Verifica dei record SPF, DKIM e DMARC

Basta inserire un dominio per cercare in tempo reale i suoi record SPF, DMARC e DKIM e valutare lo stato delle difese contro la contraffazione dei messaggi di posta.

Ultimo aggiornamento: 2026-10-18

Diagnosticare i record DNS che proteggono dalla contraffazione

Inserite un dominio e questo strumento ne interroga sul momento i record SPF, DKIM e DMARC, riferendo fin dove giungano le sue difese contro la posta contraffatta. Vi consente di stabilire se il vostro dominio possa essere spacciato da un terzo, e se la posta che inviate godrà della fiducia di chi la riceve.

I tre assolvono compiti distinti, e nessuno basta da solo. L'SPF dichiara quali server possano inviare in nome del dominio, e il DKIM garantisce con una firma che il messaggio non sia stato alterato. Il DMARC istruisce quindi il lato ricevente su che cosa fare della posta che non supera quei controlli. Qui sta il punto: con SPF e DKIM al loro posto ma senza DMARC, la sorte di un messaggio contraffatto che non supera i controlli resta interamente all'arbitrio di chi lo riceve. Molti domini lasciano il DMARC a p=none, il che significa «mandatemi pure i rapporti ma non respingete nulla» — una tappa del cammino più che una difesa eretta.

Come si usa

Inserite il dominio da esaminare Indicate il solo dominio, nella forma example.com.
Rivedete il contenuto dell'SPF Guardate l'elenco dei mittenti consentiti e il qualificatore finale, ~all oppure -all.
Leggete la politica DMARC A p=none non si sta ancora respingendo nulla.
Aggiungete i record mancanti La diagnosi vi dà quanto serve per decidere che cosa aggiungere al vostro DNS.

Consigli per sfruttarlo al meglio

La prassi consolidata è configurare SPF, DKIM e DMARC in quest'ordine: prima si predispongono SPF e DKIM, poi con DMARC si chiariscono al destinatario le istruzioni da seguire.
Non impostate DMARC su p=reject fin dall'inizio: cominciate con p=none, raccogliete le relazioni, individuate tutti i percorsi di invio legittimi e solo allora rafforzate gradualmente. Eviterete incidenti.
SPF ammette al massimo 10 termini che richiedono un'interrogazione DNS in totale (include, a, mx, redirect= e così via, contando anche gli include annidati); oltre questo limite la valutazione fallisce con un permerror (RFC 7208 §4.6.4), quindi conviene ripulire periodicamente le deleghe superflue. Il limite di 255 caratteri è una regola diversa che vale per ogni singola stringa TXT, e un record più lungo si può semplicemente dividere in più stringhe.
Poiché lo strumento prova soltanto i selettori DKIM più comuni, un esito «non trovato» può significare semplicemente che il selettore in uso è un altro.
I principali serventi riceventi, come Gmail e Outlook, dal 2024 impongono ai grandi mittenti la predisposizione di SPF, DKIM e DMARC: i domini da cui partono lettere informative devono quindi verificarli con particolare urgenza.

Quando torna utile

Nel verificare le difese del proprio dominio

La contraffazione si abbatte per prima sui domini che non hanno preso alcuna misura.

Nell'indagare perché la vostra posta finisca fra la spazzatura

Un difetto di SPF o DKIM è la prima cosa da sospettare quando i messaggi non arrivano.

Nel verificare dopo aver aggiunto un servizio d'invio

Non appena adottate un nuovo servizio di recapito, accertate di non averlo dimenticato nell'SPF.

Nell'esaminare il dominio di un corrispondente

Vi fornisce di che giudicare l'autenticità di un messaggio ricevuto.

Termini dell'autenticazione della posta

SPF: Il record DNS che elenca i server autorizzati a inviare in nome del dominio. Un -all finale significa che quanto non vi figura va respinto.
DKIM: Una firma digitale apposta all'invio. Consente al destinatario di accertare con una chiave pubblica che né il corpo né le intestazioni siano stati riscritti per via.
DMARC: Il record che istruisce il lato ricevente su che cosa fare della posta che non supera i controlli SPF e DKIM.
P=none: Una politica DMARC che significa si desiderano i rapporti ma nulla viene respinto né messo da parte. È l'impostazione dei primi tempi dell'adozione.
P=quarantine e p=reject: Ingiungono al destinatario di mettere il messaggio da parte come spazzatura, oppure di respingerlo senz'altro. Giungere a uno dei due è lo scopo dell'impresa.
Selettore: Il nome che indica dove, nel DNS, sia stata posta la chiave pubblica DKIM. Vi si rimanda nella forma selector._domainkey.example.com.

Domande frequenti

Non è obbligatorio, ma soltanto la presenza di tutti e tre dà una difesa coerente: SPF e DKIM dimostrano la legittimità del mittente, DMARC indica al destinatario come comportarsi in caso di insuccesso. Con uno solo l'efficacia è limitata, perciò conviene predisporli uno dopo l'altro.

Non necessariamente. Poiché il nome del selettore DKIM è scelto liberamente da ciascun servizio di invio, l'esito «non trovato» compare anche quando semplicemente non coincide con le denominazioni più comuni provate dallo strumento, come default o google. Per una verifica precisa consultate il pannello di amministrazione del servizio oppure la riga DKIM-Signature nelle intestazioni di un messaggio.

È sconsigliato. Passare al rifiuto senza conoscere tutti i percorsi di invio legittimi — servizi di lettere informative, sistemi gestionali interni e altro — espone al rischio di far rifiutare anche i messaggi autentici. La via sicura è cominciare con p=none, raccogliere le relazioni per qualche settimana e, accertata l'assenza di problemi, passare gradualmente a quarantine e poi a reject.

L'indicazione raccomandata in via definitiva è -all, cioè il rifiuto esplicito; nella fase di transizione, però, quando non si è ancora sicuri della configurazione, è più prudente usare ~all, che tratta i messaggi come sospetti, verificare che nessun messaggio legittimo venga scartato per errore e solo allora passare a -all.

No. L'interrogazione al sistema dei nomi per il dominio inserito avviene una volta sola, sul momento, e i record ottenuti non vengono conservati sui nostri serventi.

A proposito — come sono nati i tre pilastri contro la contraffazione della posta

SPF, DKIM e DMARC sono nati in momenti diversi e da esigenze diverse. Il primo a comparire, intorno al 2003, fu SPF, un meccanismo per dichiarare da quali indirizzi IP sia lecito inviare messaggi a nome di un dominio; si diffuse come risposta alla pratica degli spammer di falsificare l'indirizzo del mittente. SPF, però, mal sopporta l'inoltro: quando un messaggio viene rimbalzato l'indirizzo IP di origine cambia e l'autenticazione si rompe.

A colmare quella lacuna arrivò DKIM, standardizzato intorno al 2007. Anziché giudicare in base all'indirizzo IP, appone una firma elettronica al corpo del messaggio e a una parte delle intestazioni, che il destinatario verifica con la chiave pubblica esposta nel sistema dei nomi: così, anche in caso di inoltro, l'autenticazione riesce purché la firma resti intatta.

SPF e DKIM, tuttavia, si limitano a rilevare l'insuccesso dell'autenticazione, mentre la decisione su come trattare il messaggio — consegnarlo, considerarlo indesiderato o rifiutarlo — restava affidata al servente ricevente. Proprio per uniformare queste istruzioni al destinatario, nel 2012 fu definito DMARC, che prevede inoltre l'invio di relazioni sugli esiti dell'autenticazione agli amministratori del dominio mittente, tramite l'etichetta rua=, permettendo di sorvegliare con continuità eventuali abusi del proprio dominio.

Da quando, nel 2024, Google e Yahoo hanno reso di fatto obbligatoria la predisposizione di SPF, DKIM e DMARC per i grandi mittenti, ossia per chi supera i cinquemila messaggi al giorno, questi tre pilastri sono diventati nozioni fondamentali non più per le sole grandi imprese, ma per chiunque invii lettere informative o notifiche automatiche.

Vedi tutte le curiosità