Strumento gratuito

Generatore record SPF

Crea un record SPF TXT valido per il tuo dominio. Aggiungi indirizzi IP, server di posta e mittenti di terze parti — ottieni il valore DNS esatto da pubblicare.

Genera il tuo record SPF

Dominio

Indirizzi IP autorizzati (fino a 5)

Aggiungi indirizzi IPv4 o IPv6 autorizzati a inviare posta per questo dominio.

Direttive include (fino a 3)

Aggiungi servizi di invio di terze parti come Google Workspace o SendGrid.

Policy (qualificatore all)

Cos’è un record SPF e perché conta?

Un record SPF (Sender Policy Framework) è un record DNS TXT che specifica quali server di posta sono autorizzati a inviare email per conto del tuo dominio. Quando un server destinatario riceve un messaggio che dichiara di provenire dal tuo dominio, interroga il tuo record SPF per verificare che l’IP di invio sia elencato. Se l’IP non è autorizzato, il messaggio può essere rifiutato o contrassegnato come spam.

SPF è uno dei tre standard fondamentali di autenticazione email, insieme a DKIM e DMARC. Senza di esso, chiunque può falsificare il tuo dominio nel campo envelope sender, rendendo il dominio un bersaglio di phishing e spoofing. La maggior parte dei provider di caselle e gateway aziendali moderni controlla SPF prima di accettare la posta.

Capire la sintassi del record SPF

Ogni record SPF inizia con v=spf1, che dichiara la versione. Poi aggiungi meccanismi che elencano i mittenti autorizzati. Il record termina con un qualificatore chiamato meccanismo all.

ip4:x.x.x.x — autorizza un singolo indirizzo IPv4
ip4:x.x.x.x/24 — autorizza un intervallo CIDR IPv4
ip6:::1 — autorizza un indirizzo IPv6
include:domain.com — importa il record SPF di un altro dominio (per mittenti di terze parti)
a — autorizza l’IP del record A del dominio
mx — autorizza gli IP del record MX del dominio

Qualificatori di policy SPF spiegati

Il qualificatore alla fine del record SPF controlla cosa fanno i server destinatari con la posta di mittenti non autorizzati.

Qualificatore	Comportamento
+all	Tutti i mittenti passano. Non usarlo mai — annulla del tutto SPF.
~all	Softfail — la posta non autorizzata è accettata ma segnalata. Usalo in test.
-all	Hard fail — la posta non autorizzata è rifiutata. Usalo in produzione.
?all	Neutral — nessuna policy dichiarata. Raramente utile.

Direttive include SPF comuni

Se usi servizi email di terze parti, devi aggiungere i loro domini di invio autorizzati con direttive include:. Ecco le più usate:

Google Workspace: include:_spf.google.com
Microsoft 365: include:spf.protection.outlook.com
Mailchimp: include:servers.mcsv.net
SendGrid: include:sendgrid.net
Mailgun: include:mailgun.org

Limiti di lookup SPF e come restare sotto

SPF ha un limite rigido di 10 lookup DNS durante la valutazione. Ogni meccanismo include:, a e mx conta come un lookup. Molti record SPF di terze parti attivano ulteriori lookup interni. Se il record supera 10 lookup totali, la valutazione SPF restituisce PermError, trattato come fallimento. Per restare sotto il limite, usa indirizzi IP diretti quando possibile ed evita catene di include annidati.

SPF funziona meglio con DKIM e DMARC

SPF da solo protegge l’envelope sender (Return-Path), non l’indirizzo From visibile. Per una protezione completa dallo spoofing servono anche DKIM per firmare i messaggi e DMARC per allineare i risultati di autenticazione con l’header From. Insieme, questi tre standard formano la baseline di autenticazione email attesa da Gmail, Outlook e Yahoo Mail.

Dopo aver configurato SPF, assicurati che anche le liste siano pulite. La verifica email rimuove indirizzi non validi e rischiosi prima dell’invio, mantiene bassi i bounce e protegge la reputazione del mittente costruita con un’autenticazione corretta. Puoi anche verificare indirizzi in blocco con verifica email in bulk o integrare la verifica nello stack tramite l’ API di validazione email.

Domande frequenti

1. Cosa significa SPF e perché conta?

SPF sta per Sender Policy Framework. È un metodo di autenticazione email basato su DNS che consente ai proprietari di dominio di specificare quali server di posta possono inviare per loro conto. Senza SPF, qualsiasi server può affermare di inviare posta dal tuo dominio, rendendo banale il phishing. ISP e filtri antispam usano i risultati SPF come segnale primario di fiducia per decidere se consegnare la tua email.

2. Come pubblico un record SPF?

Genera il record SPF con questo strumento, accedi al provider DNS e aggiungi un record TXT sulla root del dominio (spesso @ o dominio nudo) con il valore generato. Le modifiche di solito si propagano entro 30 minuti, ma possono richiedere fino a 48 ore a livello globale.

3. Qual è la differenza tra ~all e -all?

~all (softfail) dice ai server destinatari che le email da IP non elencati sono sospette ma vanno comunque accettate. -all (hardfail) istruisce a rifiutare o penalizzare pesantemente i mittenti non elencati. Usa ~all al primo setup SPF, poi passa a -all quando sei sicuro che tutti i servizi di invio siano elencati.

4. Posso avere più record SPF su un dominio?

No. Un dominio deve avere esattamente un record SPF. Se esistono due record TXT che iniziano con v=spf1 sullo stesso dominio, la valutazione SPF produce un errore permanente e tutta la posta fallisce il controllo SPF. Combina tutti i meccanismi in un unico record.

5. Quanti lookup DNS consente un record SPF?

SPF limita il totale dei meccanismi che interrogano il DNS (include, a, mx, ptr, exists) a 10 per valutazione. Superare questo limite produce un permerror. Conta con attenzione gli include — molti provider concatenano include annidati che contano ciascuno nel limite.

6. SPF da solo previene lo spoofing email?

SPF autentica solo l’indirizzo envelope-from (MAIL FROM), non l’header From visibile ai destinatari. Gli attaccanti possono ancora falsificare l’header From anche se SPF passa. Per prevenire del tutto lo spoofing di dominio visibile in inbox serve una policy DMARC allineata con SPF e DKIM.