Proteggere il dominio email con SPF, DKIM e DMARC
Se vuoi difendere il tuo dominio email da spoofing, phishing e messaggi falsificati, la risposta pratica è questa: configura insieme SPF, DKIM e DMARC. Questi tre record DNS non bloccano da soli ogni abuso, ma permettono ai server destinatari di verificare se un messaggio è davvero autorizzato a partire dal tuo dominio e come comportarsi quando non lo è.
Perché servono davvero
Un criminale può inviare email che sembrano provenire da un indirizzo legittimo, per esempio assistenza@tuodominio.it, anche senza accesso alla casella reale. Questo danneggia la reputazione del dominio, aumenta il rischio di frodi e può far finire i messaggi autentici nella spam. SPF, DKIM e DMARC lavorano insieme per ridurre il problema: il primo controlla chi può spedire, il secondo garantisce l’integrità del messaggio, il terzo decide cosa fare se i controlli falliscono.
SPF: autorizzare i server che possono inviare
SPF, Sender Policy Framework, è un record TXT nel DNS che elenca gli indirizzi IP o i servizi autorizzati a spedire email per il dominio. Quando un server riceve un messaggio, confronta l’IP mittente con la policy SPF. Se non coincide, la verifica può fallire.
Come impostarlo bene
Inserisci solo i servizi realmente usati: server del sito, piattaforme di newsletter, CRM, ticketing, sistemi cloud. Evita record troppo permissivi, come +all, perché annullano la protezione. Ricorda anche che SPF ha un limite pratico: il destinatario controlla il dominio del mittente tecnico, non sempre l’indirizzo visibile nel campo From. Per questo non basta da solo.
DKIM: firmare i messaggi in modo verificabile
DKIM, DomainKeys Identified Mail, aggiunge una firma crittografica al messaggio. Il server di partenza firma alcuni header e il corpo; il destinatario verifica la firma usando la chiave pubblica pubblicata nel DNS. Se il messaggio viene alterato lungo il percorso, la firma non coincide più.
DKIM è utile perché protegge l’integrità e aiuta la reputazione del dominio. In pratica, se un provider invia mail per tuo conto, puoi creare una chiave dedicata e ruotarla periodicamente. Una chiave ben gestita semplifica anche il debug: quando una mail legittima non passa, sai se il problema è nel contenuto, nella chiave o nella configurazione del servizio.
DMARC: mettere insieme controllo e policy
DMARC, Domain-based Message Authentication, Reporting and Conformance, è il livello di governo finale. Dice ai destinatari di accettare un messaggio solo se supera SPF o DKIM e, soprattutto, se c’è allineamento con il dominio visibile nel From. In più, consente di scegliere una policy: none per monitorare, quarantine per sospendere, reject per rifiutare.
Da dove partire
La scelta più prudente è iniziare con none e ricevere i report, così puoi capire quali sistemi inviano davvero per il tuo dominio. Quando sei sicuro che tutto è allineato, puoi passare a quarantine e poi a reject. Questo approccio evita di bloccare email valide, soprattutto se usi più piattaforme o deleghe esterne.
Ordine consigliato di implementazione
- Elenca tutti i servizi che inviano email per il dominio.
- Configura SPF includendo solo i mittenti autorizzati.
- Abilita DKIM su ogni piattaforma che supporta la firma.
- Pubblica un record DMARC con policy none e indirizzi di report.
- Controlla i report, correggi gli errori e alza gradualmente la policy.
Errori comuni da evitare
I problemi più frequenti sono quasi sempre operativi: più record SPF nello stesso dominio, record troppo lunghi, servizi esterni non dichiarati, DKIM disattivato dopo un cambio di pannello, DMARC impostato su reject prima dei test. Anche l’aliasing può creare confusione: se un indirizzo inoltra messaggi, i controlli possono comportarsi in modo diverso a seconda del percorso.
Conclusione
SPF, DKIM e DMARC non sono una formalità tecnica, ma la base per proteggere il dominio email e mantenere affidabile la comunicazione. Se li configuri con metodo, riduci il rischio di impersonificazione, migliori la consegna e dai ai destinatari un segnale chiaro di autenticità. Il passo successivo è semplice: mappa i tuoi invii, verifica i record DNS e imposta DMARC in modalità di monitoraggio, poi rafforza la policy solo quando sei sicuro della configurazione.
*questo articolo potrebbe essere stato generato con l'aiuto dell'AI.
