mark_email_read Controllo DNS Email (SPF, DKIM, DMARC) star

Come Funziona l'Autenticazione Email

Tre record DNS lavorano insieme per impedire che qualcuno invii posta contraffatta che sembra provenire dal tuo dominio. SPF (Sender Policy Framework) pubblica un elenco di server esplicitamente autorizzati a inviare posta per il dominio — un server ricevente controlla l'IP che si connette rispetto a quell'elenco. DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni messaggio in uscita; il server ricevente recupera la tua chiave pubblica dal DNS e verifica che la firma non sia stata alterata durante il transito, qualcosa che l'SPF da solo non può rilevare. DMARC (Domain-based Message Authentication, Reporting and Conformance) collega i due elementi insieme: dice ai server riceventi cosa fare quando SPF o DKIM falliscono — non fare nulla, inviare a spam, o rifiutare direttamente — e richiede report aggregati così puoi vedere chi sta effettivamente inviando posta a nome del tuo dominio, impostori inclusi.

Esempio concreto: senza nessuno di questi tre record, un attaccante può inviare un'email che sembra provenire da [email protected], e la maggior parte dei server di posta la consegnerà direttamente nella casella di posta del destinatario senza mostrare alcun avviso. Inserisci il tuo dominio nel controllo qui sopra: interrogherà MX, SPF, DKIM (provando automaticamente i selettori più comuni) e DMARC tramite DNS-over-HTTPS, poi segnalerà esattamente cosa manca: nessun record SPF, una policy DMARC bloccata su p=none (solo monitoraggio, zero protezione reale), due record SPF in conflitto (una violazione dello standard che rompe completamente la validazione), oppure un meccanismo all mancante alla fine della stringa SPF.

Cosa Dovresti Sapere

Configurare correttamente tutti e tre i record non è opzionale per chi tiene alla reputazione del proprio brand o alla recapitabilità della posta — un dominio con lacune in SPF, DKIM o DMARC è sia più facile da falsificare sia più a rischio che la propria posta legittima finisca nello spam, perché i grandi provider come Gmail, Yahoo e Outlook richiedono sempre più spesso un'autenticazione completa prima di fidarsi di un mittente. Il rollout è sicuro se fatto nell'ordine giusto: pubblica prima l'SPF, aggiungi la firma DKIM tramite il tuo provider di posta, poi aggiungi il DMARC partendo da p=none così puoi osservare i report aggregati senza rischiare la posta reale — passa a quarantena o rifiuto solo dopo aver confermato e allineato ogni fonte di invio legittima, come strumenti di marketing, un CRM o un sistema di ticketing.

• Un singolo dominio può avere un solo record TXT SPF — se usi più servizi (Google Workspace, una piattaforma di marketing, un CRM), unisci tutti i loro meccanismi include in un'unica stringa invece di pubblicare record separati.
• I selettori DKIM sono specifici per provider: Google Workspace pubblica spesso sotto "google", Microsoft 365 sotto "selector1" o "selector2" — se il controllo automatico non trova nulla, cerca il nome esatto del selettore del tuo provider e inseriscilo manualmente.
• Questo strumento verifica solo la configurazione DNS; non controlla lo stato nelle blacklist né scansiona il contenuto dei messaggi — questi sono livelli separati della recapitabilità della posta che si basano su una configurazione DNS corretta.