# Nessuna policy DMARC trovata

> Un dominio senza policy DMARC applicata può essere falsificato da chiunque. Perché conta quando una fattura le chiede di cambiare le coordinate bancarie.

Canonical: https://vetthisvendor.com/it/guide/no-dmarc-policy
Published: 2026-08-02. Updated: 2026-08-03.
Author: Jose Pollman, VetThisVendor.

Se la verifica del dominio di invio ha segnalato **nessuna policy DMARC applicata**,
significa che chiunque su internet può inviare e-mail che sembrano provenire da quel
dominio, e ai server di posta riceventi non è stato detto di rifiutarle.

## Perché sta accanto a una verifica IVA

La maggior parte delle frodi su fattura non coinvolge una società fittizia. Coinvolge un
fornitore reale, una fattura reale e coordinate bancarie modificate, recapitate da
un’e-mail che sembra provenire dal dominio stesso del fornitore.

Quell’e-mail è convincente proprio perché il dominio è autentico. Una verifica nel registro
avrà esito positivo. La società esiste, la partita IVA è valida, il rapporto commerciale è
reale. L’unica cosa sbagliata è il numero di conto, e l’unico segnale tecnico disponibile in
anticipo è se quel dominio potesse essere falsificato.

## I tre record e che cosa fa ciascuno

- **SPF** elenca quali server possono inviare posta per il dominio. Da solo è indicativo:
  dice che cosa *dovrebbe* accadere, non che cosa i destinatari devono fare.
- **DKIM** firma i messaggi crittograficamente, così le manomissioni sono rilevabili.
- **DMARC** è l’istruzione che dà denti agli altri due. Dice ai server riceventi che cosa
  fare quando un messaggio non supera quei controlli.

Senza DMARC, un messaggio falsificato che non supera SPF può comunque finire nella posta in
arrivo.

## Leggere la policy

| Policy | Che cosa fanno i destinatari | Che cosa significa per lei |
|---|---|---|
| `p=reject` | La posta falsificata viene rifiutata | Il più forte. La falsificazione è largamente impedita |
| `p=quarantine` | La posta falsificata finisce nello spam | Buono. La falsificazione di solito non arriva in posta |
| `p=none` | Nulla: il dominio raccoglie solo report | **Nessuna protezione.** Solo modalità osservazione |
| *nessun record* | Nulla | **Nessuna protezione** |

`p=none` è quello che trae in inganno. Il dominio ha un record DMARC, quindi una verifica
superficiale segnala «DMARC: sì», ma dice ai destinatari di non fare assolutamente nulla.
Questo strumento lo segnala come non applicato, perché è ciò che è.

## Che cosa fare

**Se è il suo fornitore:** tratti ogni richiesta di modifica delle coordinate bancarie da
questo dominio con particolare cautela. Non risponda all’e-mail per confermare: se la
casella è compromessa, o il messaggio era falsificato, sta confermando con il truffatore.
Telefoni a un numero che già possedeva.

**Se è il suo dominio:** può rimediare. Pubblichi SPF e DKIM, poi aggiunga un record DMARC
partendo da `p=none` per raccogliere i report, e passi a `p=quarantine` e quindi a
`p=reject` quando quei report mostrano che la sua posta legittima passa. Lo strumento
gemello [notspoofed.com](https://notspoofed.com) accompagna esattamente in questo percorso e
genera i record al posto suo.

## Che cosa non le dice

Una policy DMARC applicata significa che il dominio è difficile da falsificare. Non
significa che la casella non sia stata compromessa: un aggressore che invia da un account
reale supera ognuno di questi controlli. Confermare le coordinate bancarie per telefono
resta il controllo che lo intercetta.