SPF DKIM DMARC: cosa fanno, in che ordine configurarli e come verificarli
Tre record di testo nel DNS dicono ai provider se una email viene davvero da te. Cosa fanno SPF, DKIM e DMARC, in che ordine si impostano e come si controllano.
Se qualcuno ti ha detto «sistema SPF, DKIM e DMARC» e tu hai annuito senza sapere da dove cominciare, non sei il solo. Sono tre record da inserire nel DNS del dominio, cioè tre righe di testo che chi gestisce il tuo dominio può aggiungere in pochi minuti. Il difficile non è scriverle: è capire cosa dicono, perché un errore di sintassi può far cadere i controlli e nessuno ti avvisa.
SPF, DKIM e DMARC: cosa fanno, in parole semplici
SPF dice quali server possono spedire email a nome del tuo dominio. DKIM aggiunge a ogni messaggio una firma che prova che non è stato alterato e che parte davvero da te. DMARC decide cosa fare quando i controlli falliscono e ti manda i rapporti. Insieme dicono ai provider che la posta è tua.
Un paragone da ufficio. SPF è l'autorizzazione data ai corrieri che possono ritirare pacchi a nome della tua azienda: se si presenta uno che non è autorizzato, il destinatario ha un motivo per diffidare. DKIM è il sigillo di ceralacca sul pacco: anche se il corriere è autorizzato, il sigillo dimostra che dentro nessuno ha toccato niente. DMARC è l'istruzione scritta per il portiere: «se manca l'autorizzazione o il sigillo, respingi il pacco» oppure «lascialo passare ma avvisami».
SPF in concreto
È un record di tipo TXT sul dominio, più o meno così: v=spf1 include:_spf.google.com ~all. Significa: «possono spedire per me i server di Google, tutti gli altri sono sospetti». Ne puoi avere uno solo per dominio. Se usi anche una piattaforma per le newsletter o per le campagne, i suoi server vanno aggiunti nello stesso record, non in un secondo.
DKIM in concreto
Il tuo servizio di posta genera una coppia di chiavi: una privata, che resta lì e firma ogni messaggio in uscita, e una pubblica, che tu pubblichi nel DNS. Chi riceve la posta usa la chiave pubblica per controllare la firma. Il record vive in un nome tipo selettore._domainkey.tuodominio.it, e il «selettore» è solo un'etichetta che permette di avere più chiavi in parallelo, una per ogni servizio che spedisce.
DMARC in concreto
Sta in _dmarc.tuodominio.it e ha tre modalità: none (osserva e basta), quarantine (manda in spam) e reject (scarta). Poi c'è l'allineamento: il dominio che il destinatario vede nel campo «Da» deve coincidere con quello certificato da SPF o da DKIM. Basta che uno dei due sia allineato e passi.
Qui sta il dettaglio che i riassunti saltano. Molte piattaforme di invio usano nel percorso tecnico del messaggio un proprio dominio, non il tuo: SPF risulta «pass», ma non allineato. Spesso è la firma DKIM col tuo dominio a far passare DMARC.
SPF serve ancora, se c'è DKIM?
Sì, tienili entrambi. Quando un messaggio viene inoltrato, SPF si rompe con facilità, perché il server che lo rilancia non è nel tuo record; la firma DKIM, se il testo non viene modificato, resta valida. Succede anche il contrario: un servizio che riscrive il messaggio può invalidare la firma, mentre SPF regge. Avere due strade riduce il rischio che una singola modifica ti faccia fallire il controllo.
Cosa succede se uno dei tre manca
Dipende da quale, e la differenza è meno ovvia di quanto sembri.
- Senza SPF il provider non ha modo di sapere se il server che ti scrive è autorizzato. Non è un blocco automatico, ma ti togli un punto di fiducia proprio quando ne hai bisogno.
- Senza DKIM il messaggio arriva senza firma: nessuno può provare che sia integro, e DMARC perde la strada più affidabile per l'allineamento.
- Senza DMARC nessuno ti dice cosa non va e chiunque può falsificare il tuo dominio senza che tu lo sappia. Scopri che qualcuno scrive a nome tuo quando un cliente ti chiama per una fattura che non hai mai mandato.
Poi c'è il caso più insidioso: i tre record esistono ma sono configurati male. Un SPF scritto in due righe invece di una viene letto come errore. Un DKIM attivato solo per il servizio di posta, mentre le campagne partono da un'altra piattaforma, fa firmare quei messaggi col dominio della piattaforma e l'allineamento salta. Il risultato è simile a non averli: la posta finisce in spam e tu pensi che il problema sia il testo. Se ti è già successo, il confronto con le cause vere per cui le email finiscono in spam aiuta a mettere in ordine i sospetti.
Come configurare SPF, DKIM e DMARC, in che ordine
Prima SPF, poi DKIM, per ultimo DMARC, e DMARC parte sempre in modalità osservazione. È l'ordine più prudente, perché DMARC giudica quello che SPF e DKIM hanno già messo a posto: se parti da lui, giudichi un lavoro non ancora fatto.
- Fai il censimento di chi spedisce a nome del dominio. Il servizio di posta, la piattaforma di invio, il gestionale che manda le fatture, il sito che manda le conferme d'ordine. Se ne dimentichi uno, i suoi messaggi falliranno i controlli.
- Scrivi un solo record SPF che comprenda tutti questi servizi. Chiudilo con ~all (soft fail): è più tollerante, e se hai dimenticato qualcuno non perdi posta.
- Attiva DKIM in ogni servizio che spedisce. Ognuno ti darà un record da incollare nel DNS. Dopo la pubblicazione aspetta la propagazione e conferma dal pannello del servizio che la firma è attiva.
- Pubblica DMARC con p=none e un indirizzo dove ricevere i rapporti, ad esempio v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it. La consegna non cambia, ma cominci a vedere chi spedisce davvero a nome tuo.
- Leggi i rapporti, correggi, poi stringi. Quando tutti i mittenti legittimi risultano allineati, passa a quarantine e, solo dopo un periodo senza sorprese, a reject.
I rapporti aggregati arrivano di solito come file compressi in formato XML, illeggibili a occhio. Conviene indirizzarli a uno strumento che li trasformi in una tabella: l'unica cosa che ti interessa è quali mittenti compaiono e se passano.
Perché non partire da reject, che sembra la scelta più sicura? Perché è quella che ti taglia fuori. Il giorno in cui scopri che il vecchio gestionale spediva con un dominio non allineato, le sue fatture vengono scartate e il cliente non le vede mai. Con p=none lo scopri dai rapporti, senza danni.
Come verificare SPF, DKIM e DMARC senza essere un tecnico
Il controllo più affidabile è anche il più semplice: spedisci un messaggio vero a una tua casella Gmail, aprilo e scegli «Mostra originale». In alto trovi tre righe, SPF, DKIM e DMARC, ciascuna con un esito. Devi leggere PASS tre volte. Se vedi FAIL o SOFTFAIL, il testo sotto indica quale dominio è stato controllato, ed è lì che di solito si capisce l'errore. Ripeti la prova da ogni sistema che spedisce: la posta, la piattaforma di invio, il gestionale.
Poi un controllo sul DNS, con uno dei molti strumenti gratuiti di lettura dei record: cerchi il tuo dominio e vedi se SPF compare una volta sola, se il selettore DKIM risponde, se DMARC è in _dmarc. Da ripetere ogni volta che aggiungi o cambi un servizio che spedisce. Dimenticarsene è una delle ragioni più comuni per cui «da un giorno all'altro» la posta peggiora.
Un avvertimento tecnico, perché è il tranello classico: SPF ammette al massimo dieci ricerche DNS per ogni controllo. Ogni include ne consuma almeno una, e alcuni servizi ne consumano parecchie a loro volta. Aggiungi una piattaforma di troppo e il record supera il limite: da quel momento SPF restituisce un errore per tutti i mittenti, anche per quelli che funzionavano prima. Se lo strumento segnala «too many lookups», è questo.
Nella cold email questi record non bastano, ma senza non si parte
Chi fa invii a freddo ha una ragione in più per curarli. Da noi gli invii partono da domini dedicati e da più caselle, mai dal dominio principale dell'azienda. Ogni dominio dedicato ha bisogno dei suoi tre record, quindi la procedura qui sopra si ripete per ciascuno prima del primo messaggio. Il motivo è semplice: la reputazione si costruisce su un dominio, e se qualcosa va storto non deve andare storto sul dominio con cui scrivi ai clienti e ai fornitori.
Non cadere però nell'errore opposto: credere che SPF, DKIM e DMARC corretti garantiscano la consegna. Dicono solo che sei chi dici di essere. Poi conta come ti comporti: quanto scali i volumi, quanti rimbalzi generi, cosa scrivi. Nelle nostre regole, per esempio, se i rimbalzi di una campagna arrivano al 4% la crescita si ferma finché non si trova la causa. Per la parte di messaggio ti rimando alla procedura per scrivere una cold email, e per il quadro d'insieme alla guida sulla cold email B2B fatta bene.
Apri il pannello DNS del tuo dominio, o chiedi a chi lo gestisce di mandarti una schermata, e conta quanti record TXT iniziano con v=spf1. Se ne trovi più di uno o nessuno, comincia da lì: è il controllo più rapido e quello che più spesso rivela il problema.
Domande frequenti
SPF serve ancora se ho DKIM e DMARC?
Sì. DMARC passa se almeno uno fra SPF e DKIM è allineato, quindi averli entrambi ti dà un margine quando uno dei due si rompe, per esempio con un inoltro. In più SPF resta un segnale di fiducia che i provider guardano per conto suo.
In che ordine si configurano SPF, DKIM e DMARC?
Prima SPF, poi DKIM su ogni servizio che spedisce, infine DMARC con policy p=none per osservare i rapporti. Solo quando tutti i mittenti legittimi risultano allineati si passa a quarantine e poi a reject.
Come controllo che i tre record funzionino?
Invia un messaggio a una tua casella Gmail e apri «Mostra originale»: devi vedere PASS per SPF, DKIM e DMARC. Poi controlla i record nel DNS con uno strumento gratuito di lettura, ogni volta che cambi un servizio di invio.