Autenticazione email del dominio

Come funziona questo controllo

Questo controllo non tocca il tuo sito: interroga il DNS del tuo dominio. E lo fa risalendo la catena dei domini (se scansioni app.tuodominio.it, guarda anche tuodominio.it), perché la posta si configura sul dominio registrabile. Cerca cinque cose. SPF: un record TXT che inizi con v=spf1; se non c'è a nessun livello, gravità media; se termina con +all, alta; se ce n'è più di uno, media. DMARC: un TXT su _dmarc. con v=DMARC1; assente, media; presente con p=none, bassa. BIMI: solo se hai già DMARC, e la sua assenza è informativa. Se c'è SPF o DMARC (segno che il dominio usa la posta), verifica anche i record MX (assenti, bassa) e DKIM, provando quattordici selettori comuni (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); se nessuno risponde, bassa, con l'avvertenza che potresti usare un altro selettore. Infine, MTA-STS su _mta-sts.; assente, bassa. Se qualche query DNS fallisce, il rilievo non viene inventato.

Perché è importante

Senza SPF né DMARC, chiunque può inviare email che dicono di venire da supporto@tuodominio.it e i server riceventi non hanno modo di sapere che sono false. È la base del phishing con il tuo marchio: ai tuoi clienti, ai tuoi fornitori o al tuo stesso team. Inoltre, dal 2024 Gmail e Yahoo esigono SPF, DKIM e DMARC da chi invia in volume; senza, le tue email legittime vanno nello spam o vengono rifiutate. DKIM firma ogni messaggio perché non possa essere alterato in transito. MTA-STS impedisce a un attaccante sulla rete di forzare la consegna della tua posta senza cifratura. E BIMI, quando tutto il resto è a posto, mette il tuo logo accanto alle tue email in Gmail e Apple Mail.

Come risolvere

SPF

v=spf1 include:_spf.google.com ~all

Un solo record TXT sul dominio, con un include: per ogni servizio che invia posta a tuo nome (Google Workspace, Microsoft 365 con spf.protection.outlook.com, il tuo fornitore transazionale). Termina con ~all o -all, mai +all. Se hai due record, fondili in uno. Massimo dieci query DNS in totale; oltre, l'SPF smette di validare.

DKIM

Si attiva dal fornitore di posta (Google Workspace, Microsoft 365, Resend, SendGrid…), che ti dà un record TXT o CNAME da pubblicare su selettore._domainkey.tuodominio.it. Per sapere quale selettore usi, apri un'email inviata dal tuo dominio, guarda le intestazioni e cerca DKIM-Signature: ... s=selettore.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it

Su _dmarc.tuodominio.it. Inizia con p=none per ricevere report senza bloccare nulla, osserva per due o tre settimane quali servizi inviano a tuo nome, aggiungili a SPF e DKIM, e sali a p=quarantine e poi a p=reject.

MTA-STS e BIMI

MTA-STS sono due pezzi: un TXT su _mta-sts.tuodominio.it con v=STSv1; id=2026100901 e un file su https://mta-sts.tuodominio.it/.well-known/mta-sts.txt con mode: enforce, i tuoi server MX e un max_age. BIMI esige DMARC in quarantine o reject, un logo SVG quadrato e un TXT su default._bimi; Gmail chiede in più un certificato di marchio verificato (VMC), che è a pagamento.

Verifica che sia risolto

dig +short TXT tuodominio.it | grep spf1
dig +short TXT _dmarc.tuodominio.it
dig +short MX tuodominio.it
dig +short TXT google._domainkey.tuodominio.it
dig +short TXT _mta-sts.tuodominio.it

Sostituisci google con il tuo selettore. Su Windows, nslookup -type=TXT _dmarc.tuodominio.it fa lo stesso. Le modifiche DNS impiegano da minuti ad alcune ore per vedersi.

Domande frequenti

Il mio dominio non invia posta. Mi serve tutto questo?

Ti servono comunque SPF e DMARC, ma nella versione "nessuno invia": v=spf1 -all e v=DMARC1; p=reject. Così nessuno può impersonarti. MX, DKIM e il resto non ti verranno chiesti perché si verificano solo quando il dominio usa la posta.

Ho DKIM ma compare "senza DKIM nei selettori comuni".

Usi un selettore che non è nella lista. Il rilievo lo dice ed è di gravità bassa proprio per questo. Verificalo con il comando qui sopra e il tuo selettore reale, e segnalo come accettato.

DMARC in p=none non serve a niente?

Serve a vedere chi invia a tuo nome, che è il passo preliminare indispensabile. Ma non blocca nulla: un'email falsa con DMARC in p=none arriva lo stesso. La protezione inizia da quarantine. Il resto della salute del dominio (CAA, DNSSEC, scadenza) lo guarda salute del dominio.