SPF, DKIM e DMARC spiegati semplice (per la tua azienda)

Chiunque può scrivere "Mario Rossi, amministratore di Rossi S.r.l." in una email e inviarla a tuo nome. Per la posta elettronica, di per sé, il mittente è solo un'etichetta. SPF, DKIM e DMARC sono tre sistemi che servono a rendere più difficile falsificare quell'etichetta. Se hai un'azienda, un sito o una partita IVA con un indirizzo del tipo nome@tuaazienda.it, vale la pena capirli: sono la prima difesa contro chi finge di essere te per truffare i tuoi clienti.

Informazioni generali di carattere tecnico, non costituiscono parere tecnico o legale. Le modifiche al DNS vanno fatte con attenzione: in caso di dubbio chiedi supporto al tuo fornitore di hosting o email.

Il problema: la posta si può falsificare

Quando invii una email, il campo "Da:" lo scrive il programma di posta, e nulla lo verifica per impostazione predefinita. Un malintenzionato può quindi inviare messaggi che sembrano arrivare dal tuo dominio. È la base di molte truffe: false fatture inviate ai tuoi clienti, richieste di pagamento a nome tuo, phishing con il tuo marchio. Si parla di spoofing della posta, e può danneggiare la tua reputazione oltre che chi riceve il messaggio. Una variante della truffa si vede nella guida alla fattura falsa BEC.

SPF, DKIM e DMARC non sono programmi da installare: sono record DNS, cioè righe di testo che pubblichi nelle impostazioni del tuo dominio, e che i server di posta di chi riceve leggono per decidere se fidarsi.

SPF: chi può inviare posta a nome tuo

Sender Policy Framework. Nel DNS elenchi i server e i servizi autorizzati a inviare posta per il tuo dominio (il tuo provider di posta, la piattaforma di newsletter, il gestionale che manda le fatture). Chi riceve controlla se il server che gli ha consegnato il messaggio è nell'elenco.

Un esempio di struttura:

v=spf1 include:_spf.google.com ~all

significa: "per questo dominio possono inviare i server di Google; tutti gli altri sono sospetti". Il valore esatto dipende dal tuo provider.

Punti pratici:

• Un solo record SPF per dominio. Più record insieme lo invalidano.
• Includi tutti i mittenti legittimi: se dimentichi un servizio (per esempio quello che invia fatture), la sua posta potrebbe finire nello spam.
• Lo standard prevede un limite di 10 interrogazioni DNS per la valutazione: un SPF troppo "pieno" di servizi può smettere di funzionare.

DKIM: la firma digitale del messaggio

DomainKeys Identified Mail. Il tuo provider firma ogni messaggio in uscita con una chiave segreta; nel DNS pubblichi la chiave pubblica corrispondente. Chi riceve verifica la firma: se coincide, il messaggio arriva davvero dal dominio e non è stato alterato in viaggio.

Come si attiva: di solito dal pannello del tuo provider (per esempio la console di amministrazione della suite di posta), che ti dà il record da pubblicare nel DNS. Google consiglia chiavi di almeno 1024 bit e, se il provider del dominio lo consente, di 2048 bit.

DMARC: cosa fare se i controlli falliscono

Domain-based Message Authentication, Reporting and Conformance. È il livello che mette insieme SPF e DKIM e dice a chi riceve: "se un messaggio che dichiara il mio dominio non supera i controlli, fai questo". Funziona solo se SPF o DKIM passano e risultano allineati con il dominio mostrato nel campo "Da:".

Una policy DMARC ha tre livelli:

I report DMARC ti arrivano per email (o a un indirizzo dedicato) e mostrano chi sta inviando posta a nome del tuo dominio, utile anche per scoprire servizi dimenticati.

Cosa richiedono i grandi provider

Le linee guida di Google per i mittenti raccomandano a tutti di configurare SPF, DKIM e DMARC per i propri domini; ai mittenti che inviano più di 5.000 messaggi al giorno a Gmail richiedono di impostare SPF e DKIM e di pubblicare un record DMARC (la policy può essere anche none). Raccomandano inoltre di includere nell'SPF tutti i mittenti del dominio, di configurare i report DMARC per individuare tentativi di impersonificazione e di proteggere anche il dominio del sito web. Vedi la pagina di Google sulle linee guida per i mittenti.

Anche se la tua piccola impresa non invia migliaia di messaggi, questi requisiti mostrano la direzione: la posta non autenticata è sempre più spesso trattata con sospetto, comprese le tue fatture e i tuoi preventivi.

Come procedere in 6 passi

1. Elenca chi invia posta a tuo nome: provider di posta, gestionale, newsletter, CRM, sito web (moduli di contatto).
2. Configura SPF includendo tutti questi servizi, con un unico record.
3. Attiva DKIM per ogni servizio che lo supporta.
4. Pubblica DMARC con p=none e un indirizzo per ricevere i report.
5. Leggi i report per qualche settimana, individuando i mittenti legittimi non ancora coperti e correggendoli.
6. Passa a quarantine, poi a reject, gradualmente, solo quando i report mostrano che la posta legittima passa.

Se ti blocchi, chiedi aiuto al fornitore del dominio o a un tecnico di fiducia: un errore al passo 6 può far finire in spam o rifiutare posta vera.

E MTA-STS?

Oltre ai tre record, esiste MTA-STS, che chiede ai server mittenti di consegnare la posta al tuo dominio solo su connessioni cifrate. È un miglioramento in più per chi ha già sistemato SPF, DKIM e DMARC. Il controllo del dominio di VINDICIS ne valuta la presenza.

Cosa NON risolvono

SPF, DKIM e DMARC proteggono il tuo dominio dalla falsificazione. Non proteggono:

• da un fornitore la cui casella è stata compromessa (il messaggio arriva da un indirizzo vero);
• da un dominio simile registrato dai truffatori (rossi-srl.it al posto di rossisrl.it);
• dal phishing che prende di mira i tuoi dipendenti;
• da una casella aziendale violata, i cui accessi vanno protetti con password uniche e autenticazione a due fattori.

Per una visione complessiva vedi sicurezza informatica per PMI.

Controllare il tuo dominio in un minuto

Lo strumento gratuito di controllo del dominio di VINDICIS legge i record DNS pubblici di un dominio che ti appartiene (SPF, DKIM, DMARC e MTA-STS) e ti dice, con spiegazioni semplici, se altri possono inviare facilmente posta che sembra arrivare da te e cosa cambiare. Funziona sui dati pubblici del DNS: non accede alla tua posta né ai tuoi sistemi. Rilancialo ogni volta che cambi provider o servizi.

Un controllo in più sul lato delle persone

SPF, DKIM e DMARC proteggono il dominio, ma le caselle sono usate da persone. Per verificare se gli indirizzi della tua attività compaiono in violazioni note o in casi di infezione da infostealer, puoi partire con la scansione gratuita di un indirizzo.

Il piano mensile per le attività (14,99 € al mese) include il controllo del dominio insieme alla verifica mensile di fino a 10 indirizzi email aziendali. Ogni mese un report ti dice quali problemi risultano ancora aperti e, se emerge qualcosa di grave e nuovo, ti avvisiamo subito. Dettagli nella pagina per PMI e partite IVA.

Domande frequenti

Devo usare tutti e tre SPF, DKIM e DMARC?

Sì, è la raccomandazione dei grandi provider come Google: lavorano insieme. SPF e DKIM autenticano il messaggio, DMARC dice cosa fare se non passano e ti invia i report.

Posso passare subito a DMARC reject?

È sconsigliato. Parti da p=none, leggi i report e passa a quarantine e poi a reject solo quando la posta legittima risulta sempre autenticata, altrimenti rischi di bloccare messaggi veri.

Questi record rallentano la posta o la rendono meno recapitabile?

Configurati bene la rendono più affidabile: la posta autenticata ha meno probabilità di finire nello spam. Un SPF errato o incompleto può invece causare problemi di consegna.

Il mio provider li ha già configurati?

Non sempre. DMARC in particolare è un record DNS che di solito devi pubblicare tu o il fornitore del dominio. Puoi verificarlo con lo strumento di controllo del dominio.

Servono se uso solo indirizzi Gmail o Outlook personali?

No: sono i provider a gestirne il DNS. SPF, DKIM e DMARC riguardano i domini di tua proprietà, come info@tuaazienda.it.