A cura del team tecnico di VAY · Aggiornata il
In breve
- SPF: un solo record TXT per dominio, con al massimo 10 interrogazioni DNS e una regola finale -all o ~all.
- DKIM: la chiave si genera sulla piattaforma di posta (Microsoft 365, Google Workspace, server proprio) e si pubblica nel DNS.
- DMARC: si pubblica su _dmarc.dominio, prima con p=none e un indirizzo per i report (rua).
- Ogni servizio che invia posta a nome del dominio (newsletter, gestionale, CRM) va incluso in SPF e, se possibile, firmato con DKIM.
- Google e Yahoo richiedono l'autenticazione della posta: senza, i messaggi aziendali rischiano rifiuto o spam.
A cosa servono SPF, DKIM e DMARC
Chiunque può inviare un'email scrivendo nel mittente l'indirizzo della tua azienda. SPF, DKIM e DMARC permettono ai server di destinazione di capire se il messaggio è davvero partito da un server autorizzato e se è arrivato integro.
Il risultato è doppio: la posta aziendale arriva più spesso in casella e diventa molto più difficile usare il dominio per phishing verso clienti e fornitori.
| Record | Dove si pubblica | Esempio | Cosa significa |
|---|---|---|---|
| SPF | TXT sul dominio | v=spf1 include:spf.protection.outlook.com -all | Può inviare solo Microsoft 365; tutto il resto è da rifiutare |
| DKIM | TXT su selettore._domainkey.dominio | v=DKIM1; k=rsa; p=<chiave pubblica in Base64, fornita dalla piattaforma di posta> | Chiave pubblica con cui verificare la firma dei messaggi |
| DMARC | TXT su _dmarc.dominio | v=DMARC1; p=none; rua=mailto:dmarc@dominio.it | Solo osservazione, report aggregati all'indirizzo indicato |
SPF
- Dove si pubblica
- TXT sul dominio
- Esempio
- v=spf1 include:spf.protection.outlook.com -all
- Cosa significa
- Può inviare solo Microsoft 365; tutto il resto è da rifiutare
DKIM
- Dove si pubblica
- TXT su selettore._domainkey.dominio
- Esempio
- v=DKIM1; k=rsa; p=<chiave pubblica in Base64, fornita dalla piattaforma di posta>
- Cosa significa
- Chiave pubblica con cui verificare la firma dei messaggi
DMARC
- Dove si pubblica
- TXT su _dmarc.dominio
- Esempio
- v=DMARC1; p=none; rua=mailto:dmarc@dominio.it
- Cosa significa
- Solo osservazione, report aggregati all'indirizzo indicato
Prima di iniziare: fai l'elenco di chi invia posta
È il passaggio che evita i problemi. Oltre alla posta aziendale, spesso inviano messaggi a nome del dominio anche altri servizi, e se mancano nel record SPF le loro email iniziano a essere rifiutate.
- La piattaforma di posta: Microsoft 365, Google Workspace o il server di posta del provider.
- Le piattaforme di newsletter e marketing automation.
- Gestionali, CRM, software di fatturazione e ticketing che inviano notifiche.
- Il sito web (moduli contatti, e-commerce) e le stampanti che inviano scansioni.
Controlla i record esistenti con la verifica SPF, DKIM e DMARC e quelli del dominio con la verifica dei record DNS prima di modificare qualcosa: spesso c'è già un SPF vecchio da correggere, non da duplicare.
Come configurare il record SPF
- 1
Verifica che sul dominio esista un solo record TXT che inizia con v=spf1. Se ce ne sono due, uniscili: due record SPF sono un errore e invalidano il controllo.
- 2
Aggiungi un meccanismo include: per ogni servizio che invia posta, usando il valore indicato nella sua documentazione (Microsoft 365 e Google Workspace pubblicano il proprio).
- 3
Aggiungi ip4: per i server con IP fisso, come un server di posta interno.
- 4
Chiudi con -all (rifiuta i non autorizzati) oppure con ~all (segnala come sospetti) se vuoi una fase di prova.
- 5
Controlla il numero di interrogazioni DNS: lo standard ne ammette al massimo 10. Ogni include, a, mx e redirect ne consuma almeno una, e gli include possono contenerne altri.
Il limite di 10 interrogazioni si supera facilmente aggiungendo una piattaforma di newsletter dopo l'altra. Oltre il limite il controllo SPF fallisce per tutti i messaggi, anche per quelli legittimi.
Come attivare DKIM
- 1
Genera la chiave DKIM nella piattaforma di posta: in Microsoft 365 dal portale Defender, in Google Workspace dalla console di amministrazione, sul server proprio con lo strumento previsto.
- 2
Scegli una chiave da 2048 bit, se la piattaforma lo consente.
- 3
Pubblica nel DNS il record indicato dalla piattaforma: un TXT (o un CNAME, nel caso di Microsoft 365) sul nome selettore._domainkey.dominio.
- 4
Torna nella piattaforma e attiva la firma: finché non la attivi, i messaggi continuano a partire senza firma.
- 5
Ripeti per ogni servizio esterno che lo supporta, così anche le newsletter risultano firmate dal tuo dominio.
Come pubblicare DMARC e arrivare a reject
DMARC collega SPF e DKIM al dominio visibile nel mittente e indica ai destinatari cosa fare quando i controlli falliscono. Il passaggio va fatto per gradi, leggendo i report.
- 1
Pubblica su _dmarc.dominio un record con p=none e un indirizzo rua= a cui ricevere i report aggregati.
- 2
Per qualche settimana leggi i report: mostrano quali server inviano posta a nome del dominio e se superano SPF e DKIM.
- 3
Correggi i servizi legittimi che non risultano allineati: vanno aggiunti a SPF o configurati con DKIM.
- 4
Passa a p=quarantine: i messaggi non autenticati finiscono in spam. Puoi usare pct= per applicarla solo a una parte della posta.
- 5
Quando i report sono puliti, passa a p=reject: i messaggi falsificati vengono rifiutati.
I report DMARC sono file XML poco leggibili. Conviene inviarli a una casella dedicata o a un servizio che li riassume, così si vede subito chi sta inviando a nome del dominio.
Gli errori più comuni
- Due record SPF sullo stesso dominio, nati da configurazioni successive di fornitori diversi.
- SPF con +all o senza regola finale: autorizza chiunque e annulla la protezione.
- DKIM pubblicato nel DNS ma mai attivato sulla piattaforma di posta.
- DMARC lasciato per anni in p=none: si ricevono i report ma il dominio resta falsificabile.
- Dimenticare i sottodomini: con sp= si decide la policy dei sottodomini che non hanno un DMARC proprio.
Cosa vediamo più spesso nelle aziende
Il problema tipico non è l'assenza dei record, ma un SPF cresciuto per stratificazione: ogni nuovo fornitore aggiunge il suo include, nessuno toglie quelli dei servizi dismessi, e prima o poi si supera il limite di interrogazioni senza che nessuno se ne accorga.
L'altro caso frequente è il passaggio a Microsoft 365 o Google Workspace fatto bene per la posta, ma senza attivare DKIM: la posta funziona, però arriva meno bene ed è più facile da falsificare. Se il dominio è già finito in blacklist, parti dalla guida IP o dominio in blacklist.
Gli strumenti da usare
Domande frequenti
SPF, DKIM e DMARC sono obbligatori?
+
Non per legge, ma i grandi provider li richiedono. Google e Yahoo chiedono a tutti i mittenti almeno SPF o DKIM e, a chi invia grandi volumi, anche DMARC: senza autenticazione la posta aziendale rischia rifiuto o spam.
Meglio -all o ~all nel record SPF?
+
-all è più sicuro: chiede di rifiutare i server non autorizzati. ~all è utile in una fase di prova, quando non si è certi di aver incluso tutti i servizi. Con DMARC attivo la differenza conta meno, perché decide la policy DMARC.
Se attivo DMARC reject rischio di perdere posta?
+
Sì, se lo fai subito. Per questo si parte da p=none, si leggono i report e si sistemano tutti i servizi legittimi prima di passare a quarantine e reject.
Quanto tempo serve perché le modifiche abbiano effetto?
+
Le modifiche al DNS si propagano in base al TTL dei record, di solito da pochi minuti a qualche ora. I report DMARC arrivano invece con cadenza giornaliera dai principali provider.
Come trovo il selettore DKIM del mio dominio?
+
È nell'intestazione DKIM-Signature di un'email inviata, nel valore s=. Microsoft 365 usa di solito selector1 e selector2, Google Workspace google.
Le newsletter inviate da piattaforme esterne vanno configurate?
+
Sì. Vanno incluse nel record SPF o, meglio, configurate per firmare con DKIM a nome del tuo dominio. Altrimenti con DMARC attivo vengono respinte o finiscono in spam.
Fonti
Preferisci che se ne occupi qualcuno?
I tecnici VAY gestiscono dominio, posta, server e sicurezza delle aziende clienti, con un unico referente.
Parla con un tecnico