Come si usa
- 1.Inserisci un dominio come
example.com, oppure incolla un indirizzo email: viene verificata la parte dopo la @. - 2.Aggiungi un selettore DKIM se lo conosci (il valore
s=nell’headerDKIM-Signaturedi un’email); altrimenti vengono provati i selettori dei grandi provider. - 3.Fai clic su Verifica. Il giudizio in cima riassume SPF, DKIM e DMARC; ogni sezione sotto mostra il record, cosa significa e cosa correggere.
- 4.Apri gli include sotto SPF per vedere quanti dei 10 lookup DNS usa ciascun servizio, e passa il puntatore su un dominio o un intervallo IP per cercarlo in un altro strumento.
Cosa fanno SPF, DKIM e DMARC
L’email è nata senza alcun controllo del mittente, quindi chiunque può mettere il tuo dominio nel campo Da. Tre record DNS risolvono il problema. SPF (un record TXT che inizia con v=spf1) elenca i server autorizzati a inviare posta per il dominio. DKIM firma ogni messaggio con una chiave la cui metà pubblica è pubblicata in <selector>._domainkey.<domain>, così i server riceventi possono verificare che il messaggio non sia stato modificato e provenga davvero dal dominio. DMARC (un record TXT in _dmarc.<domain>) collega entrambi all’indirizzo che le persone vedono davvero nel campo Da e indica ai server riceventi cosa fare quando nessuno dei due viene superato: niente (p=none), cartella spam (p=quarantine) o rifiuto (p=reject).
Un messaggio supera DMARC quando SPF o DKIM viene superato per un dominio che corrisponde a quello del campo Da. L’inoltro spesso rompe SPF, ed è per questo che DKIM è importante: una firma sopravvive all’inoltro, l’indirizzo del server mittente no. Gmail, Yahoo e Microsoft ora richiedono SPF, DKIM e un record DMARC a chiunque invii posta in grandi volumi.
Il limite SPF di 10 lookup DNS
Per valutare SPF, un server ricevente può eseguire al massimo 10 lookup DNS (RFC 7208). Ogni include, a, mx, ptr, exists e redirect ne costa uno, compresi quelli all’interno dei record che includi. ip4, ip6 e all non costano nulla. Oltre 10 il risultato è un errore permanente (permerror): SPF fallisce per ogni messaggio, spesso senza che nessuno se ne accorga.
Ogni servizio email che aggiungi (un CRM, uno strumento per newsletter, un help desk) porta di solito un include con diversi lookup propri, e i provider modificano i loro nel tempo. Rimuovi gli include dei servizi che non usi più, usa l’include più ristretto del provider se ne offre uno, e invia la posta di marketing da un sottodominio con un proprio record SPF. Contano anche i lookup che non trovano nulla: più di due sono a loro volta un errore.
Passare DMARC da none a reject in sicurezza
Inizia con p=none e un indirizzo rua. I server riceventi ti inviano così ogni giorno report aggregati che elencano tutti i server che hanno inviato posta a nome del tuo dominio e se SPF e DKIM sono stati superati. Un servizio di analisi dei report o un parser gratuito trasforma l’XML in un elenco leggibile.
Correggi ogni fonte legittima che non supera i controlli: aggiungila a SPF, attiva la firma DKIM in quel servizio o spostala su un sottodominio. Quando i report mostrano che passa solo la tua posta, passa a p=quarantine, facoltativamente con pct sotto 100 per un avvio graduale, e dopo qualche settimana senza sorprese a p=reject. Continua a leggere i report anche dopo: un nuovo strumento che invia a nome del tuo dominio comparirà lì per primo.
Domande frequenti
Come risolvo «SPF permerror: too many DNS lookups»?
Conta i lookup: questo strumento somma ogni include, a, mx, ptr, exists e redirect in tutti i record annidati. Rimuovi gli include dei servizi che non usi più, sostituisci gli include dei tuoi server con intervalli ip4/ip6 e sposta gli invii massivi su un sottodominio con un proprio record SPF. Evita i servizi di «SPF flattening», a meno che non mantengano aggiornati gli indirizzi, perché i provider cambiano i loro intervalli.
Perché lo strumento non trova la mia chiave DKIM?
Le chiavi DKIM si possono cercare solo per selettore e non esiste un modo per elencarle. Senza selettore, nestoo prova i nomi usati dai grandi provider (Google, Microsoft 365, Mailchimp, SendGrid, Zoho e altri). Apri un’email del dominio, guarda l’header DKIM-Signature e inserisci il suo valore s=, per esempio s=20230601, come selettore.
p=none è sufficiente?
No. p=none chiede solo i report; la posta che non supera DMARC viene consegnata come prima, quindi lo spoofing funziona ancora. È il primo passo giusto. Passa a p=quarantine e poi a p=reject quando i report mostrano che tutta la tua posta reale supera i controlli.
SPF deve terminare con ~all o -all?
Entrambi proteggono il dominio quando DMARC è attivo, perché è DMARC a decidere cosa succede alla posta che non supera i controlli. ~all (softfail) è la scelta più comune ed è più tollerante se dimentichi un mittente. -all è più rigido e va bene quando sei sicuro che il record sia completo. Non usare mai +all o ?all.
Un dominio che non invia email ha bisogno di questi record?
Sì, altrimenti gli spammer possono usarlo. Pubblica v=spf1 -all, un record DMARC con p=reject e, facoltativamente, un record null MX (0 .) e una chiave DKIM vuota in *._domainkey. Insieme dicono a ogni server ricevente che nessuna email di questo dominio è autentica.