Cos'è un record SPF e perché è importante?
Un record SPF (Sender Policy Framework) è un record DNS TXT che indica quali server di posta sono autorizzati a inviare email per conto del tuo dominio. Quando un server destinatario riceve un messaggio che dichiara di provenire dal tuo dominio, interroga il record SPF per verificare che l'IP mittente sia elencato. Se l'IP non è autorizzato, il messaggio può essere rifiutato o contrassegnato come spam.
SPF è uno dei tre standard fondamentali di autenticazione email, insieme a DKIM e DMARC. Senza di esso, chiunque può falsificare il tuo dominio nel campo envelope sender, rendendo il dominio un bersaglio per phishing e spoofing. La maggior parte dei provider di caselle e dei gateway di posta aziendali verifica SPF prima di accettare i messaggi.
Come leggere la sintassi di un record SPF
Ogni record SPF inizia con v=spf1, che dichiara la versione. Poi si aggiungono i meccanismi che elencano i mittenti autorizzati. Il record termina con un qualificatore detto meccanismo all.
- ip4:x.x.x.x — autorizza un singolo indirizzo IPv4
- ip4:x.x.x.x/24 — autorizza un intervallo CIDR IPv4
- ip6:::1 — autorizza un indirizzo IPv6
- include:domain.com — importa il record SPF di un altro dominio (usato per mittenti di terze parti)
- a — autorizza l'IP del record A del dominio
- mx — autorizza gli IP del record MX del dominio
Qualificatori di policy SPF spiegati
Il qualificatore alla fine del record SPF controlla cosa fanno i server riceventi con la posta proveniente da mittenti non autorizzati.
| Qualificatore | Comportamento |
|---|
| +all | Tutti i mittenti passano. Non usarlo mai — annulla completamente SPF. |
| ~all | Softfail — la posta non autorizzata viene accettata ma segnalata. Usalo in fase di test. |
| -all | Hard fail — la posta non autorizzata viene rifiutata. Usalo in produzione. |
| ?all | Neutral — nessuna policy dichiarata. Raramente utile. |
Direttive include SPF più comuni
Se usi servizi email di terze parti, devi aggiungere i loro domini di invio autorizzati con le direttive include:. Ecco le più usate:
- Google Workspace: include:_spf.google.com
- Microsoft 365: include:spf.protection.outlook.com
- Mailchimp: include:servers.mcsv.net
- SendGrid: include:sendgrid.net
- Mailgun: include:mailgun.org
Limiti di lookup SPF e come restare sotto soglia
SPF ha un limite rigido di 10 lookup DNS durante la valutazione. Ogni meccanismo include:, a e mx conta come un lookup. Molti record SPF di terze parti attivano a loro volta lookup aggiuntivi. Se il record supera 10 lookup totali, la valutazione SPF restituisce un PermError, trattato come un fallimento. Per restare sotto il limite, usa indirizzi IP diretti dove possibile ed evita catene di include nidificati.
SPF funziona meglio con DKIM e DMARC
SPF da solo protegge l'envelope sender (Return-Path), non l'indirizzo From visibile. Per una protezione completa dallo spoofing servono anche DKIM per firmare i messaggi e DMARC per allineare i risultati di autenticazione con l'header From. Insieme, questi tre standard formano la baseline di autenticazione email attesa da Gmail, Outlook e Yahoo Mail.
Dopo aver configurato SPF, assicurati che anche le tue liste siano pulite. La verifica email rimuove gli indirizzi non validi e a rischio prima dell'invio, così i tassi di non recapito restano bassi e si protegge la reputazione del mittente costruita con un'autenticazione corretta. Puoi anche verificare gli indirizzi in blocco con la verifica email in blocco oppure integrare la verifica direttamente nello stack tramite l' API di validazione email.
