Verifica SPF e DMARC

Perché SPF, DKIM e DMARC sono importanti

L'email è stata progettata senza verifica del mittente, quindi chiunque può inserire il tuo dominio nella riga «Da». Tre standard basati sul DNS risolvono il problema. Da febbraio 2024 Google e Yahoo li richiedono a chi invia email in grandi volumi, e la mancanza di questi record è oggi un motivo frequente per cui la posta legittima finisce nello spam.

• SPF elenca i server autorizzati a inviare posta per il tuo dominio, in un record TXT che inizia con v=spf1.
• DKIM aggiunge una firma crittografica a ogni messaggio; i destinatari la verificano con una chiave pubblica pubblicata in selector._domainkey.yourdomain.
• DMARC (in _dmarc.yourdomain) indica ai destinatari cosa fare quando SPF e DKIM non risultano allineati con il dominio del campo «Da» (none, quarantine o reject) e dove inviare i report.

Cosa verifica questo strumento

• L'SPF esiste, c'è un solo record, termina con ~all o -all (mai +all) e il numero totale di ricerche DNS, compresi i meccanismi include: annidati, resta entro il limite di 10 della RFC 7208.
• Le chiavi DKIM sul selettore che indichi oppure su una dozzina di selettori comuni usati da Google Workspace, Microsoft 365 e dai servizi di invio più diffusi.
• Il DMARC esiste, ha una policy valida, si applica al 100% della posta e invia report aggregati, così puoi vedere chi sta inviando a tuo nome.

Esempi di record

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Attivazione graduale consigliata

1. Pubblica l'SPF coprendo ogni servizio che invia per te, terminando con ~all.
2. Attiva la firma DKIM in ogni provider.
3. Pubblica il DMARC con p=none e un indirizzo rua e controlla i report per due-quattro settimane.
4. Passa a p=quarantine, poi a p=reject, quando tutta la posta legittima supera i controlli.

Guida completa: SPF, DKIM e DMARC spiegati.

Domande frequenti

Devo usare ~all o -all?

Con il DMARC attivo vanno bene entrambi; è il DMARC a decidere l'esito. ~all è il punto di partenza più prudente; -all è più rigido una volta che sei sicuro che ogni mittente sia elencato.

Cosa significa «troppe ricerche DNS»?

Ogni include, a, mx, exists e redirect costa una ricerca, comprese quelle dentro i record inclusi. Oltre 10, l'SPF fallisce per tutti. Rimuovi i servizi inutilizzati o sostituisci gli include con intervalli ip4/ip6.

I domini parcheggiati hanno bisogno di questi record?

Sì. Proteggi i domini che non inviano mai email con v=spf1 -all e v=DMARC1; p=reject.

Aggiornato 2026-10-17