In questo articolo scoprirà:
- A cosa servono e come funzionano SPF, DKIM e DMARC
- Come configurare questi meccanismi
- Problemi comuni
- Domande frequenti
SPF, DKIM e DMARC
SPF, DKIM e DMARC sono misure contro le email fraudolente. Se non li utilizza o non sono configurati correttamente, aumenta la probabilità che il sistema del destinatario contrassegni il Suo messaggio come spam, oppure rifiuti la Sua email e la restituisca come non recapitabile.
- SPF (Sender Policy Framework) je e-mailový ověřovací systém, který umožňuje vlastníkům domén prostřednictvím speciálního DNS záznamu určit, které servery smějí odesílat e-maily jménem jejich domény. Příjemci mohou pak SPF záznamy ověřit a rozhodnout, zda e-mail přijmout, odmítnout, nebo jinak zpracovat.
- DKIM (DomainKeys Identified Mail) è un metodo che consente all’organizzazione responsabile dell’invio di un’email di allegare al messaggio una firma digitale. I destinatari possono verificare questa firma e confermare così che l’email non è stata modificata dopo l’invio e che proviene da una fonte legittima.
- DMARC (Domain-based Message Authentication, Reporting, and Conformance) è una policy di autenticazione delle email e un protocollo di reportistica che aiuta a proteggere i domini di posta da abusi come phishing e spoofing. DMARC si basa su SPF e DKIM per verificare che le email inviate siano legittime e definisce come il destinatario debba trattare le email che non superano la verifica. Si configura tramite uno speciale record DNS.
Configurazione dei meccanismi di verifica delle email
Per garantire la massima recapitabilità della Sua posta, configuri tutti i meccanismi di protezione citati. Ogni volta che cambia fornitore o ne aggiunge uno (ad esempio se, oltre alla nostra posta, utilizza anche un servizio per l’invio di email di massa), si assicuri di integrare correttamente soprattutto l’SPF seguendo il manuale di tale fornitore.
Configurazione del record SPF
Il record SPF specifica i server autorizzati a inviare posta a nome del dominio o del sottodominio per cui è configurato. Una guida dettagliata alla configurazione dei record DNS è disponibile nell’articolo DNS – Record DNS del dominio.
Configuri per il dominio al massimo 1 record SPF. Indicando più record si annulla la verifica SPF.
Se per l’invio delle email utilizza esclusivamente servizi VEDOS (Webhosting, WebSite, Mailhosting) senza la protezione WEDOS Protection ⧉, configuri il record SPF:
Name TTL Type Data (vuoto) 300 TXT v=spf1 mx a include:_spf.we.wedos.net -all
Se utilizza esclusivamente un altro fornitore di posta, utilizzi l’SPF secondo le sue istruzioni. Se deve indicare più fornitori o ha problemi con l’SPF, segua l’articolo Email – Record SPF.
Configurazione di DKIM
La verifica delle email tramite DKIM viene gestita interamente da noi.
Per verificare i messaggi inviati dal webhosting tramite la funzione PHP mail() utilizziamo questi record DNS, che sui nostri server di norma generiamo automaticamente:
Name TTL Type Data key1.wedos-dkim._domainkey 300 CNAME key1.dkim-we.wedos.net key2.wedos-dkim._domainkey 300 CNAME key2.dkim-we.wedos.net
Se utilizza DNS esterni, o per qualsiasi motivo non ha questi record per un dominio che punta al nostro Webhosting, li aggiunga. Affinché questi record funzionino correttamente, si assicuri inoltre della corretta configurazione del parametro return-path.
Le email inviate tramite SMTP vengono verificate con una chiave DKIM condivisa all’indirizzo shared.dkim-wes1.wedos.net. Questa configurazione è automatica: non deve attivarla da nessuna parte, ma allo stesso tempo non può nemmeno disattivarla.
Configurazione di DMARC
Il record DMARC di base, che migliora la recapitabilità delle email, ha la forma:
Name TTL Type Data _dmarc 300 TXT v=DMARC1; p=none; rua=mailto:vas-email@domena.tld
dove vas-email@domena.tld sostituisca con l’indirizzo email al quale desidera ricevere eventuali report aggregati.
Problemi comuni
Tra i problemi comuni rientrano:
- Spam continuo o mancato recapito della posta
- SPF, DKIM e DMARC non funzionanti con l’invio tramite la funzione mail() dal webhosting
- Comparsa dell’avviso di invio tramite il dominio shared.dkim-wes1.wedos.net
- DMARC incompatibile
La posta con SPF, DKIM e DMARC non viene recapitata
Problema: Nonostante SPF, DKIM e DMARC siano configurati, la posta finisce nello spam o non viene recapitata affatto.
Soluzione: Verifichi che tutti i record siano configurati correttamente e propagati (le modifiche ai record DNS possono richiedere 30-60 minuti o anche di più). L’errore più comune è la presenza di più record SPF per un unico dominio e l’uso delle virgolette nei dati dei record.
Se sospetta che le email vengano bloccate dal mittente o dal destinatario, segua la guida Email – Blocco.
Invio tramite la funzione mail()
Problema: Con l’invio tramite la funzione mail() sul webhosting, SPF, DKIM e DMARC non vengono superati.
Causa: Nella configurazione di base della funzione mail() il mittente di tali email è il server di webhosting, ad esempio hcX-wdXXX.wedos.net, a cui i record da Lei configurati non si applicano.
Soluzione: Nella funzione mail() imposti un return-path contenente un indirizzo sul Suo dominio seguendo questa guida.
Prostřednictvím domény shared.dkim-wes1.wedos.net
Problema: Al destinatario del messaggio viene mostrato un avviso indesiderato di invio tramite il dominio shared.dkim-wes1.wedos.net.
Soluzione: Si assicuri che il record SPF sia configurato correttamente e propagato. In tal caso, questo avviso non dovrebbe più comparire.
DMARC incompatibile
Problema: La configurazione avanzata di DMARC contrassegna i messaggi come problematici.
Causa: Per le email inviate tramite shared.dkim-wes1.wedos.net il DKIM alignment non funziona correttamente.
Soluzione: Si assicuri di avere un SPF valido e, se necessario, modifichi i parametri del record DMARC.
Domande frequenti
Tutto questo è davvero necessario?
Se desidera che le Sue email siano affidabili, sì. I vari fornitori hanno regole diverse per lo spam e il rifiuto delle email, ma almeno SPF e DKIM sono fondamentali per garantire una consegna affidabile.
Potete configurarlo voi per me?
Il DKIM DNS può essere configurato automaticamente puntando il dominio all’hosting secondo questa guida. I record SPF e DMARC di norma non li configuriamo, perché non disponiamo di informazioni sufficienti sui servizi di posta da Lei utilizzati, il cui funzionamento potremmo compromettere con una configurazione errata. I record di base indicati in questa guida possiamo configurarli per Lei, ma si tratta di un servizio a pagamento secondo il listino prezzi.
Come posso orientarmi nei report DMARC?
Le basi della lettura dei report DMARC sono disponibili, ad esempio, nella nostra guida della community ⧉.