Webmail richiedi
it
Webmail richiedi
nl en fr de it es pl
Deliverability

Configurare SPF, DKIM e DMARC insieme

SPF, DKIM e DMARC si configurano in un ordine logico: prima SPF (quali server possono inviare), poi DKIM (una firma che rende autentico il tuo messaggio) e infine DMARC (la policy che lega gli altri due e dice al destinatario cosa fare se un controllo fallisce). Insieme fanno sì che la tua posta arrivi in modo affidabile e che altri non possano inviare email a tuo nome. Non devi essere un esperto, ma l'ordine è importante.

Dal team di Mailflux Pubblicato il

Perché configurare SPF, DKIM e DMARC insieme?

Ognuno dei tre copre un buco diverso, e solo insieme chiudono la porta. Una domanda frequente è come SPF, DKIM e DMARC blocchino esattamente lo spoofing delle email. La risposta: SPF limita chi può inviare a tuo nome, DKIM dimostra che un messaggio non è stato modificato lungo il percorso, e DMARC collega questi controlli al mittente visibile e stabilisce anche cosa succede se qualcosa va storto. Chi vuole inviare email a tuo nome deve allora superare tutti e tre gli ostacoli, e un truffatore non ci riesce facilmente.

Una spiegazione separata per ciascuno la trovi negli articoli su cos'è SPF, cos'è DKIM e cos'è DMARC. Questa guida li mette insieme.

Dal 2024, inoltre, non è più un lusso: i grandi provider di posta chiedono a chi invia in massa che le email siano autenticate correttamente. Cosa significa in concreto lo leggi in autenticazione email: perché ora è obbligatoria.

Impostazioni antispam con una lista bianca e una lista nera

Passo 1: configurare SPF

Inizia con SPF, perché è la base e gli altri livelli si appoggiano su di esso.

  1. Fai l'elenco delle fonti che inviano email a tuo nome: il tuo provider email, ma per esempio anche uno strumento per le newsletter o un software di contabilità.
  2. Pubblica nel tuo DNS un solo record SPF (di tipo TXT) che contenga tutte queste fonti, per esempio v=spf1 include:_spf.tuoprovider.eu -all.
  3. Tieni un solo record SPF e resta sotto il limite di dieci ricerche DNS.

Attenzione: due record SPF separati causano errori. Combina tutto in una sola riga.

Passo 2: configurare DKIM

Poi aggiungi la firma digitale.

  1. Fai generare al tuo provider una coppia di chiavi. La chiave privata resta sul server mittente; la chiave pubblica la ricevi tu.
  2. Pubblica la chiave pubblica come record TXT sul tuo selettore, per esempio selector1._domainkey.tuodominio.eu.
  3. Attiva la firma, così ogni messaggio in uscita riceve una firma.
  4. Invia un messaggio di prova e controlla che la firma sia valida.

Copia la chiave pubblica per intero; un solo carattere mancante rende il controllo non valido.

Passo 3: configurare DMARC

Configura DMARC solo quando SPF e DKIM superano entrambi i controlli in modo affidabile.

  1. Pubblica un record DMARC (di tipo TXT) su _dmarc.tuodominio.eu, iniziando con p=none, per esempio v=DMARC1; p=none; rua=mailto:report@tuodominio.eu.
  2. Leggi i report che arrivano e controlla che tutte le fonti legittime superino SPF e DKIM.
  3. Poi passa gradualmente a p=quarantine e infine a p=reject.

Non impostare mai subito DMARC su reject: senza osservare prima, rischi che venga rifiutata la tua stessa posta.

Checklist

Ripassa questi punti per confermare che tutto è a posto:

  • Un solo record SPF con tutte le fonti di invio, chiuso con -all.
  • Firma DKIM attiva e chiave pubblica pubblicata correttamente.
  • Un messaggio di prova con controllo SPF e DKIM entrambi validi.
  • Record DMARC pubblicato, partito con p=none.
  • Report letti prima di rendere più severa la policy.
  • Policy portata gradualmente a quarantine e reject.

Dopo ogni passo invia un messaggio di prova a un indirizzo di un grande provider di posta e guarda nei dettagli del messaggio se SPF, DKIM e DMARC risultano tutti e tre superati. Così sei sicuro di non aver dimenticato nulla prima di rendere più severa la policy DMARC.

Se nonostante tutto la tua posta finisce ancora nello spam, guarda le cause più ampie in perché le tue email finiscono nello spam.

Come se ne occupa Mailflux per te

Con Mailflux non devi seguire tu questo piano. Gestiamo noi SPF, DKIM e DMARC per il tuo dominio e controlliamo la reputazione IP dei nostri server di invio, così i tre livelli sono configurati correttamente e allineati tra loro. Ogni piano filtra inoltre con il machine learning contro spam, phishing e malware, con antivirus, antispam, antimalware e backup automatici di serie.

Ottieni email professionale con il tuo dominio, ospitata in Europa e conforme al GDPR, con autenticazione a due fattori opzionale. Tutta l'autenticazione dietro le quinte la gestiamo noi; tu devi solo scrivere le tue email.

Pronto per iniziare?

Email professionale con il tuo dominio, ospitata in Europa e conforme al GDPR. Richiedi senza impegno la tua casella.

Richiedi

FAQ

Domande frequenti

In che ordine configuro SPF, DKIM e DMARC?

Sempre prima SPF, poi DKIM, poi DMARC. SPF e DKIM sono i mattoni; DMARC si appoggia su di essi e stabilisce cosa succede se un controllo fallisce. Se configuri DMARC prima che gli altri due siano corretti, rischi che la tua stessa posta legittima venga rifiutata.

Come impediscono lo spoofing SPF, DKIM e DMARC?

Insieme costringono un falsificatore a superare tre ostacoli contemporaneamente: inviare da un server autorizzato (SPF), apporre una firma valida (DKIM) e corrispondere al mittente visibile (allineamento DMARC). Un truffatore senza accesso al tuo dominio e alle tue chiavi non ci riesce, quindi la sua posta viene bloccata.

Quanto ci vuole perché le impostazioni funzionino?

I record DNS si pubblicano in fretta, ma le modifiche possono impiegare fino a un giorno per propagarsi a causa della cache. DMARC poi richiede pazienza: lasci la policy prima per alcune settimane su none per raccogliere i report, prima di passare a quarantine e reject.

Continua a leggere