Verifica SPF e DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Autenticazione email per outlook.com

SPFValido
DKIM2 chiavi trovate
DMARCp=none

SPF (Sender Policy Framework)

1/10 ricerche DNS
v=spf1 include:spf2.outlook.com -all
  • Il record SPF è valido e termina con -all.

DKIM (DomainKeys Identified Mail)

Selettore selector1 (tramite CNAME selector1._domainkey.outbound.protection.outlook.com)

v=DKIM1;k=rsa;p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvWyktrIL8DO/+UGvMbv7cPd/Xogpbs7pgVw8y9ldO6AAMmg8+ijENl/c7Fb1MfKM7uG3LMwAr0dVVKyM+mbkoX2k5L7lsROQr0Z9gGSpu7xrnZOa58+/pIhd2Xk/DFPpa5+TKbWodbsSZPRN8z0RY5x59jdzSclXlEyN9mEZdmOiKTsOP6A7vQxfSya9jg5N81dfNNvP7HnWejMMsKyIMrXptxOhIBuEYH67JDe98QgX14oHvGM2Uz53if/SW8MF09rYh9sp4ZsaWLIg6T343JzlbtrsGRGCDJ9JPpxRWZimtz+Up/BlKzT6sCCrBihb/Bi3pZiEBB4Ui/vruL5…

Selettore selector2 (tramite CNAME selector2._domainkey.outbound.protection.outlook.com)

v=DKIM1;k=rsa;p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAv4FtIHuwq9952OTOwVZEofzUo9nZJZV7Hn3zOXBHaEOP71nMs+uCheSeYRH34PLvo9MngvAFxXG4X8dpL35onCZq2uivZrSBid1ZPDiDqTsK8y26vCV/RpVSWeJEO0SWejooFY7RJ1sbSIxj3Yj4n95oysVoNk3OIJcLryIgjPwzoxFyFQKfpfzAuBf0xvAs29JW9whxe1A7J9Z+wJVhVs37o2ua+sMb7ypEhVjoGHJnGpHh3qq8ukHMw6XAiSD1bG5jndbWNXEf93E1UAAmIYZvxGqwFU0cpCu9YwmwEXYQtAXORinEYAIQKpIlCtH0hW6XKnsbxnbmUmRs/a1…

DMARC

v=DMARC1; p=none; sp=quarantine; pct=100; rua=mailto:rua@dmarc.microsoft; ruf=mailto:ruf@dmarc.microsoft; fo=1
Policy (p)
none
Policy dei sottodomini (sp)
quarantine
Report aggregati (rua)
mailto:rua@dmarc.microsoft
Percentuale (pct)
100%
Allineamento
DKIM: R, SPF: R (R = relaxed, S = strict)
  • La policy è p=none (solo monitoraggio). Quando i report risultano puliti, passa a p=quarantine e poi a p=reject.

Vedi i record MX per outlook.com (posta gestita da Microsoft 365).

Perché SPF, DKIM e DMARC sono importanti

L'email è stata progettata senza verifica del mittente, quindi chiunque può inserire il tuo dominio nella riga «Da». Tre standard basati sul DNS risolvono il problema. Da febbraio 2024 Google e Yahoo li richiedono a chi invia email in grandi volumi, e la mancanza di questi record è oggi un motivo frequente per cui la posta legittima finisce nello spam.

  • SPF elenca i server autorizzati a inviare posta per il tuo dominio, in un record TXT che inizia con v=spf1.
  • DKIM aggiunge una firma crittografica a ogni messaggio; i destinatari la verificano con una chiave pubblica pubblicata in selector._domainkey.yourdomain.
  • DMARC (in _dmarc.yourdomain) indica ai destinatari cosa fare quando SPF e DKIM non risultano allineati con il dominio del campo «Da» (none, quarantine o reject) e dove inviare i report.

Cosa verifica questo strumento

  • L'SPF esiste, c'è un solo record, termina con ~all o -all (mai +all) e il numero totale di ricerche DNS, compresi i meccanismi include: annidati, resta entro il limite di 10 della RFC 7208.
  • Le chiavi DKIM sul selettore che indichi oppure su una dozzina di selettori comuni usati da Google Workspace, Microsoft 365 e dai servizi di invio più diffusi.
  • Il DMARC esiste, ha una policy valida, si applica al 100% della posta e invia report aggregati, così puoi vedere chi sta inviando a tuo nome.

Esempi di record

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Attivazione graduale consigliata

  1. Pubblica l'SPF coprendo ogni servizio che invia per te, terminando con ~all.
  2. Attiva la firma DKIM in ogni provider.
  3. Pubblica il DMARC con p=none e un indirizzo rua e controlla i report per due-quattro settimane.
  4. Passa a p=quarantine, poi a p=reject, quando tutta la posta legittima supera i controlli.

Guida completa: SPF, DKIM e DMARC spiegati.

Domande frequenti

Devo usare ~all o -all?

Con il DMARC attivo vanno bene entrambi; è il DMARC a decidere l'esito. ~all è il punto di partenza più prudente; -all è più rigido una volta che sei sicuro che ogni mittente sia elencato.

Cosa significa «troppe ricerche DNS»?

Ogni include, a, mx, exists e redirect costa una ricerca, comprese quelle dentro i record inclusi. Oltre 10, l'SPF fallisce per tutti. Rimuovi i servizi inutilizzati o sostituisci gli include con intervalli ip4/ip6.

I domini parcheggiati hanno bisogno di questi record?

Sì. Proteggi i domini che non inviano mai email con v=spf1 -all e v=DMARC1; p=reject.

Aggiornato

Copiato negli appunti