SPF, DKIM e DMARC: configurarli bene per email sicure e senza spam

Negli ultimi anni, le minacce legate alla posta elettronica (come phishing, spoofing e spam) sono cresciute in maniera esponenziale, mettendo a rischio la sicurezza di aziende e privati. Secondo il report 2023 dell’FBI Internet Crime Complaint Center, oltre il 40% delle frodi informatiche segnalate ha coinvolto email falsificate o contraffatte. In questo contesto, autenticare correttamente i propri messaggi diventa una priorità non solo per proteggere i dati, ma anche per garantire che le email arrivino realmente nella casella di posta del destinatario.

Protocolli come SPF, DKIM e DMARC svolgono un ruolo fondamentale in questa protezione: verificano l’identità del mittente, impediscono modifiche non autorizzate al contenuto e permettono di impostare regole precise su come i provider devono gestire i messaggi sospetti. Senza una loro configurazione corretta, le email rischiano di finire nella cartella spam o, peggio, di non essere consegnate affatto.

In questa guida vedremo nel dettaglio cosa sono, come funzionano e come configurarli per ottenere la configurazione perfetta per email sicure, affidabili e a prova di spam.

Cos’è SPF e come funziona

SPF, acronimo di Sender Policy Framework, è un protocollo di autenticazione email che permette di specificare quali server sono autorizzati a inviare messaggi per un determinato dominio. Funziona pubblicando un record TXT nel DNS del dominio, contenente l’elenco degli indirizzi IP o host autorizzati.

Quando un server riceve un’email, controlla il record SPF del dominio mittente: se l’indirizzo IP del server che ha inviato il messaggio non è presente nell’elenco, l’email può essere contrassegnata come sospetta o rifiutata del tutto. Questo riduce drasticamente il rischio di email spoofing, in cui un malintenzionato invia messaggi fingendo di essere un mittente legittimo.

Un esempio di record SPF può essere:

v=spf1 ip4:192.0.2.0/24 include:_spf.google.com -all

In questo caso, il record indica che sono autorizzati tutti gli IP nella rete 192.0.2.0/24 e quelli inclusi nel dominio _spf.google.com, mentre tutte le altre fonti (-all) devono essere rifiutate.

Ricordati di mantenere aggiornato il record SPF se cambi provider email o aggiungi nuovi servizi (ad esempio piattaforme di email marketing), altrimenti i tuoi messaggi legittimi potrebbero essere respinti.

Cos’è DKIM e come funziona

DKIM, acronimo di DomainKeys Identified Mail, è un sistema di autenticazione email basato sulla firma crittografica. L’obiettivo è garantire che il contenuto del messaggio non sia stato modificato durante il trasporto e che il mittente sia effettivamente autorizzato a inviare email per quel dominio.

Il funzionamento di DKIM si basa su una coppia di chiavi pubblica/privata:

• Chiave privata: Utilizzata dal server mittente per firmare digitalmente l’email.
• Chiave pubblica: Pubblicata come record TXT nel DNS del dominio, per consentire ai server riceventi di verificare la firma.

Quando un’email viene inviata, il server mittente crea una firma digitale univoca (inserita nell’header DKIM-Signature), basata su elementi come il corpo del messaggio e alcuni campi dell’header. Il server ricevente recupera la chiave pubblica dal DNS e verifica la firma: se la verifica ha esito positivo, significa che l’email non è stata alterata e proviene da un mittente autorizzato.

Esempio di record DKIM nel DNS:

default._domainkey.example.com IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQE..."

Utilizza chiavi di almeno 1024 bit (meglio 2048) e aggiornale periodicamente. Assicurati anche che il selector (ad esempio default) sia chiaro e coerente, specialmente se usi più servizi di invio email.

Cos’è DMARC e come funziona

DMARC, acronimo di Domain-based Message Authentication, Reporting and Conformance, è un protocollo di autenticazione email che si basa su SPF e DKIM per determinare se un messaggio è autentico. Il suo obiettivo è dare al dominio mittente il controllo su cosa fare con le email che non superano i controlli di autenticazione e fornire report dettagliati sugli abusi.

Con DMARC, un dominio può indicare ai server riceventi se un’email deve essere accettata, messa in quarantena o rifiutata quando fallisce i controlli SPF e/o DKIM. Inoltre, DMARC consente di ricevere report XML con informazioni sugli IP che inviano email a nome del dominio, facilitando l’individuazione di attività sospette.

Un record DMARC nel DNS appare così:

_dmarc.example.com IN TXT "v=DMARC1; p=reject; rua=mailto:report@example.com; ruf=mailto:forensic@example.com; pct=100"

• v=DMARC1: versione del protocollo
• p=: policy da applicare (none, quarantine, reject)
• rua=: indirizzi email per report aggregati
• ruf=: indirizzi email per report forensi
• pct=: percentuale di messaggi su cui applicare la policy

Inizia con p=none per monitorare, analizza i report per 2-4 settimane e poi passa gradualmente a quarantine e infine reject per massima protezione. Mantieni attivo il reporting per identificare nuovi tentativi di spoofing.

La configurazione perfetta: SPF, DKIM e DMARC che lavorano insieme

1) Imposta (e semplifica) SPF

Obiettivo: autorizzare solo i sistemi che inviano email per il tuo dominio, senza superare il limite di 10 DNS lookup previsto da SPF.

• Usa un solo record SPF per dominio (multipli causano errori). Formato base: v=spf1 ... -all.
• Preferisci include: ufficiali dei provider (es. include:_spf.google.com) invece di elencare singoli IP che cambiano.
• Evita ptr e +all; usa -all (fail) o al limite ~all (softfail) in fase di transizione.

v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.15 -all

2) Genera e pubblica DKIM robusto

Obiettivo: firmare i messaggi con una chiave forte e ruotarla periodicamente.

• Usa chiavi 2048 bit dove possibile; evita 1024 su domini critici.
• Usa selector chiari (es. mktg, tx, default) e rotazione programmata (es. semestrale).
• Firma header essenziali (From, Subject, Date, To, MIME-Version) e il corpo del messaggio.

default._domainkey.example.com IN TXT 
"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQE...";

3) Abilita DMARC con rollout graduale

Obiettivo: allineare (alignment) SPF/DKIM al From: visibile e imporre una policy progressiva.

• Fase 1 – Monitor: p=none, raccogli report (rua) per 2-4 settimane.
• Fase 2 – Quarantine: p=quarantine (es. pct=25 → 50 → 100).
• Fase 3 – Reject: p=reject a regime per bloccare spoofing/impersonation.

Alignment (allineamento domini):

• SPF aligned se il dominio nel MAIL FROM/Return-Path coincide (o è sotto-dominio, in relaxed) con il dominio nel From:.
• DKIM aligned se il dominio del parametro d= nella firma coincide (o è sotto-dominio, in relaxed) con il dominio nel From:.

_dmarc.example.com IN TXT 
"v=DMARC1; p=none; rua=mailto:dmarc-agg@example.com; ruf=mailto:dmarc-forensic@example.com; pct=100; adkim=r; aspf=r"

Dopo il monitoraggio:

_dmarc.example.com IN TXT 
"v=DMARC1; p=quarantine; rua=mailto:dmarc-agg@example.com; pct=50; adkim=s; aspf=s"

A regime:

_dmarc.example.com IN TXT 
"v=DMARC1; p=reject; rua=mailto:dmarc-agg@example.com; pct=100; adkim=s; aspf=s"

4) Gestisci più sorgenti di invio (marketing, ERP, helpdesk)

Obiettivo: garantire l’allineamento per ogni sorgente che invia con il tuo dominio.

• Mappa tutti i mittenti: posta utente, newsletter, transazionali, CRM, ticketing, ERP, PEC.
• Per ciascuno: aggiungi include: in SPF (senza superare i 10 lookup), abilita DKIM con selector dedicato e verifica l’allineamento DMARC.
• Per servizi esterni (es. helpdesk): valuta subdomini dedicati (es. support.example.com) per isolare la reputazione e semplificare DMARC.

5) Verifica prima di pubblicare in produzione

Obiettivo: evitare blackout di recapito e false positive.

• Controllo sintattico DNS: MXToolbox (SPF, DKIM, DMARC lookup), DMARC Analyzer.
• Invii di prova su caselle di vari provider (Gmail, Outlook, iCloud, PEC dove rilevante) e analisi header (Authentication-Results).
• Score anti-spam: Mail-Tester.

6) Monitora e migliora in continuo

Obiettivo: mantenere alta la deliverability e contenere abusi.

• Attiva e leggi i report DMARC (aggregati e, se necessario, forensi). Valuta un parser per dashboard (es. dmarcian, Postmark DMARC).
• Controlla blacklist e reputazione IP/domino periodicamente (es. Sender Score).
• Ruota le chiavi DKIM, aggiorna SPF quando cambi fornitori, mantieni p=reject con pct=100 quando l’ecosistema è stabile.

Errori comuni da evitare

• Più record SPF sullo stesso dominio (dev’essere uno solo).
• SPF che supera i 10 lookup (usa flattening controllato o sub-record dedicati).
• DKIM a 1024 bit non ruotato per anni.
• DMARC impostato a p=none “per sempre” (monitoraggio eterno = protezione zero).
• Mittenti terzi che usano il tuo From: senza DKIM allineato → fallimento DMARC.

Conclusioni

Configurare correttamente SPF, DKIM e DMARC non è un’opzione, ma un passaggio indispensabile per proteggere la reputazione del tuo dominio e garantire che le tue email arrivino a destinazione. Questi tre standard, lavorando insieme, bloccano i tentativi di spoofing, aumentano la deliverability e rafforzano la fiducia dei destinatari nei tuoi messaggi.

Non aspettare che un problema di phishing o la comparsa in blacklist compromettano la comunicazione con i tuoi clienti. Verifica subito la configurazione del tuo dominio e implementa i record mancanti.