Cosa fa ogni record
SPF è un record TXT sul dominio che elenca i server autorizzati a inviarne la posta. DKIM firma ogni messaggio con una chiave la cui parte pubblica è pubblicata nel DNS. DMARC, in _dmarc.tuodominio, indica cosa fare con la posta che non supera né SPF né DKIM allineati con il mittente visibile e dove inviare i report.
| Record SPF di esempio | Query DNS di questo record | Meccanismo all |
|---|---|---|
| v=spf1 include:_spf.google.com ~all | 1 | ~all |
| v=spf1 include:spf.protection.outlook.com include:sendgrid.net mx -all | 3 | -all |
| v=spf1 ip4:192.0.2.10 -all | 0 | -all |
Esempi calcolati; valori arrotondati.
Come leggere gli esempi
Ogni include, a, mx, ptr, exists e redirect conta come una query, e contano anche quelle dentro ogni include. Microsoft 365 o SendGrid ne aggiungono diverse per conto loro, quindi un record con tre o quattro servizi può avvicinarsi al limite di 10. Gli intervalli ip4 e ip6 non consumano query. La verifica SPF e DMARC segue tutti gli include e ti dà il totale reale.
Perché è importante adesso
Dal 2024 Gmail e Yahoo richiedono SPF o DKIM a qualsiasi mittente, e SPF, DKIM e DMARC a chi invia più di 5000 messaggi al giorno ai loro utenti. Outlook.com applica requisiti simili dal 2025. Senza questi record la tua posta legittima finisce nello spam o viene rifiutata, e chiunque può falsificare il tuo dominio più facilmente.
Non serve essere una grande azienda per accorgersene: fatture, avvisi di un negozio online o la posta di un piccolo studio possono smettere di arrivare se il dominio non è configurato bene.
Passo 1: elenco di ciò che invia posta
Prima di toccare il DNS, annota tutto ciò che invia posta con il tuo dominio: il provider di posta (Google Workspace, Microsoft 365, IONOS…), lo strumento per le newsletter, il negozio online, il CRM, il centralino, la stampante che invia le scansioni o il server del sito che invia i moduli.
Ogni servizio indica nella sua guida quale include SPF usare e come attivare DKIM. Se ne dimentichi uno, i suoi messaggi falliranno SPF; per questo conviene iniziare DMARC in modalità di monitoraggio.
Passo 2: un solo record SPF
Pubblica un unico record TXT che inizi con v=spf1 alla radice del dominio. Se un servizio ti chiede di aggiungere il suo, non creare un secondo record: unisci il suo include a quello esistente. Due record SPF causano un errore (permerror) e i destinatari li ignorano entrambi.
Termina con ~all mentre verifichi che non manchi alcun servizio e passa a -all quando sei sicuro. Evita +all, che autorizza tutta Internet, e il meccanismo ptr, sconsigliato perché lento. Se superi le 10 query, sostituisci gli include con intervalli ip4 o ip6 quando il provider li pubblica, oppure elimina i servizi che non usi più.
Passo 3: DKIM in ogni servizio
DKIM si attiva dal pannello di ogni servizio, che ti fornisce uno o due record (TXT o CNAME) da pubblicare in selettore._domainkey.tuodominio. Attivalo ovunque puoi: DMARC è soddisfatto con SPF o DKIM allineati, e DKIM continua a funzionare quando un messaggio viene inoltrato, situazione in cui SPF di solito fallisce.
Passo 4: DMARC in monitoraggio
Pubblica in _dmarc.tuodominio un TXT come v=DMARC1; p=none; rua=mailto:dmarc@tuodominio. Con p=none la consegna non cambia, ma i grandi provider ti invieranno ogni giorno report aggregati in XML con gli IP che inviano a nome del tuo dominio e se superano SPF e DKIM.
Quei report sono difficili da leggere a mano. Esistono servizi che li trasformano in grafici, molti con un piano gratuito per domini piccoli. Controlla per due-quattro settimane che tutta la posta legittima risulti approvata.
Passo 5: passare a quarantine e reject
Quando i report sono puliti, passa a p=quarantine: la posta che fallisce va nello spam. Per procedere con cautela usa pct=25 e alzalo gradualmente fino a 100. Dopo qualche altra settimana senza problemi passa a p=reject, così la posta falsificata non viene nemmeno consegnata.
Per i domini che non inviano posta, come quelli parcheggiati o con il solo sito web, pubblica subito v=spf1 -all e v=DMARC1; p=reject. Così nessuno può usarli per spacciarsi per te.
Domande frequenti
Quanto tempo serve perché una modifica a SPF o DMARC sia attiva?
Il tempo che serve per far scadere il TTL del record precedente, di solito da pochi minuti a qualche ora. Puoi controllare il valore pubblicato con la ricerca DNS, tipo TXT.
Cosa significa allineamento in DMARC?
Che il dominio del mittente visibile coincide con quello verificato da SPF (il mittente della busta) o con il d= della firma DKIM. Uno SPF valido di un altro dominio non conta per DMARC.
Mi serve DMARC se invio poca posta?
È consigliato. Con p=none e rua non influisce sulla consegna e ti mostra se qualcuno sta falsificando il tuo dominio. Inoltre sempre più destinatari ne tengono conto.