SPF, DKIM e DMARC di google.com

Verifica SPF e DMARC

Autenticazione email per google.com

SPFValido

DKIMNon trovato nei selettori comuni

DMARCp=reject

SPF (Sender Policy Framework)

1/10 ricerche DNS

v=spf1 include:_spf.google.com ~all

Il record SPF è valido e termina con ~all.

DKIM (DomainKeys Identified Mail)

Abbiamo verificato i selettori comuni (google, selector1, selector2, default, k1, s1, s2, dkim, mail, smtp, mandrill, everlytickey1) e non abbiamo trovato alcuna chiave DKIM.

Le chiavi DKIM si trovano in <selector>._domainkey.google.com e i selettori sono scelti da ciascun provider email, quindi una chiave può esistere anche se non riusciamo a indovinare il selettore. Trova il selettore nel valore s= dell'header DKIM-Signature di un'email di questo dominio e inseriscilo sopra.

DMARC

v=DMARC1; p=reject; rua=mailto:mailauth-reports@google.com

Policy (p)

reject

Policy dei sottodomini (sp)

uguale a p

Report aggregati (rua)

mailto:mailauth-reports@google.com

Percentuale (pct)

100%

Allineamento

DKIM: R, SPF: R (R = relaxed, S = strict)

DMARC è applicato con p=reject e report attivi.

Perché SPF, DKIM e DMARC sono importanti

L'email è stata progettata senza verifica del mittente, quindi chiunque può inserire il tuo dominio nella riga «Da». Tre standard basati sul DNS risolvono il problema. Da febbraio 2024 Google e Yahoo li richiedono a chi invia email in grandi volumi, e la mancanza di questi record è oggi un motivo frequente per cui la posta legittima finisce nello spam.

SPF elenca i server autorizzati a inviare posta per il tuo dominio, in un record TXT che inizia con v=spf1.
DKIM aggiunge una firma crittografica a ogni messaggio; i destinatari la verificano con una chiave pubblica pubblicata in selector._domainkey.yourdomain.
DMARC (in _dmarc.yourdomain) indica ai destinatari cosa fare quando SPF e DKIM non risultano allineati con il dominio del campo «Da» (none, quarantine o reject) e dove inviare i report.

Cosa verifica questo strumento

L'SPF esiste, c'è un solo record, termina con ~all o -all (mai +all) e il numero totale di ricerche DNS, compresi i meccanismi include: annidati, resta entro il limite di 10 della RFC 7208.
Le chiavi DKIM sul selettore che indichi oppure su una dozzina di selettori comuni usati da Google Workspace, Microsoft 365 e dai servizi di invio più diffusi.
Il DMARC esiste, ha una policy valida, si applica al 100% della posta e invia report aggregati, così puoi vedere chi sta inviando a tuo nome.

Esempi di record

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Attivazione graduale consigliata

Pubblica l'SPF coprendo ogni servizio che invia per te, terminando con ~all.
Attiva la firma DKIM in ogni provider.
Pubblica il DMARC con p=none e un indirizzo rua e controlla i report per due-quattro settimane.
Passa a p=quarantine, poi a p=reject, quando tutta la posta legittima supera i controlli.

Guida completa: SPF, DKIM e DMARC spiegati.

Domande frequenti

Devo usare ~all o -all?

Con il DMARC attivo vanno bene entrambi; è il DMARC a decidere l'esito. ~all è il punto di partenza più prudente; -all è più rigido una volta che sei sicuro che ogni mittente sia elencato.

Cosa significa «troppe ricerche DNS»?

Ogni include, a, mx, exists e redirect costa una ricerca, comprese quelle dentro i record inclusi. Oltre 10, l'SPF fallisce per tutti. Rimuovi i servizi inutilizzati o sostituisci gli include con intervalli ip4/ip6.

I domini parcheggiati hanno bisogno di questi record?

Sì. Proteggi i domini che non inviano mai email con v=spf1 -all e v=DMARC1; p=reject.

Aggiornato 2026-10-17

Tutti gli strumenti