SPF, DKIM e DMARC sono tre tecnologie DNS che aiutano a proteggere un dominio email da spoofing, phishing e uso non autorizzato. Non impediscono ogni forma di truffa, ma permettono ai server destinatari di verificare se un messaggio proviene davvero da un’infrastruttura autorizzata e se il mittente è coerente con il dominio dichiarato.

La configurazione richiede attenzione perché un record errato può causare il rifiuto o la classificazione come spam di messaggi legittimi. Prima di applicare una politica restrittiva è quindi opportuno censire tutti i servizi che inviano email per conto del dominio: provider di posta, piattaforme per newsletter, sistemi CRM, moduli del sito, software gestionali, strumenti di assistenza e servizi di monitoraggio.

Che cosa fanno SPF, DKIM e DMARC

SPF, acronimo di Sender Policy Framework, indica quali server possono inviare email per un determinato dominio. L’informazione viene pubblicata nel DNS attraverso un record TXT. Quando riceve un messaggio, il server destinatario confronta l’indirizzo IP del server di invio con le autorizzazioni indicate nel record SPF.

SPF non verifica il contenuto del messaggio e non protegge direttamente il campo “Da”, che può essere falsificato. Inoltre, ogni dominio può avere un solo record SPF valido. Se se ne pubblicano due separati, il controllo può produrre un errore. Le autorizzazioni dei diversi fornitori devono quindi essere riunite in un’unica riga.

DKIM, ovvero DomainKeys Identified Mail, aggiunge una firma crittografica alle email in uscita. Il server destinatario usa una chiave pubblica pubblicata nel DNS per verificare che il messaggio sia stato firmato da un sistema autorizzato e che le parti firmate non siano state modificate durante il transito.

La chiave privata resta sul server o sul servizio di invio; nel DNS viene inserita soltanto la chiave pubblica. Il record DKIM si trova normalmente in un sottodominio con una forma simile a selettore._domainkey.esempio.it. Il nome del selettore e il valore del record vengono forniti dal provider email.

DMARC, acronimo di Domain-based Message Authentication, Reporting and Conformance, coordina SPF e DKIM e stabilisce come trattare i messaggi che non superano i controlli. Introduce inoltre il concetto di allineamento: il dominio autenticato da SPF o DKIM deve essere coerente con il dominio visualizzato nell’indirizzo del mittente.

Preparare il dominio prima della configurazione

Il primo passaggio consiste nell’elencare ogni sistema autorizzato a spedire messaggi con il dominio. Non è sufficiente considerare il solo servizio utilizzato per la posta quotidiana. Un’email inviata dal sito, da una piattaforma di marketing o da un software aziendale può seguire un’infrastruttura completamente diversa.

Per ciascun servizio occorre verificare tre elementi: se supporta SPF, se può firmare i messaggi con DKIM e quali valori DNS richiede. Molti provider forniscono istruzioni specifiche, spesso con un record CNAME o TXT e con un selettore DKIM personalizzato. È importante seguire la documentazione del servizio senza sostituire autonomamente nomi o valori.

È anche necessario avere accesso al pannello DNS autorevole del dominio, che può appartenere al registrar, al provider di hosting o a un servizio DNS esterno. Le modifiche non vengono necessariamente applicate subito: la propagazione dipende dal TTL, cioè dal tempo per cui i resolver possono conservare una risposta nella cache.

Configurare SPF senza bloccare le email legittime

Nel pannello DNS si crea un record TXT sul dominio principale, senza inserire un nuovo record per ogni fornitore. Un esempio puramente illustrativo può avere questa struttura: v=spf1 include:provider.example ip4:192.0.2.10 ~all. Il valore reale deve essere fornito dai servizi utilizzati e non va copiato da esempi generici.

La direttiva include autorizza le reti pubblicate da un altro dominio SPF, mentre ip4 autorizza uno specifico indirizzo IPv4. La parte finale indica il comportamento per i server non autorizzati: ~all produce in genere un risultato di soft fail, mentre -all indica un fail più netto. Prima di usare quest’ultima opzione è indispensabile aver individuato tutti i mittenti legittimi.

SPF prevede un limite al numero di interrogazioni DNS necessarie per valutare il record. Catene troppo complesse di include possono superarlo e rendere il controllo non valido. Per questo non bisogna aggiungere autorizzazioni non necessarie né replicare record già inclusi da un provider.

Attivare DKIM e verificare la firma

DKIM viene generalmente abilitato dal pannello del provider di posta o del servizio di invio. Il servizio genera una coppia di chiavi e comunica il nome del selettore e il record DNS da pubblicare. A seconda della piattaforma, il record può essere TXT oppure CNAME.

Dopo aver inserito il record, si attiva la firma DKIM nel servizio e si invia un messaggio di prova a un account controllabile. Nei dettagli tecnici del messaggio dovrebbe comparire un risultato DKIM positivo, spesso espresso come dkim=pass. La presenza del record DNS, da sola, non garantisce che il provider stia effettivamente firmando tutte le email.

Se un dominio utilizza più piattaforme di invio, ciascuna può richiedere un selettore diverso. Non bisogna sovrascrivere il record di un servizio con quello di un altro: i selettori consentono di pubblicare più chiavi contemporaneamente.

Pubblicare DMARC e passare gradualmente a una politica restrittiva

Il record DMARC è un TXT pubblicato nel sottodominio _dmarc. Una configurazione iniziale può usare una politica di monitoraggio, per esempio v=DMARC1; p=none; rua=mailto:dmarc@esempio.it. L’indirizzo indicato deve essere una casella realmente monitorata, preferibilmente dedicata ai report.

Con p=none il dominio raccoglie informazioni senza chiedere al destinatario di bloccare i messaggi non conformi. I report aggregati aiutano a individuare servizi dimenticati, configurazioni SPF incomplete e problemi di allineamento. Non tutti i report sono facili da leggere: può essere utile un analizzatore specializzato, soprattutto per domini con elevati volumi di posta.

Quando i risultati sono stabili, si può valutare il passaggio a p=quarantine, che suggerisce di trattare i messaggi non conformi come sospetti, spesso collocandoli nello spam. La politica più rigida è p=reject, che chiede al server destinatario di rifiutare i messaggi che falliscono DMARC.

DMARC può includere anche adkim e aspf, che regolano il livello di allineamento richiesto, oltre a pct, che permette di applicare gradualmente la politica a una percentuale dei messaggi. Le impostazioni predefinite sono spesso sufficienti per iniziare; modifiche più rigorose vanno valutate in base all’architettura del dominio.

Controlli finali ed errori da evitare

Dopo ogni modifica è consigliabile verificare i record con strumenti di interrogazione DNS e inviare messaggi di prova da tutti i sistemi autorizzati. Nei risultati di autenticazione occorre cercare almeno SPF, DKIM e DMARC con esito positivo e controllare che il dominio autenticato sia allineato con quello del mittente.

Gli errori più comuni sono la pubblicazione di due record SPF, l’uso di un record DKIM nel nome sbagliato, la dimenticanza di un servizio di newsletter e l’attivazione immediata di p=reject senza fase di monitoraggio. Anche inoltri automatici e mailing list possono alterare SPF o il contenuto firmato, quindi vanno considerati nei test.

SPF, DKIM e DMARC funzionano meglio come processo continuo: i report vanno controllati quando si aggiunge un nuovo servizio, si cambia provider o si modifica il sistema di invio. Una configurazione corretta riduce il rischio di impersonificazione del dominio e migliora l’affidabilità della posta, ma deve essere accompagnata da autenticazione forte sugli account, aggiornamenti, gestione delle password e formazione degli utenti.