Le ultime settimane le ho passate anche a controllare la configurazione DNS-email di undici domini aziendali reali (alcuni della stessa azienda), dentro programmi di bug-bounty che pagano per segnalazioni di questo tipo. Undici controllati per SPF e DMARC. Undici, tutti e undici, con almeno una configurazione mancante o sbagliata su uno dei tre record che contano.
Non aziende scelte a caso. Aziende che gestiscono un programma di bug-bounty pubblico, quindi con un budget dedicato alla sicurezza e qualcuno che legge davvero le segnalazioni. Se chi paga per farsi controllare ha comunque undici su undici con un buco nella posta, il dominio medio senza nessuno a controllarlo probabilmente sta peggio.
Tre record, tre lavori diversi
SPF dice quali server hanno il permesso di mandare email per conto del tuo dominio. Chi riceve controlla la lista, e se il mittente non c'è, un motivo in più per finire in spam.
DMARC dice cosa fare quando SPF o DKIM falliscono: ignorare, mettere in quarantena, rifiutare. Senza DMARC un attaccante può scrivere a nome del tuo dominio e chi riceve non ha modo automatico di saperlo.
CAA dice quali certificate authority possono emettere certificati TLS per il tuo dominio. Senza quel record, basta superare la verifica di una CA qualsiasi per ottenere un certificato valido per il tuo nome.
Cosa ho trovato davvero
Undici domini controllati per SPF e DMARC, dieci per CAA, con un'eccezione non verificata per quel record specifico.
| Record | Domini con il problema | Domini controllati |
|---|---|---|
| SPF mancante o rotto | 7 | 11 |
| DMARC mancante | 3 | 11 |
| CAA mancante | 10 | 10 |
CAA è il più trascurato dei tre, probabilmente perché è anche il meno citato: buona parte delle checklist di sicurezza si fermano a SPF e DMARC. Il caso migliore di tutto il giro aveva SPF e DMARC configurati bene e mancava solo del CAA.
Controllare il tuo, in trenta secondi
Da terminale, tre comandi, niente da installare:
dig TXT tuodominio.it +short: cerca una riga che comincia conv=spf1dig TXT _dmarc.tuodominio.it +short: cercav=DMARC1dig CAA tuodominio.it +short: risposta vuota vuol dire nessun record
Senza terminale, una qualunque pagina "DNS lookup" online fa la stessa domanda ai server pubblici.
Quanto costa non farlo
SPF e DMARC mancanti sono il motivo più comune per cui una campagna finisce in spam anche col contenuto pulito, lo stesso problema di cui parlavo nell'articolo sulla verifica delle liste. CAA mancante è più silenzioso: per mesi non succede niente, poi succede tutto insieme il giorno che qualcuno prova a emettere un certificato falso a tuo nome.
Aggiungere tutti e tre costa una riga TXT e una riga CAA nel pannello DNS che già usi, cinque minuti test compresi. Undici domini su undici, gestiti da aziende che pagano ricercatori per trovare proprio questo tipo di problema, non li avevano tutti e tre a posto. Il tuo probabilmente è nello stesso gruppo, finché non lo controlli.