SPF, DKIM e DMARC: le tue e-mail arrivano?
Inserisci un dominio. Leggiamo dal DNS i suoi record SPF, DKIM e DMARC e i record MX, li verifichiamo come fanno i server di posta riceventi e ti diciamo in parole semplici cosa manca o cosa è sbagliato, con record di esempio da copiare nel tuo DNS. Nessuna connessione al tuo server di posta, nulla viene salvato.
Cosa significano i risultati
- SPF
- Un record TXT che elenca i server autorizzati a inviare e-mail per il tuo dominio. I riceventi confrontano il server che si collega con questo elenco. Limiti: un solo record, al massimo 10 query DNS e un ~all o -all finale. SPF da solo si rompe con l’inoltro, ed è per questo che esiste DKIM.
- DKIM
- Il tuo server di posta firma ogni messaggio con una chiave privata; la chiave pubblica è pubblicata su selettore._domainkey.tuodominio. I riceventi verificano la firma, che sopravvive all’inoltro. Usa chiavi RSA a 2048 bit e ruotale ogni tanto.
- DMARC
- Un record TXT su _dmarc.tuodominio che dice ai riceventi cosa fare quando SPF e DKIM falliscono (none, quarantine, reject) e dove inviare i rapporti. Allineamento significa che il dominio nell’intestazione From deve corrispondere al dominio SPF o DKIM. Comincia con p=none, leggi i rapporti, poi stringi.
- MX
- I server che ricevono la posta per il dominio. Non servono per inviare, ma i grandi riceventi diffidano dei domini senza record MX; e senza, le risposte tornano indietro.
- Perché conta
- I grandi provider di caselle di posta richiedono SPF o DKIM a tutti e DMARC ai mittenti di grandi volumi; senza, le e-mail finiscono nello spam o vengono rifiutate. Gli stessi record impediscono ad altri di inviare e-mail di phishing a tuo nome.
- Perché resti così
- I record cambiano quando aggiungi uno strumento per le newsletter, cambi hosting o ruoti le chiavi. Centoculus verifica SPF, DKIM, DMARC, MTA-STS e DNSSEC del tuo dominio ogni ora e ti avvisa quando qualcosa cambia; il controllo della consegna delle e-mail invia anche un messaggio di prova e ti dice dove è finito.
Vuoi questa verifica in automatico, con un avviso appena qualcosa non va?
Con il piano gratuito, Centoculus controlla il tuo sito web ogni 5 minuti e ti avvisa via e-mail e nell’app prima che i tuoi clienti se ne accorgano. 50 monitor per siti web e 5 controlli SSL al giorno, gratis, uso professionale consentito. La registrazione apre a breve: ottieni l’accesso anticipato e parti per primo.
Ottieni l’accesso anticipatoDomande su SPF, DKIM e DMARC
Che differenza c’è tra SPF, DKIM e DMARC?
SPF dice quali server possono inviare per il tuo dominio. DKIM dimostra con una firma che un messaggio non è stato modificato e viene davvero dal tuo server. DMARC lega entrambi all’indirizzo From visibile e dice ai riceventi cosa fare quando falliscono. Servono tutti e tre.
Cos’è un selettore DKIM e dove lo trovo?
Il selettore dà il nome alla chiave nel DNS: selettore._domainkey.tuodominio. Il tuo provider di posta ti dice il nome quando configuri DKIM (Google usa “google”, Microsoft 365 “selector1” e “selector2”). Puoi anche leggerlo nell’intestazione DKIM-Signature di qualsiasi e-mail che hai inviato: il tag s=.
Perché SPF ha un limite di 10 query?
Ogni include, a, mx, ptr, exists e redirect obbliga il ricevente a interrogare il DNS. Lo standard lo limita a 10 per verifica per evitare abusi. Oltre il limite il ricevente restituisce un errore permanente, che la maggior parte tratta come fallimento. I provider che hanno bisogno di molte query offrono un include appiattito.
Devo usare ~all o -all?
-all dice ai riceventi di rifiutare le e-mail da altri server, ~all di trattarle come sospette. Con DMARC su quarantine o reject la differenza è piccola, perché decide DMARC. Comincia con ~all finché non sei sicuro di aver elencato ogni mittente, poi passa a -all.
Con quale policy DMARC devo cominciare?
p=none con un indirizzo rua. Leggi i rapporti per qualche settimana, aggiungi ogni mittente legittimo a SPF e DKIM, poi passa a p=quarantine e infine a p=reject. Saltare a reject dal primo giorno di solito blocca uno strumento per le newsletter o un CRM di cui nessuno si ricordava.
Quanto ci mettono le modifiche al DNS a diventare attive?
Di solito pochi minuti, al massimo il TTL del vecchio record (spesso fino a 24 ore). Rifai questa verifica dopo la modifica: legge il DNS da zero ogni volta.
I miei record sono a posto, ma le e-mail finiscono comunque nello spam.
L’autenticazione è solo il biglietto d’ingresso. Contano anche il contenuto, la qualità della lista, il tasso di segnalazioni e la reputazione dell’IP mittente. Controlla se l’IP mittente è in una blocklist e se il reverse DNS corrisponde al nome del server di posta.