Perché' servono DKIM e SPF
I record SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) sono i due pilastri dell'autenticazione email moderna. Senza SPF e DKIM correttamente configurati:
- Le email finiscono spesso nello spam
- Gmail, Outlook e Yahoo possono rifiutare i messaggi
- Il dominio puo' essere abusato per inviare spoofing email
- La reputazione del server peggiora rapidamente
Plesk configura automaticamente SPF e DKIM per tutti i domini ospitati: vediamo come verificare e personalizzare le impostazioni.
Abilitare SPF
Andare in Tools & Settings → Mail Server Settings → DNS. Attivare le opzioni:
- Use Sender Policy Framework (SPF) to prevent spam: filtra in entrata i messaggi che falliscono SPF
- SPF behavior for incoming mail:
- Create received SPF header: aggiunge header
- Reject mail when SPF resolves to "fail"
- Reject mail when SPF resolves to "softfail"
- Reject mail when SPF resolves to "neutral"
- Reject mail when SPF does not resolve
Plesk genera automaticamente per ogni dominio un record SPF DNS del tipo:
v=spf1 +a +mx +ip4:1.2.3.4 -all
Dove 1.2.3.4 e' l'IP del server. Il record viene pubblicato come TXT sulla zona DNS del dominio.
Personalizzare SPF
Per personalizzare il record SPF, andare in Subscriptions → dominio.it → Mail Settings e modificare manualmente la zona DNS. Esempi:
- Includere Microsoft 365:
include:spf.protection.outlook.com - Includere Google Workspace:
include:_spf.google.com - Includere SendGrid:
include:sendgrid.net
Esempio completo:
v=spf1 +a +mx ip4:1.2.3.4 include:_spf.google.com -all
Abilitare DKIM
Nella stessa pagina Mail Server Settings attivare:
- Use DomainKeys Identified Mail (DKIM) spam protection system
- Allow signing outgoing mail: firma i messaggi in uscita
- Verify incoming mail: verifica la firma sui messaggi in entrata
Plesk genera per ogni dominio una coppia di chiavi RSA (2048 bit). La chiave pubblica viene pubblicata come record TXT DNS del tipo:
default._domainkey.dominio.it. IN TXT "v=DKIM1; k=rsa; p=MIIB..."
Verificare DKIM
Da SSH:
dig +short TXT default._domainkey.dominio.it
Se il record c'e', DKIM e' pubblicato. Inviare una mail a check-auth@verifier.port25.com per ricevere un report che verifica SPF, DKIM e altri controlli.
DMARC
DMARC (non gestito automaticamente da Plesk) e' il terzo pilastro: indica ai destinatari cosa fare con le email che falliscono SPF/DKIM. Aggiungere manualmente in DNS:
_dmarc.dominio.it. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@dominio.it"
Policy:
- p=none: solo report, nessuna azione (raccomandato all'inizio)
- p=quarantine: mette in spam le mail che falliscono
- p=reject: rifiuta le mail che falliscono (massima sicurezza)
Domini con DNS esterno
Se il DNS del dominio NON e' su Plesk, i record SPF/DKIM/DMARC vanno aggiunti manualmente sul provider DNS (Cloudflare, GoDaddy, ecc.). Plesk fornisce i record da copiare in Subscriptions → dominio → Mail Settings → DNS Records.
Problemi comuni
DKIM signature failed: chiave non pubblicata correttamente, o pubblicata su selector errato. Plesk usa il selector default.
SPF too many DNS lookups: SPF ha limite di 10 lookup. Ridurre include: e usare ip4:/ip6: dove possibile.
BIMI: il quarto pilastro emergente
BIMI (Brand Indicators for Message Identification) e' lo standard emergente che permette di mostrare il logo del brand nei client email che supportano lo standard (Gmail, Yahoo, Apple Mail). Richiede DMARC con policy quarantine o reject. Il logo deve essere in formato SVG validato e va pubblicato come record TXT:
default._bimi.dominio.it. IN TXT "v=BIMI1; l=https://dominio.it/logo.svg"
ARC: Authenticated Received Chain
ARC e' un'estensione di DKIM che preserva l'autenticita' delle email anche quando passano attraverso mailing list o forwarding che modificano il messaggio. Plesk Obsidian supporta ARC se abilitato in Mail Server Settings.
Rotazione delle chiavi DKIM
Le best practice raccomandano di ruotare le chiavi DKIM almeno una volta l'anno. Plesk supporta la rotazione mantenendo simultaneamente vecchio e nuovo selector per il tempo necessario al fade-out delle vecchie firme. Per rigenerare:
plesk bin dkim --setup -domain dominio.it -regen-key
Diagnostica con Mail-Tester
Per verificare il setup completo (SPF, DKIM, DMARC, contenuto, blacklist, infrastruttura), inviare una mail a mail-tester.com: restituisce un punteggio 0-10 con report dettagliato di ogni aspetto. Punteggio < 8 indica problemi da risolvere.
Configurazione per domini parking
Anche i domini che NON inviano email (parking, redirect-only) dovrebbero avere un record SPF restrittivo che blocchi spoofing:
v=spf1 -all
E un DMARC reject:
v=DMARC1; p=reject; rua=mailto:dmarc@dominio.it
Monitor della reputazione
Servizi come Postmaster Tools Google, Microsoft SNDS e Yahoo Sender Hub permettono di monitorare la reputazione dell'IP del server email come visto dai principali provider. Iscriversi e monitorare regolarmente.
Subdomain mail per terze parti
Se si delega l'invio email a terze parti (es. Mailgun per le transactional, Mailchimp per le newsletter), occorre includerli in SPF e configurare DKIM separato per ogni servizio. Plesk gestisce solo DKIM per le mail inviate dai server stesso; per servizi terzi la chiave DKIM va configurata sul loro pannello e il record TXT pubblicato manualmente sulla zona DNS.
Report DMARC aggregate
I report aggregate DMARC (rua) sono inviati settimanalmente dai principali ricevitori (Google, Microsoft, Yahoo) all'indirizzo configurato in DMARC. Per analizzarli usare servizi come dmarcian.com, postmarkapp.com/dmarc o Valimail Monitor: estraggono i dati XML e mostrano dashboard con percentuali di pass/fail per sorgente.
Hai bisogno di aiuto?
Se vuoi gestione Plesk dal team di G Tech Group, scrivici tramite il modulo di contatto.