla maggior parte dei provider, con la presenza di un allegato. Le azioni assegnano l'etichetta «Rapports DMARC», archiviano il messaggio, lo segnano come letto e impediscono che finisca nello spam.

Importare il filtro

In Gmail crea prima l'etichetta Rapports DMARC (colonna sinistra, «Etichette», poi il pulsante +).
Fai clic sull'ingranaggio in alto a destra e poi su Visualizza tutte le impostazioni.
Apri la scheda Filtri e indirizzi bloccati.
In fondo, fai clic su Importa filtri, seleziona filtre-dmarc.xml e poi Apri file.
Gmail mostra il filtro rilevato. Seleziona Applica i nuovi filtri anche alle conversazioni esistenti per organizzare anche i report già ricevuti, quindi conferma con Crea filtri.

Lo stesso file può contenere più blocchi <entry>: puoi raccogliere tutte le regole e reinstallarle insieme su un nuovo account. Per ottenere un esempio reale, seleziona un filtro esistente nella stessa scheda e fai clic su Esporta: Gmail genera il relativo file XML.

E se non vuoi più riceverli?

Non eliminare il record DMARC: protegge il dominio dalle falsificazioni e favorisce la consegna delle email presso Gmail e Yahoo. Rimuovi soltanto il parametro rua=… dal record TXT _dmarc nella zona DNS del dominio, oppure sostituiscilo con un indirizzo dedicato. I report cesseranno dopo la propagazione della modifica, generalmente entro 24-48 ore.

Un consiglio: conservali per almeno qualche settimana sotto la loro etichetta. È il modo per verificare che tutti gli strumenti di invio siano configurati correttamente prima di rafforzare la politica da p=none a p=quarantine e infine a p=reject, la vera protezione contro chi tenta di impersonarti.