SPF, DKIM e DMARC spiegati: fermare lo spoofing e arrivare in posta in arrivo

• SPF elenca i server autorizzati a inviare posta per il tuo dominio.
• DKIM firma ogni messaggio; la chiave pubblica per verificarlo è pubblicata nel DNS.
• DMARC dice ai destinatari cosa fare quando SPF e DKIM falliscono e ti invia dei report. Passa solo se il dominio dell'indirizzo Da visibile corrisponde.
• Parti con p=none, leggi i report e passa a quarantine e reject quando tutti i mittenti legittimi superano il controllo.

Da febbraio 2024 Gmail e Yahoo chiedono SPF o DKIM a ogni mittente. Chi invia in grandi volumi (per Google, più di 5.000 messaggi al giorno verso indirizzi Gmail) deve avere SPF, DKIM e un record DMARC (basta p=none), un dominio Da allineato a SPF o DKIM, la disiscrizione con un clic nelle e-mail di marketing e un tasso di segnalazioni di spam inferiore allo 0,3%.

Anche se invii poco, la mancanza dei record rende il tuo dominio facile da falsificare nel phishing, e i destinatari si fidano meno della posta di questi domini.

SPF è un unico record TXT sul tuo dominio che inizia con v=spf1, elenca i mittenti autorizzati e termina con una regola per tutti gli altri. include: aggiunge l'elenco di un provider, ip4:/ip6: aggiungono i tuoi server e mx autorizza i server MX del dominio.

• Pubblica esattamente un record SPF. Due record v=spf1 fanno fallire SPF (permerror): uniscili in uno.
• SPF può effettuare al massimo 10 query DNS (contano ogni include, a, mx, exists e redirect, anche annidati). Oltre questo limite SPF fallisce; rimuovi gli include che non usi più.
• -all (fail) chiede di rifiutare i mittenti non elencati, ~all (softfail) di trattarli come sospetti. Con DMARC attivo, ~all è comune e sicuro.
• SPF controlla il mittente della busta (Return-Path), non l'indirizzo Da che vedono le persone, e si rompe quando la posta viene inoltrata. Per questo serve anche DKIM.

Il server di invio firma intestazioni e corpo con una chiave privata; il destinatario recupera la chiave pubblica da selettore._domainkey.example.it e verifica la firma. Il selettore è un nome scelto dal provider (google, selector1, s1, k1…), così ogni servizio ha la propria chiave.

Attiva DKIM in ogni servizio con cui invii (provider di posta, strumento di newsletter, CRM, negozio online) e pubblica il record che ti indica, di solito un TXT o un CNAME. Usa chiavi a 2048 bit quando possibile. DKIM resiste all'inoltro, il che lo rende la metà più affidabile per DMARC.

DMARC si trova su _dmarc.example.it. Un messaggio supera DMARC quando SPF o DKIM passano e il dominio verificato corrisponde (è allineato) al dominio dell'indirizzo Da. Un provider che firma con il proprio dominio non aiuta finché non configuri DKIM per il tuo.

rua=mailto: chiede ai destinatari report aggregati giornalieri (XML) con i server che hanno inviato posta a nome del tuo dominio e l'esito. Con questi report trovi i mittenti dimenticati prima di rendere più severa la policy.

• Elenca tutto ciò che invia posta a nome del tuo dominio: caselle, moduli del sito, newsletter, fatturazione, assistenza clienti.
• Pubblica un solo record SPF che li copra tutti e attiva DKIM in ciascuno.
• Aggiungi v=DMARC1; p=none; rua=mailto:… e leggi i report per due-quattro settimane.
• Correggi ogni mittente legittimo che fallisce, poi passa a p=quarantine (gradualmente con pct=, se vuoi) e più avanti a p=reject.
• I domini che non inviano mai posta dovrebbero pubblicare v=spf1 -all e v=DMARC1; p=reject, così nessuno può falsificarli.

• MTA-STS e TLS-RPT fanno sì che gli altri server ti consegnino la posta solo tramite TLS verificato e segnalino i problemi.
• BIMI mostra il tuo logo accanto ai messaggi nelle caselle compatibili; richiede DMARC in quarantine o reject.

Il controllo sicurezza e-mail legge MX, SPF (con il numero di query DNS), DKIM per i selettori comuni o il tuo, DMARC, MTA-STS, TLS-RPT e BIMI, e segnala i problemi trovati. Eseguilo di nuovo dopo ogni modifica DNS; a seconda del TTL, i nuovi record compaiono in un tempo che va da pochi minuti a un'ora.