Verifica dei record SPF, DKIM e DMARC

Basta inserire un dominio per cercare in tempo reale i suoi record SPF, DMARC e DKIM e valutare lo stato delle difese contro la contraffazione dei messaggi di posta.

Consigli

  • La prassi consolidata è configurare SPF, DKIM e DMARC in quest'ordine: prima si predispongono SPF e DKIM, poi con DMARC si chiariscono al destinatario le istruzioni da seguire.
  • Non impostate DMARC su p=reject fin dall'inizio: cominciate con p=none, raccogliete le relazioni, individuate tutti i percorsi di invio legittimi e solo allora rafforzate gradualmente. Eviterete incidenti.
  • I domini con molte deleghe include possono raggiungere i limiti — dieci livelli e 255 caratteri — e far fallire le interrogazioni al sistema dei nomi: conviene ripulire periodicamente le deleghe superflue.
  • Poiché lo strumento prova soltanto i selettori DKIM più comuni, un esito «non trovato» può significare semplicemente che il selettore in uso è un altro.
  • I principali serventi riceventi, come Gmail e Outlook, dal 2024 impongono ai grandi mittenti la predisposizione di SPF, DKIM e DMARC: i domini da cui partono lettere informative devono quindi verificarli con particolare urgenza.

Domande frequenti

Non è obbligatorio, ma soltanto la presenza di tutti e tre dà una difesa coerente: SPF e DKIM dimostrano la legittimità del mittente, DMARC indica al destinatario come comportarsi in caso di insuccesso. Con uno solo l'efficacia è limitata, perciò conviene predisporli uno dopo l'altro.

Non necessariamente. Poiché il nome del selettore DKIM è scelto liberamente da ciascun servizio di invio, l'esito «non trovato» compare anche quando semplicemente non coincide con le denominazioni più comuni provate dallo strumento, come default o google. Per una verifica precisa consultate il pannello di amministrazione del servizio oppure la riga DKIM-Signature nelle intestazioni di un messaggio.

È sconsigliato. Passare al rifiuto senza conoscere tutti i percorsi di invio legittimi — servizi di lettere informative, sistemi gestionali interni e altro — espone al rischio di far rifiutare anche i messaggi autentici. La via sicura è cominciare con p=none, raccogliere le relazioni per qualche settimana e, accertata l'assenza di problemi, passare gradualmente a quarantine e poi a reject.

L'indicazione raccomandata in via definitiva è -all, cioè il rifiuto esplicito; nella fase di transizione, però, quando non si è ancora sicuri della configurazione, è più prudente usare ~all, che tratta i messaggi come sospetti, verificare che nessun messaggio legittimo venga scartato per errore e solo allora passare a -all.

No. L'interrogazione al sistema dei nomi per il dominio inserito avviene una volta sola, sul momento, e i record ottenuti non vengono conservati sui nostri serventi.
Tool-kun

A proposito — come sono nati i tre pilastri contro la contraffazione della posta

SPF, DKIM e DMARC sono nati in momenti diversi e da esigenze diverse. Il primo a comparire, intorno al 2003, fu SPF, un meccanismo per dichiarare da quali indirizzi IP sia lecito inviare messaggi a nome di un dominio; si diffuse come risposta alla pratica degli spammer di falsificare l'indirizzo del mittente. SPF, però, mal sopporta l'inoltro: quando un messaggio viene rimbalzato l'indirizzo IP di origine cambia e l'autenticazione si rompe.

A colmare quella lacuna arrivò DKIM, standardizzato intorno al 2007. Anziché giudicare in base all'indirizzo IP, appone una firma elettronica al corpo del messaggio e a una parte delle intestazioni, che il destinatario verifica con la chiave pubblica esposta nel sistema dei nomi: così, anche in caso di inoltro, l'autenticazione riesce purché la firma resti intatta.

SPF e DKIM, tuttavia, si limitano a rilevare l'insuccesso dell'autenticazione, mentre la decisione su come trattare il messaggio — consegnarlo, considerarlo indesiderato o rifiutarlo — restava affidata al servente ricevente. Proprio per uniformare queste istruzioni al destinatario, nel 2012 fu definito DMARC, che prevede inoltre l'invio di relazioni sugli esiti dell'autenticazione agli amministratori del dominio mittente, tramite l'etichetta rua=, permettendo di sorvegliare con continuità eventuali abusi del proprio dominio.

Da quando, nel 2024, Google e Yahoo hanno reso di fatto obbligatoria la predisposizione di SPF, DKIM e DMARC per i grandi mittenti, ossia per chi supera i cinquemila messaggi al giorno, questi tre pilastri sono diventati nozioni fondamentali non più per le sole grandi imprese, ma per chiunque invii lettere informative o notifiche automatiche.

Leggi le curiosità collegate

Vedi tutte le curiosità

Chi consulta questo strumento guarda anche

Convalida degli indirizzi di posta elettronica

Uno strumento gratuito che verifica all'istante il formato di un indirizzo di posta elettronica, con un'approssimazione pratica della norma RFC 5322, e controlla anche se il dominio possa effettivamente ricevere messaggi...

Guida alla configurazione dei record DNS

Un riferimento che raccoglie tipi, scopi, esempi di sintassi e avvertenze dei record del sistema dei nomi necessari al recapito della posta e alla gestione di un sito: A, MX, TXT, SPF, DKIM, DMARC e gli altri.

Verifica della propagazione DNS

Interroga contemporaneamente più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record di un dominio e confronta i risultati, mostrando se una modifica ai server dei nomi si è già propagata nel mondo.

Verifica della validazione DNSSEC

Interroga più risolutori DNS pubblici, come quelli di Google e Cloudflare, per i record DNSKEY di un dominio e verifica che la catena di firme DNSSEC sia validata correttamente.

Verifica della politica MTA-STS

Legge il record TXT _mta-sts di un dominio e il relativo file di politica e verifica che l'imposizione della cifratura TLS nel trasferimento della posta sia configurata correttamente.

Verifica dei record DANE/TLSA

Interroga più risolutori DNS pubblici per i record TLSA pubblicati dai server di posta di un dominio e verifica se sia configurata la validazione dei certificati tramite DANE.