netlupaVerificare il record SPF di un dominio
L'SPF indica quali server possono inviare posta per il tuo dominio. Inseriscilo per controllarne la sintassi e quante query DNS consuma.
Come si legge un record SPF
Un SPF è un record TXT che inizia con «v=spf1» seguito da un elenco di meccanismi valutati da sinistra a destra. Per esempio:
- v=spf1 include:_spf.google.com ip4:203.0.113.10 -all
Significa: autorizza i server di Google e l'IP 203.0.113.10, e rifiuta tutto il resto. Ogni meccanismo può essere preceduto da un qualificatore: + (autorizza, quello predefinito), - (rifiuta), ~ (softfail) o ? (neutro).
Il limite più importante è quello delle 10 query DNS: include, a, mx, ptr, exists e redirect ne consumano una ciascuno, anche quelli dentro gli include. Se si supera, l'SPF fallisce ed è come non averlo. Lo strumento le conta tutte per te.
Ogni record nel dettaglio
Domande frequenti
Come aggiungo un nuovo provider al mio SPF?
Aggiungi il suo include al record che hai già, prima del «all» finale, per esempio: v=spf1 include:_spf.google.com include:sendgrid.net ~all. Non creare un secondo record SPF: con due, fallisce.
Cosa faccio se supero le 10 query?
Togli gli include dei servizi che non usi più, sostituisci quello che puoi con i loro blocchi ip4/ip6 oppure usa un sottodominio separato, con il suo SPF, per gli invii massivi.
Qual è il mio selettore DKIM?
Apri un'e-mail che hai inviato, guarda il sorgente o le intestazioni originali e cerca DKIM-Signature: il valore di «s=» è il selettore e quello di «d=» il dominio. Google Workspace di solito usa «google» e Microsoft 365 «selector1» e «selector2».
È meglio «~all» o «-all»?
Con DMARC attivo la differenza pratica è piccola, perché decide la policy DMARC. «-all» è più rigoroso; «~all» è più tollerante con gli inoltri e i servizi dimenticati. Senza DMARC, «-all» protegge di più.
Ho modificato il DNS e lo strumento non lo vede, perché?
I record DNS restano in cache per il tempo indicato dal loro TTL (spesso un'ora). Aspetta quel tempo e ricontrolla. Verifica anche che il record sia sul nome giusto (per esempio _dmarc.tuodominio.it per DMARC).
Servono SPF e DMARC su un dominio che non invia posta?
Sì, ed è molto consigliato: pubblica «v=spf1 -all» e «v=DMARC1; p=reject;» così nessuno potrà usare quel dominio per inviare e-mail false.
Salvate i domini che verifico?
No. Interroghiamo il DNS pubblico al momento, con il nostro resolver, e non salviamo né il dominio né il risultato.