Verificare DKIM e SPF degli invii da RoundCube
DKIM, SPF e DMARC sono i tre standard che firmano e autorizzano l'invio email dal tuo dominio. Senza di essi le email da RoundCube finiscono facilmente in spam su Gmail e Outlook. G Tech Group configura tutti e tre di default sui domini gestiti, ma e' utile sapere come verificarli e cosa fare se qualcosa non va. Vediamo passo passo.
SPF (Sender Policy Framework)
SPF e' un record DNS TXT che dichiara quali server sono autorizzati a inviare email per il tuo dominio. Esempio: v=spf1 mx a:plesk.gtechgroup.it -all. Se il server di invio non e' nella lista, il destinatario sa che l'email e' sospetta.
DKIM (DomainKeys Identified Mail)
DKIM firma crittograficamente ogni email in uscita con una chiave privata; il destinatario verifica con la chiave pubblica pubblicata in DNS. Garantisce integrità del messaggio e autenticità del mittente. Plesk genera la coppia automaticamente.
DMARC (Domain-based Message Authentication, Reporting & Conformance)
DMARC unisce SPF e DKIM aggiungendo policy: cosa fare quando email fallisce (none/quarantine/reject) e report aggregati. Pubblicato come record TXT _dmarc.tuodominio.it. G Tech Group consiglia partire con p=none + rua, poi p=quarantine.
Verifica tools
Strumenti consigliati: mxtoolbox.com (SPF/DKIM/DMARC lookup), mail-tester.com (invia un'email e ottieni score 0-10), Postmark Postmaster (report DMARC analytics). G Tech Group fornisce report mensili per clienti business.
Procedura passo-passo
- Su Plesk - Dominio - Posta - Posta server
- Verifica spunta SPF, DKIM, DMARC attivi
- Annota record DNS suggeriti
- Su DNS provider aggiungi i TXT record
- Aspetta propagazione (1-4 ore)
- Verifica su mxtoolbox.com -> SPF Record Lookup
- Invia email a test@mail-tester.com e verifica score
- Setup DMARC reports verso un'indirizzo dedicato
Errori comuni e come risolverli
- DKIM fail su mail-tester: Plesk DKIM non attivo; abilita.
- SPF Permerror: troppi DNS lookup nel record; semplifica.
- DMARC report illeggibili: XML; usa servizi come dmarcian per parsare.
- Email finiscono in spam su Gmail nonostante DKIM/SPF: manca DMARC con allineamento.
Approfondimenti tecnici e scenari d'uso
L'argomento Verificare DKIM e SPF degli invii da RoundCube richiede una buona comprensione dell'infrastruttura di posta sottostante. RoundCube e' uno strato applicativo che si poggia su un server IMAP (di norma Dovecot su Plesk) per la lettura dei messaggi, su un server SMTP (Postfix) per l'invio, e su un database MySQL o MariaDB per i metadati. Ogni operazione che vediamo dall'interfaccia attiva una o più' chiamate verso questi servizi. Comprendere il flusso aiuta a diagnosticare velocemente i malfunzionamenti e a prendere decisioni informate quando bisogna pianificare interventi su ambienti di produzione con utenti business.
G Tech Group, in qualità' di agenzia digitale italiana con più' di un decennio di esperienza su Plesk e oltre cinquecento clienti attivi, ha consolidato una serie di accorgimenti operativi: pulizia periodica delle cache, monitoraggio dei log applicativi, verifica dei certificati SSL, audit dei plugin installati, e schedulazione di backup giornalieri con retention multipla. Tutte queste pratiche sono integrate nei piani di assistenza tecnica h24 erogati dalla sede di Giustino, in Trentino. L'assistenza in italiano e i tempi di risposta sotto le due ore sui ticket critici sono parte del valore offerto ai clienti professionali.
Per chi gestisce diversi domini sullo stesso server e' utile ricordare che molte impostazioni RoundCube hanno scope globale: una modifica al file config.inc.php si applica a tutti gli utenti. Per personalizzazioni per dominio o per gruppo serve un plugin dedicato o l'estensione del config tramite hook. In ambienti multi-tenant come quelli di un'agenzia digitale e' bene mantenere un repository git con le modifiche di configurazione, separato dal codice upstream di RoundCube, per poter eseguire upgrade in sicurezza senza perdere customizzazioni. G Tech Group segue questa policy per tutti i server gestiti, garantendo così' aggiornamenti regolari della webmail senza regressioni sulle personalizzazioni (skin, plugin custom, integrazioni CRM e altri moduli aziendali).
Sul fronte sicurezza, l'argomento merita sempre attenzione specifica. Le credenziali email transitano su HTTPS, ma una sola compromissione può aprire la porta a campagne di phishing dal dominio aziendale, con danni di reputazione e di deliverability difficili da recuperare in tempi brevi. Per questo G Tech Group consiglia abilitazione di SPF, DKIM e DMARC obbligatori, policy di password forte, fail2ban configurato sui tentativi falliti, monitor di accessi anomali e training periodico per gli utenti finali. Per i clienti enterprise sono inoltre disponibili moduli di autenticazione multi-fattore tramite reverse proxy Authelia o Keycloak posti davanti a RoundCube.
Dal punto di vista delle prestazioni, la maggior parte dei rallentamenti percepiti dagli utenti deriva da tre cause: cache messaggi cresciuta a dismisura (la tabella cache_messages può superare svariati gigabyte in pochi mesi), connessioni IMAP non chiuse correttamente che esauriscono le risorse Dovecot, e tempi di risposta del DNS lenti per le ricerche DNSBL durante la consegna SMTP. La cron di bin/cleandb.sh che G Tech Group abilita in fase di onboarding riduce notevolmente il primo problema, mentre tuning di Dovecot e cache DNS locale risolvono gli altri due, garantendo una webmail sempre fluida anche su domini con centinaia di caselle attive in contemporanea.
Domande frequenti
D: Posso avere più' SPF record?
R: No, devono essere uniti in uno solo.
D: DKIM ruota le chiavi?
R: Buona pratica annualmente; Plesk supporta selectors multipli.
D: DMARC reject e' rischioso?
R: Sì senza setup gradualistico; parti da p=none.
Hai bisogno di aiuto?
Se hai bisogno di configurare RoundCube per la tua azienda, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.