SPF, DKIM e DMARC: comprensione dell'autenticazione e-mail

Email e CRM · 7 lettura minima

SPF, DKIM e DMARC sono complementari: SPF controlla se un server è autorizzato a inviare per un dominio, DKIM consente di verificare la firma del messaggio e DMARC collega questi controlli al visibile dominio del mittente. Per una piccola impresa, la priorità è fare un inventario di tutti gli strumenti che inviano e-mail, quindi verificarne l’autenticazione prima di inasprire le regole.

Da ricordare

• Gli strumenti di messaggistica e marketing professionali devono essere controllati separatamente.
• Un controllo SPF o DKIM riuscito non è sempre sufficiente per convalidare DMARC.
• Una policy di osservazione DMARC non richiede che i messaggi vengano rifiutati.
• L'autenticazione non garantisce l'arrivo nella casella principale.

Inizia con i servizi che effettivamente inviano

Identifica messaggi dei dipendenti, newsletter, conferme degli ordini, fatturazione e notifiche del sito. Per ogni servizio annotare il dominio visibile nel campo "Da", il suo gestore e le istruzioni di autenticazione del provider. Un vecchio strumento può continuare a inviare anche se non appare più nelle tue solite campagne.

Scopri poi chi gestisce la zona DNS, cioè i dati tecnici del tuo dominio. Questa persona non è necessariamente quella che amministra il tuo sito. Richiedere una copia dei record esistenti prima di qualsiasi modifica, nonché una procedura di rollback. Non inviare tramite e-mail le password per preparare questo inventario.

Comprendere SPF, DKIM e DMARC senza confonderli

SPF: consente l'invio di server

SPF si basa su un record DNS che indica quali server sono autorizzati a inviare per il dominio controllato. Nel caso in questione tale dominio è quello del mittente della busta tecnica, associato al Return-Path, non necessariamente quello visualizzato in “From”. Il documentazione SPF di Google descrive le autorizzazioni; suo documentazione DMARC spiega questa distinzione tra domini.

Per lo stesso nome di dominio controllato, è necessario un singolo record SPF che raggruppi le autorizzazioni necessarie, non un record concorrente per provider. Non unire i valori in modo casuale: i servizi possono utilizzare domini di avvolgimento diversi. Chiedere alla persona responsabile di verificare la sintassi e le dipendenze. L'aggiunta di molti fornitori potrebbe anche comportare il limite delle consultazioni DNS autorizzate da SPF; Controlla le inclusioni nidificate, non solo la lunghezza del testo.

DKIM: controlla la firma del messaggio

Il servizio di invio firma il messaggio con una chiave privata. Il server ricevente verifica questa firma con una chiave pubblica accessibile in DNS. Ciò consente di controllare le parti firmate del messaggio e il dominio della firma. DKIM non crittografa il contenuto e non dimostra che la richiesta contenuta nell'e-mail sia onesta.

Il documentazione DKIM di Google dettaglia chiavi e verifica. Più provider possono utilizzare selettori diversi, che identificano le loro chiavi. Segui i nomi e i valori forniti da ciascuno strumento. Non sempre la pubblicazione DNS è sufficiente: va verificata anche l'attivazione della firma lato mittente.

DMARC: controlla l'allineamento e definisce la policy

DMARC utilizza il dominio visibile in "Da". Per avere successo, è necessario che almeno un controllo riuscito e allineato: SPF con il dominio della busta o DKIM con il dominio del firmatario. L'allineamento può essere rigido, con domini identici, o flessibile, con lo stesso dominio organizzativo, ad esempio il tuo dominio e un sottodominio, a seconda delle impostazioni. Il documentazione ufficiale DMARC delinea questi termini e le politiche disponibili.

• p=none non richiede un trattamento speciale in DMARC; viene utilizzato in particolare per osservare con report configurati.
• p=quarantena richiede di trattare gli errori come sospetti, ad esempio spam.
• p=reject chiede di rifiutare i messaggi non riusciti.

Il server destinatario mantiene le proprie regole di filtraggio. “Nessuno” quindi non significa che tutti i messaggi arriveranno nella casella di posta.

Esempio illustrativo: un dominio e diversi strumenti

Questo esempio è fittizio e non fornisce alcuna configurazione da copiare. Un negozio utilizza messaggistica professionale, uno strumento di newsletter e un servizio di conferma degli ordini. Tutti visualizzano il proprio dominio in "Da".

I messaggi di posta passano DMARC con una firma allineata DKIM. La newsletter passa SPF, ma solo per l'area tecnica del provider; anche la sua firma DKIM utilizza questo dominio di terze parti. Senza allineamento con il dominio visibile, fallisce DMARC. Un risultato “SPF riuscito” quindi non risolve tutto.

Il negozio chiede al fornitore l'autenticazione adatta al suo dominio e verifica una nuova spedizione reale. Controlla inoltre le conferme degli ordini prima di rafforzare la propria politica. Queste osservazioni sono ipotetiche: illustrano i controlli da effettuare, non una diagnosi del vostro impianto.

Distribuiscilo gradualmente e controlla i risultati

Configurare i meccanismi necessari seguendo le istruzioni per ciascun servizio. Google consiglia di iniziare DMARC con p=none, quindi modificare la policy dopo aver osservato l'autenticazione. Imposta un indirizzo di segnalazione effettivamente tracciato e designa chi è responsabile della sua interpretazione. Pubblicare una registrazione senza rivedere gli errori lascia i problemi invisibili.

Quindi invia un messaggio effettivo da ciascun servizio a una casella di prova esterna. Esamina i risultati del server destinatario nelle intestazioni, inclusi Authentication-Results, e i domini utilizzati. La documentazione DKIM spiega questo controllo. Uno stato verde nello strumento mittente o la semplice presenza di un record DNS non dimostra che tutti i flussi funzionino.

Checklist da inviare al responsabile tecnico

1. Inventariare i servizi attivi e i relativi domini di invio.
2. Identificare il gestore DNS e salvare la configurazione esistente.
3. Controlla SPF per ciascun dominio della busta interessato.
4. Controlla i selettori DKIM e l'attivazione della firma.
5. Controlla l'allineamento DMARC ai messaggi reali.
6. Pianificare la ricezione e l'analisi dei report.
7. Testare i messaggi di marketing e le notifiche essenziali.
8. Correggere i flussi legittimi prima di qualsiasi politica più restrittiva.

Limitazioni ed errori comuni

Andare direttamente a p=reject senza inventario può bloccare le email legittime. Altri errori da evitare includono la copia dei record di un'altra azienda, la sostituzione di un SPF senza controllare i servizi attivi o l'invio di una chiave DKIM con il nome sbagliato.

Questi meccanismi non sostituiscono il consenso alla prospezione, né la qualità degli elenchi, né la sicurezza dei conti. Non garantiscono la consegna né rendono sicuro un messaggio da soli. Questa guida spiega le decisioni; i valori DNS devono essere adattati da una persona competente.

Domande frequenti

Il provider di posta elettronica può configurare tutto?

Può fornire istruzioni e gestire la firma delle proprie spedizioni. Resta necessario il coordinamento con il gestore DNS e gli altri servizi. Richiedi prove su ciascun flusso interessato.

DMARC con p=none è sufficiente per proteggere il dominio?

Questa è una fase di osservazione, non una richiesta di blocco degli errori. Utilizza i report per identificare i servizi legittimi che necessitano di correzione, quindi decidi una policy adeguata.

Perché un'e-mail autenticata arriva comunque come spam?

L'autenticazione è solo un elemento di controllo. Anche il destinatario applica i propri filtri. Esamina i resi e la qualità degli invii senza promettere che una correzione DNS rimuoverà qualsiasi classificazione di spam.

Il prossimo passo

Raccogli un messaggio recente da ciascun dipartimento e l'elenco dei relativi manager. Richiedi un controllo dei risultati e dell'allineamento di SPF, DKIM e DMARC prima di autorizzare una modifica. Questo ti darà una diagnosi verificabile piuttosto che un semplice “tutto è configurato”.

Fonti e risorse

• Google: Informazioni sui record SPF, server autorizzati e unicità del record.
• Google: configura DKIM, chiavi, firme e verifica.
• Google: configura DMARC, allineamento, politiche e osservazione progressiva.
• RFC 6376: DKIM, firma senza crittografia.
• Google: istruzioni per i mittenti, autenticazione e filtro antispam.