Per un MSP la protezione del dominio di posta è uno dei pochi servizi che si vendono spiegabili in due minuti, si attivano con un record DNS, producono un rapporto mensile che il cliente capisce e non richiedono di toccare i suoi sistemi. Il problema non è tecnico ma di scala: cinquanta domini significano cinquanta percorsi verso l'enforcement, ognuno con i suoi mittenti da censire. Servono una console unica, un processo di onboarding ripetibile e un prezzo per dominio che regga sui numeri.
Chi eroga servizi gestiti valuta un servizio nuovo su quattro cose: quanto è facile spiegarlo, quanto rischio operativo introduce, quanto lavoro ricorrente richiede e quanto margine lascia. La protezione del dominio di posta ha un profilo insolitamente favorevole su tutte e quattro.
L'obiezione ricorrente è che sia un servizio da poco valore percepito. Nella pratica funziona il contrario, purché si venda il rapporto e non il record: quello che il cliente paga è sapere chi usa il suo nome e poterlo dimostrare a terzi.
Portare un dominio a DMARC in reject è un lavoro di poche ore di configurazione e qualche settimana di osservazione. Il punto è che l'osservazione non si comprime: bisogna attendere un ciclo completo di invii per scoprire il gestionale che manda le fatture una volta al mese, e quel gestionale è diverso per ogni cliente.
Con cinquanta domini i problemi che emergono sono di natura organizzativa.
Sono tutti problemi di strumento e di processo, non di competenza tecnica: si risolvono una volta e poi valgono per tutti i clienti.
La stessa sequenza per ogni cliente, con tempi dichiarati in offerta.
Due accorgimenti che evitano quasi tutti i problemi: metti per iscritto che il passaggio all'enforcement avviene solo dopo l'approvazione del cliente sulla lista dei mittenti riconosciuti, e chiedi al cliente di avvisarti prima di attivare nuovi sistemi di invio, mettendolo nel contratto. Il secondo punto è quello che previene la telefonata sulla campagna bloccata.
Le funzioni che fanno la differenza quando i domini diventano decine, in ordine di impatto sul tempo di lavoro.
Il piano MSP & Volume della protezione dell'identità email è costruito su questo elenco: parte da 299 € al mese, IVA esclusa, con dieci domini a livello Compliance, poi 19 € per dominio dall'undicesimo al cinquantesimo e 14 € dal cinquantunesimo, console multi-tenant e rapporti white-label inclusi. I domini parcheggiati costano 9 € ciascuno, senza test di spoofing.
Il margine su questo servizio è buono, a patto di non venderlo come una riga tecnica dentro un canone più grande, dove sparisce.
Tre modelli che funzionano.
Qualunque modello scegli, la regola pratica è la stessa: quello che rinnova il contratto è il rapporto mensile. Un cliente che ogni mese riceve un documento che dice chi ha provato a usare il suo nome e a che punto è la protezione non mette in discussione la voce di spesa.
Le clausole che evitano i contenziosi ricorrenti su questo servizio.
La protezione del dominio è una porta d'ingresso: apre conversazioni che altrimenti non partono, perché mostra al cliente qualcosa che non sapeva.
Se vuoi valutare il piano a volume o la modalità in licenza, parlane con noi: il dimensionamento dipende da quanti domini gestisci e da quanti di questi inviano posta davvero.
La configurazione tecnica è di poche ore: record DMARC in osservazione, verifica che SPF sia unico e sotto il limite di dieci interrogazioni DNS, attivazione di DKIM dove manca. Il tempo complessivo è di quattro-sei settimane, quasi tutte di osservazione, perché bisogna attendere almeno un ciclo completo di invii per intercettare i sistemi che mandano una volta al mese, come la fatturazione o le buste paga. È esattamente quello che si rischia di bloccare passando troppo presto all'enforcement.
Con tre accorgimenti. Si parte sempre in modalità di sola osservazione, che non cambia nulla nella consegna e serve solo ad accendere i report. Si passa all'enforcement solo dopo che il cliente ha approvato per iscritto la lista dei mittenti riconosciuti, il che sposta la decisione dove deve stare. E si mette a contratto l'obbligo del cliente di comunicare i nuovi sistemi di invio prima di attivarli, perché la causa più frequente di problemi dopo mesi di funzionamento è una piattaforma nuova introdotta senza avvisare.
Non necessariamente. Funzionano entrambi i modelli: la delega tecnica, in cui gestisci tu le modifiche ed è più rapido, e la richiesta al cliente con un tempo di risposta pattuito, più lento ma che tiene la responsabilità dove il cliente preferisce. Il secondo modello va messo per iscritto con tempi espliciti, altrimenti il percorso verso l'enforcement si allunga in modo imprevedibile e il servizio sembra fermo per colpa tua.
Il piano MSP e Volume della protezione dell'identità email parte da 299 € al mese, IVA esclusa, e comprende dieci domini a livello Compliance, console multi-tenant e rapporti white-label. Dall'undicesimo al cinquantesimo dominio il costo è di 19 € per dominio, dal cinquantunesimo di 14 €. I domini parcheggiati, che non inviano posta, costano 9 € ciascuno e non includono i test di spoofing. Tutti i prezzi sono pubblici e per dominio protetto al mese.
Sì. Il piano a volume include i rapporti white-label, quindi il documento che consegni al cliente porta il tuo marchio, e la console multi-tenant ti permette di gestire tutti i domini in un'unica vista con accessi separati per cliente quando serve. Sono previsti anche l'accesso programmatico, per portare lo stato nel tuo cruscotto o nel tuo sistema di gestione, e l'autenticazione centralizzata per le utenze del tuo personale.
I suoi messaggi iniziano a fallire l'autenticazione e, se il dominio è in reject, non vengono consegnati. È la situazione che genera la telefonata sulla campagna che non parte. Si previene in due modi: la clausola contrattuale che obbliga il cliente ad avvisare prima di attivare nuovi sistemi, e gli avvisi automatici sul cambiamento, che segnalano un mittente nuovo che fallisce senza aspettare il rapporto mensile. Con decine di domini la seconda è indispensabile.
No, ed è importante scriverlo nel contratto per non creare aspettative sbagliate. La policy DMARC vale solo per il dominio esatto: un attaccante che registra un nome simile usa un dominio proprio, su cui può pubblicare configurazioni perfette. Contro quelli serve la sorveglianza dei domini lookalike, che è un servizio distinto e si vende bene subito dopo, perché la domanda arriva dal cliente stesso non appena capisce il confine.
Sì, esiste la modalità in licenza per chi vuole erogare il servizio con il proprio marchio, accanto a quella gestita. È la strada tipica per un MSP che sta costruendo un'offerta di sicurezza completa e vuole mantenere il rapporto diretto con il cliente finale. Il dimensionamento dipende dal numero di clienti e dalla telemetria che si intende raccogliere, quindi si concorda caso per caso.
Console unica, rapporti con il tuo marchio e prezzo per dominio che scende con i volumi. Guarda la protezione dell'identità email oppure scrivici per dimensionare il piano a volume.