Come si blocca lo spoofing email sui domini inutilizzati?

Perché i domini inutilizzati hanno bisogno di record email?

Perché chiunque può mettere il vostro dominio nel campo From di un'email, e un dominio senza record non dà ai riceventi nulla da verificare. Un dominio difensivo, come un refuso del vostro marchio, è appetibile per questo motivo. I phisher inviano posta che sembra provenire dalla variante, o da un nome che somiglia al vostro indirizzo di assistenza, e un sistema ricevente che non trova alcuna policy non ha basi per rifiutarla.

Due record chiudono la maggior parte di questa falla. SPF elenca i server che possono inviare per un dominio, e un record SPF senza server e con hard fail rifiuta ogni mittente. DMARC dice ai riceventi che cosa fare con la posta che non supera i controlli SPF e DKIM, e p=reject chiede loro di rifiutarla. Il terzo record, un MX nullo, dice ai mittenti che il dominio non ha un server di posta, così un messaggio inviato lì fallisce subito invece di essere ritentato per giorni.

L'elenco di Wardmint delle estensioni difensive è in quali domini dovrebbe registrare un progetto crypto. Una volta che li possedete, questi tre record sono la prima cosa da aggiungere.

Che cosa fa un record MX nullo (RFC 7505)?

Un MX nullo è un singolo record MX con preferenza 0 e un punto radice come destinazione, e significa che il dominio non accetta email. È definito dalla RFC 7505. L'exchange è un'etichetta di lunghezza zero, scritta nei file di zona come un punto, e poiché un punto non è un nome host valido il record non può essere scambiato per un vero server di posta.

Valgono due regole. Un dominio che pubblica un MX nullo non deve pubblicare alcun altro record MX. E il record è un MX nullo solo in questa forma esatta: preferenza 0, destinazione punto. I mittenti che lo vedono falliscono subito con un errore permanente, il che evita i loop di posta e risparmia le code di ripetizione ai mittenti onesti che hanno sbagliato a digitare il vostro dominio.

Senza di esso, un mittente che non trova alcun MX ripiega sul record A del dominio e tenta la consegna lì, il che è più lento e meno chiaro. Un MX nullo elimina queste congetture.

Che cosa significa SPF v=spf1 -all?

È un record TXT che non autorizza alcun mittente, e il segno meno fa fallire ogni controllo. È definito dalla RFC 7208: v=spf1 è il tag di versione e -all è una singola direttiva in cui il meccanismo all corrisponde sempre e il qualificatore meno restituisce fail. Insieme dichiarano che nessun host può inviare posta per quel nome.

La RFC 7208 suggerisce questo approccio per i nomi che non sono usati negli indirizzi né si prevede che inviino posta. Pubblicatelo sull'apex di ogni dominio difensivo. SPF viene verificato per il dominio nel mittente della busta o nel nome HELO, quindi uno spoofer può provare anche un sottodominio che non avete mai configurato. Un record TXT wildcard, che si applica ai nomi sotto il dominio che non hanno record propri, può coprirli.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Che cosa aggiunge DMARC p=reject?

DMARC aggiunge la policy e la reportistica: dice ai riceventi di rifiutare la posta che non supera i controlli e vi permette di vedere chi ci prova. La RFC 7489 colloca la policy in un record TXT al nome _dmarc del dominio. Il tag v deve venire per primo e valere DMARC1, e p imposta la policy su none, quarantine o reject. Il tag sp imposta la policy per i sottodomini e, se assente, a essi si applica p. I tag adkim e aspf impostano l'allineamento strict o relaxed, e rua fornisce gli indirizzi per i report aggregati.

La RFC è prudente sulla forza di p=reject: il titolare chiede ai riceventi di rifiutare, e ci si aspetta che i riceventi facciano del loro meglio ma non sono rigorosamente obbligati. I grandi provider di posta la seguono nella pratica, ed è per questo che vale la pena pubblicare il record.

Per vedere i tentativi, aggiungete un indirizzo di report, per esempio rua=mailto:[email protected], su una casella che leggete. Per un progetto con più domini difensivi, una sola casella di report per tutti è sufficiente. Mantenete un dominio che invia posta, come il principale, con una policy adatta ai suoi mittenti reali, e leggete i report aggregati prima di portarlo su reject.

Quanto costa proteggere un set difensivo?

I tre record non costano nulla in più su Wardmint; il costo sono i domini. Wardmint fornisce un modello DNS «nessuna e-mail» (MX nullo, SPF -all, DMARC p=reject) perché un dominio difensivo non possa essere usato per falsificare la vostra posta, inoltro URL gratuito per indirizzare ogni variante al sito principale e rinnovo automatico dal saldo, così nessuna variante scade.

Secondo il sondaggio di Wardmint del 12 novembre 2026, le nove estensioni del suo set di phishing (.xyz, .pro, .info, .shop, .online, .icu, .click, .live e .support) costano complessivamente $212.41 all'anno, oppure $637.23 in tre anni, e ciascuna può ospitare il modello senza posta. Il set di base di .com, .net, .org, .io, .xyz, .app costa $128.94 all'anno. I set sono suggerimenti, non pacchetti: i nomi si inseriscono nel carrello tramite la ricerca in blocco, fino a 50 alla volta.

Applichi il modello a ogni dominio difensivo che non reindirizza il traffico web, e lo combini con l'inoltro URL per quelli che lo fanno. Il metodo per scegliere i nomi è in come costruire un elenco di domini difensivi per il proprio marchio.