SPF, DKIM e DMARC sono tre record DNS che decidono due cose: se le email che invii arrivano in posta in arrivo e se qualcun altro può inviare email che sembrano provenire da te. Gmail, Yahoo e Outlook.com ormai li richiedono tutti e tre a chiunque invii email in massa, e per tutti gli altri i messaggi senza questi record hanno più probabilità di finire nello spam.
I record sono brevi, ma è facile sbagliarli in modo sottile e smettono di funzionare senza preavviso quando un nuovo strumento inizia a inviare per conto tuo. Questa guida spiega che cosa fa ciascuno, come configurarli nell’ordine giusto e come mantenerli funzionanti.
Come lavorano insieme
Ogni email ha due indirizzi del mittente: il mittente della busta (envelope sender), che i server di posta usano per restituire i messaggi non recapitati, e l’indirizzo From che vede il destinatario. Le frodi sfruttano la distanza tra i due: chiunque può scrivere qualsiasi indirizzo From. I tre record colmano questa distanza.
SPF (Sender Policy Framework) elenca i server autorizzati a inviare posta per il tuo dominio.
DKIM (DomainKeys Identified Mail) aggiunge a ogni messaggio una firma crittografica, che i destinatari verificano con una chiave pubblica pubblicata nel tuo DNS.
DMARC (Domain-based Message Authentication, Reporting and Conformance) li collega all’indirizzo From visibile e indica ai destinatari che cosa fare con la posta che non supera i controlli.
SPF: chi può inviare
Un record SPF è un record TXT sul tuo dominio. Elenca i servizi e i server che inviano posta per te e termina indicando che cosa fare con tutto il resto:
example.com. TXT “v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.25 ~all”
include: aggiunge il record SPF di un altro dominio, il modo abituale per autorizzare un servizio di posta.
ip4: e ip6: autorizzano indirizzi specifici, come il tuo server di posta.
~all (soft fail) o -all (fail) dice che cosa succede a tutti quelli non elencati. Non usare mai +all, che autorizza l’intera internet.
Due regole mettono in difficoltà la maggior parte dei domini:
Un solo record. Un dominio deve avere esattamente un record SPF. Con due, i destinatari restituiscono un errore permanente e SPF fallisce per ogni messaggio. Quando un nuovo servizio ti chiede di «aggiungere questo record SPF», aggiungi invece il suo include al record che hai già.
Al massimo 10 lookup DNS. Ogni include, a, mx e redirect costa un lookup, e contano anche gli include annidati in altri include. Oltre 10, SPF fallisce. Un record con Google Workspace, uno strumento di newsletter, un CRM e un helpdesk può superare il limite senza che nessuno se ne accorga.
SPF ha un punto debole: controlla il mittente della busta, non l’indirizzo From che vede il destinatario, e smette di funzionare quando la posta viene inoltrata. Per questo da solo non basta.
DKIM: una firma su ogni messaggio
Con DKIM, il tuo servizio di posta firma ogni messaggio con una chiave privata. La chiave pubblica si trova nel DNS, sotto un nome chiamato selettore:
google._domainkey.example.com. TXT “v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…”
Il destinatario legge il selettore dall’header DKIM-Signature del messaggio, recupera la chiave e verifica che il messaggio non sia stato modificato lungo il percorso. Una firma DKIM sopravvive all’inoltro, il che la rende la più affidabile delle due.
Ogni servizio che invia per tuo conto ha bisogno della propria configurazione DKIM, di solito nelle impostazioni di amministrazione alla voce «autenticazione» o «dominio verificato». Usa chiavi a 2048 bit quando il servizio le offre; le chiavi a 1024 bit funzionano ancora ma sono il minimo, e quelle più corte vengono rifiutate. Quando un servizio ruota le sue chiavi, il nuovo selettore deve essere nel tuo DNS prima di essere usato, altrimenti le firme falliscono.
DMARC: il collegamento con l’indirizzo From
DMARC è un record TXT su _dmarc del tuo dominio:
_dmarc.example.com. TXT “v=DMARC1; p=none; rua=mailto:dmarc@example.com”
Fa due cose che SPF e DKIM da soli non possono fare.
Primo, richiede l’allineamento. Un messaggio supera DMARC solo quando SPF o DKIM passano per lo stesso dominio dell’indirizzo From visibile. Una newsletter inviata tramite un servizio che firma con il proprio dominio supera DKIM, ma non per il tuo dominio, quindi non supera DMARC. Ecco perché ogni servizio deve firmare con il tuo dominio.
Secondo, stabilisce una policy per la posta che non supera i controlli:
p=none: consegnala come al solito. Non cambia nulla, ma i destinatari possono inviarti dei report.
p=quarantine: mettila nello spam.
p=reject: rifiutala.
Il tag rua chiede ai destinatari di inviare report aggregati giornalieri a un indirizzo a tua scelta. Elencano quali server hanno inviato posta a nome del tuo dominio e se ha superato i controlli: è così che scopri i mittenti che avevi dimenticato.
Configurali nell’ordine giusto
Passare subito a p=reject è il modo classico per non far più arrivare le tue fatture o le email di reimpostazione della password. Procedi per gradi:
Elenca tutto ciò che invia a nome del tuo dominio. Il tuo provider di posta, lo strumento di newsletter, il CRM, l’helpdesk, il sistema di prenotazione, la piattaforma e-commerce, il modulo di contatto del sito e qualsiasi server che invia notifiche.
Configura DKIM per ciascuno con il tuo dominio, seguendo le istruzioni di ogni servizio.
Crea un unico record SPF con i servizi che ne hanno bisogno, sotto i 10 lookup, che termini con ~all.
Pubblica DMARC con p=none e un indirizzo rua, e lascialo così per due-quattro settimane.
Correggi ogni mittente legittimo che non supera i controlli, di solito un servizio che firma ancora con il proprio dominio.
Passa a p=quarantine, eventualmente con pct=25 per iniziare da un quarto della posta che non supera i controlli, poi a p=reject quando nessun messaggio legittimo fallisce più.
Anche i domini che non inviano mai email meritano protezione, perché sono facili da falsificare. Assegna loro un record che lo dichiari:
example.org. TXT “v=spf1 -all”
_dmarc.example.org. TXT “v=DMARC1; p=reject”
Gli errori che bloccano le email in silenzio
Un secondo record SPF aggiunto per un nuovo servizio, invece di un include nel primo.
Un record SPF che ha superato i 10 lookup con l’aggiunta di un ulteriore strumento.
Una newsletter o un CRM che invia con il proprio dominio DKIM, per cui DMARC fallisce nonostante una firma valida.
Una chiave DKIM ruotata dal provider ma mai pubblicata nel DNS.
Un record DMARC con un refuso, come p=rejected, che i destinatari ignorano.
Passare a p=reject prima di aver verificato che ogni mittente superi i controlli.
Un record MX modificato o un server di posta finito in una blocklist, che penalizza la consegna a prescindere dai record.
Nessuno di questi errori produce un messaggio che vedresti. La posta inizia semplicemente a finire nello spam, e lo scopri settimane dopo, quando un cliente dice di non aver mai ricevuto la fattura.
Controlla i tuoi record
Puoi controllare il tuo dominio subito con il nostro checker SPF, DKIM e DMARC gratuito. Legge i record dal DNS, conta i lookup di SPF, cerca le chiavi DKIM sui selettori più comuni e spiega che cosa correggere, con il record da incollare.
I record corretti oggi smettono di funzionare quando il mese prossimo qualcuno aggiunge un servizio. Il monitoraggio dell’autenticazione email di Uptimecheck controlla SPF, DKIM e DMARC sui tuoi monitor di dominio due volte al giorno, spiega ogni problema in parole semplici, ti fornisce il record DNS che lo risolve e ti avvisa solo quando compare un nuovo problema. Verifica anche se i server di posta che gestisci in prima persona sono nelle blocklist, così un inserimento non passa inosservato. Aggiungilo al monitoraggio del dominio che già ti avvisa prima che il dominio stesso scada.
Checklist
Elenca ogni servizio che invia email a nome del tuo dominio.
Configura DKIM con il tuo dominio in ciascuno di essi, a 2048 bit dove possibile.
Mantieni un solo record SPF, sotto i 10 lookup, che termini con ~all o -all.
Pubblica DMARC con p=none e un indirizzo per i report.
Correggi ogni mittente legittimo che non supera l’allineamento.
Passa a p=quarantine, poi a p=reject.
Proteggi i domini che non inviano email con v=spf1 -all e p=reject.
Controlla i record regolarmente, e ogni volta che un nuovo strumento inizia a inviare per tuo conto.