SPF e DKIM: cosa sono e come gestirli

In breve: SPF e DKIM: sono due sistemi di autenticazione della posta elettronica.

SPF e DKIM

SPF dichiara quali server possono inviare email per il dominio; DKIM aggiunge ai messaggi una firma crittografica verificabile dal server destinatario.

Perché SPF e DKIM sono importanti

I provider di posta controllano l’identità tecnica del mittente prima di accettare o classificare un messaggio. Una configurazione incompleta può contribuire a recapiti in spam, rifiuti oppure errori di autenticazione. SPF e DKIM non garantiscono da soli l’arrivo nella posta in entrata, perché contano anche reputazione, contenuto, volume di invio e comportamento degli utenti, ma rappresentano una base essenziale.

Come funziona il record SPF

SPF, cioè Sender Policy Framework, è pubblicato come record TXT. Il valore elenca i sistemi autorizzati a inviare posta usando il dominio. Quando il server destinatario riceve un messaggio, confronta il server di provenienza con la politica SPF.

È importante includere tutti i mittenti reali: server Xlogic, servizi newsletter, CRM, piattaforme ecommerce e applicazioni esterne. Se un servizio legittimo non è incluso, i suoi messaggi possono fallire il controllo. Allo stesso tempo non devono essere creati più record SPF separati sullo stesso dominio: le autorizzazioni vanno normalmente riunite in un’unica politica.

Come funziona DKIM

DKIM, cioè DomainKeys Identified Mail, usa una coppia di chiavi. Il server di invio conserva la chiave privata e firma alcune parti del messaggio. Nel DNS viene pubblicata la chiave pubblica associata a un selettore, per esempio default._domainkey.example.it. Il destinatario recupera la chiave pubblica e verifica la firma.

Se il controllo riesce, il server ricevente può confermare che il messaggio è stato firmato da un sistema autorizzato e che le parti firmate non sono state modificate durante il trasporto. Una firma DKIM può comunque fallire se la chiave DNS è errata, il selettore non coincide oppure un sistema intermedio altera il messaggio.

Come controllare SPF e DKIM su Xlogic

1. Individua tutti i servizi di invio. Elenca webmail, client, sito WordPress, newsletter e piattaforme esterne.
2. Controlla la zona DNS. Verifica la presenza del record SPF e della chiave pubblica DKIM.
3. Evita record SPF duplicati. Due politiche SPF separate possono produrre un risultato non valido.
4. Invia un messaggio di prova. Apri le intestazioni complete e cerca i risultati spf=pass e dkim=pass.
5. Controlla la propagazione DNS. Dopo una modifica può essere necessario attendere la scadenza della cache.
6. Configura DMARC. Dopo aver verificato SPF e DKIM, aggiungi una politica DMARC coerente con i tuoi flussi di invio.

Se usi la posta inclusa nel piano Xlogic e non sei sicuro della configurazione, apri un ticket indicando il dominio e specificando tutti gli eventuali servizi esterni che inviano email. Senza questa informazione non è possibile creare una politica SPF completa.

Errori frequenti nella gestione SPF e DKIM

• aggiungere un nuovo servizio email senza aggiornare SPF;
• pubblicare due record TXT che iniziano con v=spf1;
• copiare un record SPF appartenente a un provider diverso;
• pubblicare la chiave DKIM con nome host o selettore errato;
• considerare SPF e DKIM sufficienti senza configurare DMARC;
• testare subito dopo la modifica senza attendere la propagazione DNS.

SPF e DKIM evitano sempre lo spam?

No. L’autenticazione riduce il rischio di spoofing e aiuta i destinatari a valutare il messaggio, ma la consegna dipende anche dalla reputazione dell’IP e del dominio, dalla qualità delle liste, dal numero di reclami, dalla frequenza di invio e dal contenuto. Consulta anche la guida perché le email finiscono nello spam.

Diagnosi di un messaggio rifiutato

Quando un’email viene respinta, il primo elemento da leggere è il messaggio SMTP restituito dal destinatario. La dicitura può indicare un errore SPF, una firma DKIM non valida, una politica DMARC, una reputazione insufficiente oppure un problema completamente diverso, come una casella inesistente.

1. Recupera gli header completi. Cerca i risultati spf=, dkim= e dmarc= nella sezione Authentication-Results.
2. Identifica il server reale di invio. Newsletter, CRM e moduli del sito possono usare infrastrutture diverse dalla posta ordinaria.
3. Confronta SPF e DKIM. Entrambi devono riferirsi al dominio corretto e, per DMARC, rispettare l’allineamento richiesto.
4. Controlla il DNS autorevole. Una modifica eseguita in una zona non utilizzata dal dominio non produce alcun effetto.
5. Verifica la propagazione. Resolver differenti possono mostrare valori diversi fino alla scadenza della cache.
6. Ripeti il test. Invia un nuovo messaggio dopo la correzione; un’email già consegnata non modifica retroattivamente i propri risultati.
7. Valuta reputazione e contenuto. SPF e DKIM validi non compensano invii abusivi, liste acquistate o allegati sospetti.

Servizi esterni e rotazione delle chiavi

Ogni piattaforma che invia per conto del dominio deve essere inclusa nella progettazione. Non copiare record proposti da servizi diversi senza integrarli: più record SPF separati causano un errore permanente, mentre selettori DKIM distinti possono convivere perché pubblicati sotto nomi differenti.

La rotazione delle chiavi DKIM riduce il rischio associato a una chiave esposta o troppo vecchia. La procedura corretta prevede la pubblicazione del nuovo selettore, l’attivazione sul sistema di invio, una fase di verifica e soltanto dopo la rimozione della chiave precedente.

Documenta quali sistemi usano SPF e DKIM, chi gestisce il DNS e quale selettore appartiene a ciascun servizio. Questa mappa evita di eliminare autorizzazioni ancora necessarie durante una migrazione o la sostituzione di un fornitore. Per intervenire sui record consulta anche la guida alla gestione della zona DNS del piano hosting.

Domande frequenti

Guide Xlogic correlate

• Come effettuare un redirect dell’indirizzo mail
• Come disattivare la greylist
• Che cosa sono i record MX

Fonti tecniche

• SPF
• DKIM
• linee guida per i mittenti