SPF, DKIM, DMARC: cosa sono e come configurarli
SPF, DKIM e DMARC sono i tre pilastri della deliverability email moderna. Configurarli correttamente significa proteggere il proprio dominio da contraffazioni e garantire che i messaggi legittimi arrivino in inbox e non in spam. In questa guida vediamo a cosa servono i tre standard e come implementarli passo dopo passo.
SPF: Sender Policy Framework
SPF e un record DNS di tipo TXT che dichiara quali server sono autorizzati a inviare email per conto del dominio. Quando il server destinatario riceve un messaggio verifica lIP del mittente confrontandolo con la lista SPF: se non corrisponde, applica la policy indicata (softfail, fail, neutral).
Un record SPF tipico per dominio Plesk e: v=spf1 mx a include:_spf.tuoprovider.it ~all. La parte finale ~all indica softfail (avviso), -all hardfail (rifiuto).
DKIM: DomainKeys Identified Mail
DKIM aggiunge una firma crittografica ai messaggi in uscita. Il server destinatario recupera la chiave pubblica dal DNS e verifica che il messaggio non sia stato alterato in transito e che provenga effettivamente dal dominio dichiarato. Plesk genera automaticamente la coppia di chiavi: la pubblica viene pubblicata in DNS come record TXT, la privata firma ogni email in uscita.
DMARC: Domain-based Message Authentication
DMARC unifica SPF e DKIM aggiungendo una policy esplicita su come trattare i messaggi che falliscono entrambi i controlli. Il record DMARC pubblica anche un'indirizzo email destinatario dei report aggregati, fondamentali per individuare tentativi di spoofing.
Un DMARC base e: v=DMARC1; p=none; rua=mailto:dmarc@tuo-dominio.it. Una volta validato il flusso e consigliato passare a p=quarantine e infine p=reject.
Procedura passo-passo
- Accedi al pannello DNS del dominio (Plesk, Cloudflare, registrar).
- Aggiungi un record TXT per SPF: nome @, valore v=spf1 mx ~all.
- In Plesk attiva DKIM dalla sezione Posta del dominio.
- Copia il record DKIM proposto da Plesk e pubblicalo nel DNS (nome default._domainkey).
- Crea un record DMARC: nome _dmarc, valore v=DMARC1; p=none; rua=mailto:dmarc@tuo-dominio.it.
- Attendi 24-48 ore per la propagazione.
- Verifica con strumenti online come MXToolbox o mail-tester.com.
Errori comuni e come risolverli
- Più record SPF: il dominio deve avere un solo record SPF. Unisci tutti i provider in una stringa unica.
- SPF troppo lungo: massimo 10 lookup; usa include con criterio.
- DKIM non firma i messaggi: il selettore in Plesk deve coincidere con quello pubblicato.
- DMARC reject senza test: rischio di bloccare email legittime; passa per p=none e p=quarantine prima.
- Newsletter di terze parti: aggiungi include del provider (es. Mailchimp) nel SPF.
Domande frequenti
D: Quanto tempo serve per vedere i benefici?
R: SPF e DKIM hanno effetto dopo la propagazione DNS (qualche ora). DMARC fornisce report giornalieri.
D: Cosa indica un report DMARC?
R: Elenca gli IP che hanno inviato per il dominio, con risultati SPF/DKIM. Utile per scoprire provider dimenticati.
D: SPF e DKIM bastano senza DMARC?
R: No. Senza DMARC non esiste una policy esplicita e i grandi provider iniziano a richiederlo come requisito minimo.
Monitoraggio dei report DMARC
I report DMARC sono fondamentali per capire chi invia email per il tuo dominio. Sono file XML inviati periodicamente al destinatario indicato in rua=, contengono IP sorgente, numero messaggi, esito SPF/DKIM. Tools come Postmark DMARC, dmarcian o Valimail offrono dashboard che parsificano i report e li trasformano in grafici comprensibili.
Lanalisi dei report rivela spesso provider dimenticati: SaaS che inviano dal dominio, CRM con email transazionali, vecchi server di stampa. Identificare e autorizzare questi flussi nel SPF e fondamentale prima di passare a DMARC strict (p=reject). Senza analisi dei report il rischio e bloccare email legittime senza accorgersene.
BIMI e nuovi standard
BIMI (Brand Indicators for Message Identification) e lo standard emergente che permette di visualizzare il logo del brand nella inbox del destinatario, accanto al nome del mittente. Richiede DMARC p=quarantine o p=reject attivo, un logo SVG conforme e (per Gmail) un Verified Mark Certificate (VMC) emesso da CA riconosciute.
BIMI aumenta riconoscibilita e fiducia: i messaggi con logo certificato hanno tassi di apertura più alti e riducono il rischio di phishing impersonator. Configurarlo correttamente e un'investimento di branding tangibile, oltre che un'incentivo a completare la configurazione DMARC al massimo livello di protezione.
Reputazione del dominio nel tempo
La reputazione del dominio si costruisce lentamente e si perde rapidamente. Anni di invio corretto possono essere compromessi in pochi giorni da un'account compromesso che invia spam o malware. Per questo monitoraggio continuo e procedure di risposta rapida sono fondamentali.
Tools come Sender Score di Validity assegnano un punteggio numerico alla reputazione, simile a un credit score per finanze. Punteggi sotto 70 indicano problemi seri di deliverability che richiedono azione immediata. Sopra 90 hai una posizione eccellente che facilita la consegna anche in casi marginali.
Per recuperare reputazione persa serve tempo: riduci volumi, pulisci liste, autentica correttamente, evita reclami spam. Strumenti come Reputation Authority di Microsoft offrono visibilità sulla posizione del tuo dominio nei loro sistemi. La pazienza e essenziale: gli algoritmi di reputazione si aggiornano gradualmente.
Best practice di sicurezza email
La sicurezza della posta elettronica passa per diversi livelli: autenticazione del mittente (SPF, DKIM, DMARC), cifratura del trasporto (TLS), cifratura dei contenuti (PGP, S/MIME), protezione dei client (antivirus, antispam), formazione utenti. Tralasciare anche un solo livello indebolisce lintera catena.
Implementa MFA su tutte le caselle critiche: dirigenti, amministrazione, IT, sales. Una password robusta non basta più come unica protezione. Plesk supporta TOTP nativo; per scenari enterprise considera hardware token come YubiKey, immune a phishing avanzato e attacchi MITM.
Programma audit di sicurezza periodici: review degli account attivi, controllo dei permessi, verifica delle regole di filtro e forward, analisi dei log di accesso. Le anomalie scoperte presto sono molto più gestibili rispetto a quelle che maturano nel tempo. La sicurezza non e uno stato, ma un processo continuo che richiede attenzione costante.
Hai bisogno di aiuto?
Se hai dubbi sulla configurazione delle tue email, il team di G Tech Group puo aiutarti. Contattaci tramite il modulo di contatto.