Strumenti per verificare la posta aziendale

Quando un collaboratore invia un'email, il server del destinatario fa tre controlli prima di accettarla. Se uno fallisce, il messaggio viene rifiutato o finisce in spam, spesso senza che il mittente se ne accorga.

Per questo i problemi di consegna sono subdoli: la posta in uscita sembra funzionare, ma clienti e fornitori non la ricevono, o la trovano nella cartella sbagliata.

• Instradamento: i record MX del dominio destinatario indicano a quale server consegnare la posta.
• Autenticazione: il server ricevente verifica con SPF, DKIM e DMARC che il messaggio arrivi davvero dal vostro dominio.
• Reputazione: controlla se l'IP del server mittente o il dominio compaiono nelle blacklist anti-spam.

I record MX dicono al resto del mondo dove consegnare la posta destinata al vostro dominio. Se dopo un cambio di fornitore puntano ancora al server vecchio, o se uno dei server indicati non risponde, i messaggi in arrivo vengono rifiutati o restano in coda.

Il controllo è immediato: i record DNS del dominio mostrano gli MX attuali con la loro priorità.

Sono tre record DNS complementari: nessuno sostituisce gli altri. La verifica SPF, DKIM e DMARC li controlla insieme e segnala cosa manca.

DMARC è quello che chiude il cerchio: dice ai server riceventi cosa fare dei messaggi che non superano i controlli e invia al dominio report periodici su chi sta spedendo a suo nome. Si parte da una policy di sola osservazione e si arriva per gradi al rifiuto dei messaggi falsificati.

I server di posta valutano due reputazioni distinte. Quella dell'indirizzo IP riguarda il server che invia: peggiora se da lì parte spam, anche per colpa di un account violato o di un dispositivo compromesso.

Quella del dominio segue il nome usato nei messaggi, anche quando la posta passa da piattaforme diverse. Puoi controllare IP e dominio nelle blacklist e, se serve, seguire la guida per uscire da una blacklist.

Le cause più comuni di un peggioramento sono interne: una casella con la password rubata che invia spam, un modulo del sito sfruttato per spedire messaggi, una stampante o un gestionale configurati per inviare direttamente su Internet. Risolvere la causa viene prima della richiesta di rimozione.

Da ripetere dopo ogni cambio di fornitore di posta o l'aggiunta di una nuova piattaforma di invio, come newsletter e gestionali.

Ogni voce si verifica dall'esterno in pochi minuti con gli strumenti di questa pagina, senza accedere ai server.

• Un solo record SPF, aggiornato con tutte le piattaforme che inviano per il dominio.
• Firma DKIM attiva su ogni piattaforma, con chiavi di lunghezza adeguata.
• DMARC pubblicato con un indirizzo per i report, da portare gradualmente a una policy restrittiva: la guida a SPF, DKIM e DMARC spiega i passaggi.
• Reverse DNS del server di posta coerente con il nome usato in invio, verificabile con l'IP lookup.
• Controllo periodico delle blacklist, soprattutto dopo segnalazioni di email non consegnate.

Molte aziende inviano posta da più strumenti: la casella principale, una piattaforma di newsletter, il gestionale per le fatture, il CRM. Ognuno di questi invia a nome del dominio e deve essere autorizzato.

Ogni nuova piattaforma richiede di aggiornare SPF e di attivare la propria firma DKIM. Il record SPF ha però un limite tecnico al numero di consultazioni DNS: aggiungere piattaforme senza criterio può farlo superare e renderlo non valido.

Per le comunicazioni massive conviene valutare un sottodominio dedicato, così la reputazione della posta ordinaria resta separata da quella delle campagne. Dopo ogni modifica, una nuova verifica di SPF, DKIM e DMARC conferma che tutto sia in ordine.