SPF e DKIM: cosa sono e come proteggono le email

Inviare un’email e scoprire che è finita nella cartella spam del destinatario può essere frustrante. Questo problema riguarda sia le comunicazioni aziendali che l’invio di newsletter, con il rischio che il tuo messaggio venga cestinato prima ancora di essere letto.

Per migliorare la deliverability delle email e proteggere il tuo dominio da attacchi di phishing e spoofing, è fondamentale configurare correttamente due protocolli: SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail).

In questo articolo vedremo cosa sono, come funzionano e perché dovresti implementare anche il protocollo DMARC, che li completa e offre una protezione ancora più solida.

Cos’è l’SPF?

SPF (Sender Policy Framework) è un protocollo di autenticazione delle email che aiuta a prevenire lo spoofing, ovvero la falsificazione dell’indirizzo del mittente.

In pratica, SPF è un record DNS che specifica quali server sono autorizzati a inviare email per conto del tuo dominio. Quando un’email arriva a un provider di posta come Gmail, Outlook o Yahoo, il provider controlla se l’email proviene da un server incluso nella lista degli autorizzati nel record SPF del dominio mittente.

Se il server che ha inviato l’email non è autorizzato, il provider può contrassegnare il messaggio come spam o addirittura rifiutarlo.

Perché è importante?

Gli spammer spesso falsificano l’indirizzo del mittente nelle email per sembrare legittimi (spoofing). Con SPF, i provider di posta verificano se l’email proviene da un server autorizzato, riducendo il rischio che le tue email vengano considerate spam o che il tuo dominio venga utilizzato per truffe di phishing.

Come funziona SPF?

Quando un’email arriva a un server di posta destinatario, vengono eseguiti i seguenti controlli:

1. Il server di posta ricevente esamina l’indirizzo del mittente e l’indirizzo IP del server che ha inviato l’email.
2. Il server effettua una query DNS per verificare il record SPF associato al dominio del mittente.
3. Se l’indirizzo IP del server è presente nella lista degli autorizzati nel record SPF, l’email viene accettata.
4. Se l’indirizzo IP non è autorizzato o il record SPF è configurato in modo restrittivo, l’email può essere contrassegnata come spam o rifiutata.

In sintesi, l’implementazione di SPF aiuta i provider di posta a identificare le email legittime e a prevenire attacchi di spoofing, riducendo il rischio che email non autorizzate vengano inviate utilizzando il tuo dominio.

Cos’è il DKIM?

DKIM (DomainKeys Identified Mail) è un sistema di autenticazione delle email che utilizza la firma digitale per garantire che il messaggio non sia stato modificato durante la trasmissione.

Quando un’email viene inviata, DKIM aggiunge una firma crittografica che permette al destinatario di verificarne l’autenticità e l’integrità.

Perché è importante?

L’uso di DKIM aiuta i provider di posta a verificare che il contenuto dell’email provenga realmente dal mittente dichiarato e non sia stato alterato da soggetti terzi, come spammer o truffatori.

Se un’email viene intercettata e modificata prima di raggiungere il destinatario, la firma DKIM non sarà più valida, e il messaggio potrà essere segnalato come sospetto o rifiutato.

Come funziona DKIM?

1. Il server che invia l’email aggiunge un’intestazione speciale chiamata DKIM-Signature, firmata con una chiave privata.
2. Il server destinatario verifica la firma utilizzando la chiave pubblica memorizzata nei DNS del mittente.
3. Se la firma è valida, il messaggio viene considerato autentico.
4. Se la firma non è valida o assente, il messaggio può essere contrassegnato come spam o addirittura rifiutato.

L’implementazione di DKIM, insieme a SPF e DMARC, migliora la sicurezza delle email e aiuta a proteggere il dominio da spoofing e phishing.

DMARC: il complemento essenziale per SPF e DKIM

SPF e DKIM sono strumenti fondamentali per l’autenticazione delle email, ma da soli non offrono un controllo totale sulla gestione delle email non autorizzate. Per una protezione più efficace, è consigliato implementare DMARC (Domain-based Message Authentication, Reporting, and Conformance).

DMARC consente ai proprietari di un dominio di definire politiche precise su come i provider di posta devono trattare le email che non superano i controlli SPF e DKIM. Inoltre, permette di ricevere report dettagliati sul traffico email, aiutando a individuare e prevenire tentativi di abuso del dominio.

Benefici di DMARC:

• Previene lo spoofing e il phishing, impedendo l’invio di email fraudolente a nome del tuo dominio.
• Migliora la reputazione del dominio, riducendo il rischio che le email legittime vengano classificate come spam.
• Aumenta la deliverability, assicurando che le email autentiche raggiungano la casella di posta del destinatario.
• Fornisce report dettagliati, permettendo di monitorare e analizzare le email inviate con il tuo dominio, individuando eventuali tentativi di abuso.

L’implementazione di DMARC, in combinazione con SPF e DKIM, è essenziale per garantire la massima sicurezza e affidabilità nelle comunicazioni via email.

Come configurare SPF, DKIM e DMARC nei DNS?

La configurazione richiede un minimo di competenze tecniche e varia a seconda del provider di hosting o email. Di seguito, le impostazioni generali:

Configurare SPF

Aggiungi un record TXT nel DNS del tuo dominio con un valore simile a questo:

v=spf1 include:_spf.google.com ~all

Cosa significa questo record?

• v=spf1: indica che è un record SPF.
• include:_spf.google.com: autorizza i server di Google (ad esempio, Gmail) a inviare email per conto del dominio.
• ~all: specifica che i server non autorizzati devono essere trattati con minore severità (usa -all per un blocco più rigido).

Configurare DKIM

1. Genera una coppia di chiavi (pubblica e privata) nel tuo servizio email o server di posta.
2. Aggiungi un record TXT nel DNS con la chiave pubblica, ad esempio:

default._domainkey.tuodominio.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqG..."

3. Il tuo provider email userà la chiave privata per firmare le email.

Configurare DMARC

Aggiungi un record TXT nel DNS con una policy di protezione, ad esempio:

v=DMARC1; p=quarantine; rua=mailto:report@tuodominio.com

Cosa significa?

• p=none: monitora il traffico senza applicare restrizioni.
• p=quarantine: sposta le email sospette nella cartella spam.
• p=reject: blocca le email non conformi (più sicuro, ma da implementare con cautela).
• rua=mailto:report@tuodominio.com: ricevi report sulle email bloccate o sospette.

Conclusioni

Implementare SPF, DKIM e DMARC è essenziale per garantire che le tue email arrivino a destinazione senza finire nello spam e per proteggere il tuo dominio dagli abusi.

Se non hai esperienza nella configurazione DNS, ti consigliamo di rivolgerti al supporto tecnico del tuo provider. Il team di HostingPerTe è a disposizione per aiutarti a proteggere il tuo dominio e migliorare la deliverability delle tue email.