SPF, DKIM e DMARC: come autenticare le tue email

SPF, DKIM e DMARC: come autenticare le tue email

Autenticare le email significa dimostrare ai provider di posta che sei il mittente legittimo dei tuoi messaggi. Si basa su tre standard complementari: SPF, DKIM e DMARC. Insieme impediscono a chiunque di falsificare il tuo dominio, migliorano la deliverability e ora sono richiesti da Gmail e Yahoo ai mittenti di volume. Questa guida spiega cos'è ciascuno, come funziona e come configurarli con Mailpro.

Punti chiave

• SPF indica quali server sono autorizzati a inviare a nome del tuo dominio.
• DKIM aggiunge una firma crittografica che dimostra che il messaggio non è stato alterato.
• DMARC lega SPF e DKIM, dice ai provider cosa fare in caso di fallimento e ti invia report.
• Da febbraio 2024, Gmail e Yahoo richiedono tutti e tre ai mittenti di oltre 5.000 email al giorno.
• Senza autenticazione, le tue email vengono filtrate nello spam o rifiutate del tutto.

Perché l'autenticazione è diventata indispensabile?

L'autenticazione risolve un problema semplice: per impostazione predefinita, chiunque può scrivere qualsiasi indirizzo nel campo "da" di un'email. È questo che rende possibile il phishing. SPF, DKIM e DMARC chiudono quella porta, permettendo al server che riceve la tua email di verificare che provenga davvero dal tuo dominio.

Da febbraio 2024, Gmail e Yahoo l'hanno resa obbligatoria: ogni mittente che invia più di 5.000 messaggi al giorno deve avere SPF, DKIM e DMARC, offrire la disiscrizione in un clic e mantenere i reclami spam molto bassi. Le email non conformi vengono filtrate o rifiutate. L'autenticazione non è più una best practice opzionale, è il biglietto d'ingresso alla posta in arrivo.

SPF: chi può inviare per il tuo dominio?

SPF (Sender Policy Framework) è un elenco, pubblicato nel tuo DNS, dei server autorizzati a inviare email a nome del tuo dominio. Quando un provider riceve un messaggio, confronta il server di invio con quell'elenco. Se il server c'è, SPF passa; altrimenti l'email è sospetta.

In pratica, SPF è un record TXT nella tua zona DNS, del tipo v=spf1 include:_spf.mailpro.com -all. Il -all finale dice ai provider di rifiutare qualsiasi server non elencato. SPF combatte direttamente lo spoofing: nessuno può sostenere di inviare dal tuo dominio senza comparire nel tuo record. Il suo limite è che SPF verifica il dominio tecnico di invio, non sempre l'indirizzo che vede il destinatario, ed è per questo che DKIM e DMARC restano necessari.

DKIM: la firma che garantisce l'integrità

DKIM (DomainKeys Identified Mail) aggiunge a ogni email una firma crittografica. Il tuo server di invio firma il messaggio con una chiave privata; la chiave pubblica corrispondente è pubblicata nel tuo DNS. Il provider che riceve l'email recupera quella chiave pubblica, verifica la firma e conferma due cose: il messaggio proviene davvero dal tuo dominio e non è stato modificato lungo il percorso.

In pratica la firma sta nell'intestazione del messaggio come una chiave di cifratura. Il destinatario non la vede mai, ma il suo provider la usa per concedere fiducia. DKIM conta soprattutto perché la sua validità sopravvive all'inoltro di un'email, dove SPF può rompersi. Con Mailpro, la firma DKIM delle tue campagne è gestita per te.

Non vuoi armeggiare con i record DNS a mano? Mailpro guida la autenticazione delle email end to end.

DMARC: lo strato che lega tutto

DMARC (Domain-based Message Authentication, Reporting and Conformance) è lo standard che dà senso a SPF e DKIM. Fa tre cose. Primo, verifica l'"allineamento": il dominio validato da SPF o DKIM deve corrispondere al dominio che vede il destinatario. Secondo, dice ai provider cosa fare quando un'email fallisce l'autenticazione, tramite una policy: p=none (solo monitorare), p=quarantine (mandare nello spam) o p=reject (rifiutare). Terzo, ti invia report regolari su chi invia email a tuo nome, legittimo o fraudolento.

Anche DMARC si pubblica come record DNS, su _dmarc.tuodominio.com. La buona pratica è iniziare con p=none per osservare, poi inasprire gradualmente verso quarantine e quindi reject quando tutta la tua posta legittima passa. È questa progressione a proteggere davvero il tuo dominio dal phishing.

E BIMI?

BIMI (Brand Indicators for Message Identification) è la ricompensa dell'autenticazione: mostra il logo del tuo brand accanto alle tue email nella posta in arrivo. BIMI richiede una policy DMARC su quarantine o reject, e spesso un certificato di marca verificato. È un bonus di fiducia e visibilità, ma ha senso solo quando SPF, DKIM e DMARC sono saldamente in atto.

Come configurare SPF, DKIM e DMARC con Mailpro

La configurazione si fa una sola volta, a livello del tuo dominio:

• SPF: aggiungi o estendi un record TXT che includa i server di invio di Mailpro. Un solo record SPF per dominio, altrimenti diventa invalido.
• DKIM: pubblica nel tuo DNS la chiave pubblica fornita da Mailpro; lo strumento di Mailpro genera e gestisce la firma.
• DMARC: crea il record _dmarc, inizia con p=none e un indirizzo per i report, poi inasprisci la policy.

Per invii transazionali o massivi, il nostro server SMTP applica questa autenticazione a ogni messaggio. E per verificare che il lavoro dia frutti, controlla le tue statistiche email dopo ogni invio.

Errori comuni da evitare

• Pubblicare due record SPF: un dominio deve averne uno solo.
• Restare bloccati su p=none: monitorare non protegge, bisogna inasprire la policy DMARC.
• Dimenticare uno strumento di terze parti (CRM, fatturazione) che invia a tuo nome senza essere autorizzato in SPF.
• Credere che l'autenticazione basti: apre la porta, ma la qualità della tua lista decide se resti nella posta in arrivo. È il tema della nostra guida per non finire nello spam.

Domande frequenti

SPF, DKIM e DMARC sono obbligatori?

Per i mittenti di volume, sì. Da febbraio 2024, Gmail e Yahoo richiedono tutti e tre agli account che inviano più di 5.000 email al giorno. Per piccoli volumi non sono strettamente imposti ma restano fortemente consigliati: senza, la deliverability crolla.

Qual è la differenza tra SPF e DKIM?

SPF verifica che il server di invio sia autorizzato per il tuo dominio; DKIM verifica, tramite una firma crittografica, che il messaggio provenga davvero da te e non sia stato alterato. SPF valida il mittente tecnico, DKIM valida il contenuto. Sono complementari, e DMARC li lega.

DMARC ferma davvero il phishing?

Una policy DMARC su reject impedisce ai provider di consegnare email che falsificano il tuo dominio esatto. Non blocca i domini simili, ma protegge il tuo vero nome di dominio, riducendo molto l'impersonificazione diretta.

Quanto tempo prima che l'autenticazione sia attiva?

I record DNS di solito si propagano in poche ore, a volte fino a 48. Una volta propagati, SPF e DKIM vengono verificati a ogni invio; DMARC inizia a produrre report dai primi messaggi.