netlupaVerificare SPF, DKIM e DMARC
Inserisci il tuo dominio per controllare i tre record che decidono se la tua posta arriva nella casella di arrivo o finisce nello spam.
Come verificare l'autenticazione della tua posta
Inserisci il dominio da cui invii la posta (la parte dopo la @).
Se conosci il tuo selettore DKIM, inseriscilo; altrimenti lascia vuoto e proveremo quelli dei provider più comuni.
Controlla i tre blocchi: ogni avviso spiega cosa non va e come correggerlo nel DNS del tuo dominio.
SPF, DKIM e DMARC in due minuti
La posta elettronica non verifica da sola chi la invia: chiunque può scrivere ciò che vuole come mittente. Per evitare lo spoofing (phishing) e lo spam, i server di posta consultano tre record TXT del dominio:
- SPF: l'elenco dei server autorizzati a inviare posta del dominio.
- DKIM: una firma crittografica su ogni messaggio, verificata con una chiave pubblica pubblicata nel DNS.
- DMARC: la policy che unisce i due precedenti. Dice cosa fare quando un messaggio non supera né SPF né DKIM allineati con il mittente (lasciarlo passare, metterlo nello spam o rifiutarlo) e dove inviare i report.
Senza tutti e tre, le tue e-mail hanno molte più probabilità di finire nella cartella spam, e chiunque può inviare e-mail false a tuo nome.
Perché ora sono obbligatori
Dal 2024 Gmail e Yahoo richiedono SPF, DKIM e DMARC a chi invia più di 5.000 e-mail al giorno ai loro utenti, e Microsoft applica le stesse regole su Outlook.com dal 2025. Per i piccoli mittenti non sono obbligatori in senso stretto, ma senza di essi la reputazione del dominio cala e i filtri diventano molto più severi.
Inoltre DMARC con policy «quarantine» o «reject» è necessario per mostrare il tuo logo accanto alle tue e-mail (BIMI) ed è sempre più richiesto dagli audit di sicurezza e dalle assicurazioni sul rischio informatico.
Gli errori più comuni
- Due record SPF: aggiungendo un nuovo provider si crea un secondo record invece di aggiungere un include a quello esistente. Con due, SPF fallisce del tutto.
- Più di 10 query DNS: ogni include, a, mx o exists conta, anche quelli dentro gli include. Con molti provider si supera il limite senza accorgersene.
- «+all» alla fine: autorizza tutti e annulla l'SPF.
- DMARC fermo su «p=none»: è la modalità di osservazione, utile all'inizio, ma non protegge.
- DKIM non attivato presso il provider: molti (Google Workspace, Microsoft 365) richiedono di attivarlo a mano e pubblicare la chiave.
- Chiavi DKIM da 1024 bit: funzionano ancora, ma conviene sostituirle con chiavi da 2048.
Come arrivare a DMARC «reject» senza perdere posta
L'ordine sicuro è questo:
- Pubblica l'SPF con tutti i tuoi servizi di invio (la casella di posta, il sito, il CRM, lo strumento per le newsletter) terminato con «~all».
- Attiva DKIM su ogni servizio che invia a tuo nome.
- Pubblica DMARC con «p=none» e un indirizzo rua per ricevere i report.
- Per qualche settimana esamina i report e aggiungi a SPF o DKIM i servizi legittimi che falliscono.
- Passa a «p=quarantine» (puoi iniziare con pct=25 e salire) e, quando tutto è pulito, a «p=reject».
Torna su questo strumento dopo ogni modifica per verificare che i record siano ancora validi.
Ogni record nel dettaglio
Domande frequenti
Qual è il mio selettore DKIM?
Apri un'e-mail che hai inviato, guarda il sorgente o le intestazioni originali e cerca DKIM-Signature: il valore di «s=» è il selettore e quello di «d=» il dominio. Google Workspace di solito usa «google» e Microsoft 365 «selector1» e «selector2».
È meglio «~all» o «-all»?
Con DMARC attivo la differenza pratica è piccola, perché decide la policy DMARC. «-all» è più rigoroso; «~all» è più tollerante con gli inoltri e i servizi dimenticati. Senza DMARC, «-all» protegge di più.
Ho modificato il DNS e lo strumento non lo vede, perché?
I record DNS restano in cache per il tempo indicato dal loro TTL (spesso un'ora). Aspetta quel tempo e ricontrolla. Verifica anche che il record sia sul nome giusto (per esempio _dmarc.tuodominio.it per DMARC).
Servono SPF e DMARC su un dominio che non invia posta?
Sì, ed è molto consigliato: pubblica «v=spf1 -all» e «v=DMARC1; p=reject;» così nessuno potrà usare quel dominio per inviare e-mail false.
Salvate i domini che verifico?
No. Interroghiamo il DNS pubblico al momento, con il nostro resolver, e non salviamo né il dominio né il risultato.