Il protocollo con cui viaggia la posta elettronica è nato in un'epoca in cui ci si fidava di tutti. Per questo, in origine, chiunque poteva inviare un'email scrivendo come mittente qualsiasi indirizzo, compreso quello della tua azienda. Se hai un dominio proprio, per esempio nomeazienda.it, esistono tre strumenti che permettono ai server di posta di tutto il mondo di distinguere le email autentiche da quelle falsificate: SPF, DKIM e DMARC.
Non servono a proteggere la tua casella dalla posta in arrivo: servono a proteggere il tuo nome da chi lo usa per truffare clienti e fornitori. E hanno un effetto collaterale positivo: le tue email legittime finiscono meno spesso nello spam.
Dove si configurano
Tutti e tre si impostano come record DNS del dominio, cioè voci nel pannello del registrar o del servizio che gestisce il DNS. Non si installa nulla sui computer. Servono però alcune informazioni dal fornitore della posta (per esempio Microsoft 365, Google Workspace o il provider dell'hosting) e da tutti i servizi che inviano email a nome tuo.
SPF: chi è autorizzato a spedire
SPF (Sender Policy Framework) è un elenco pubblico dei server autorizzati a inviare email per il tuo dominio. Quando un server riceve un messaggio che dice di arrivare da nomeazienda.it, controlla se il server mittente è nell'elenco.
Un record SPF ha un aspetto simile a questo:
v=spf1 include:servizio-di-posta.example -all
La parte finale indica cosa fare con chi non è nell'elenco: -all significa "rifiuta", ~all significa "considera sospetto". Due attenzioni pratiche:
- deve esistere un solo record SPF per dominio: se ne aggiungi un secondo, entrambi smettono di funzionare correttamente;
- c'è un limite al numero di consultazioni DNS che un record SPF può richiedere, quindi non conviene accumulare inclusioni inutili.
DKIM: la firma del messaggio
DKIM (DomainKeys Identified Mail) aggiunge a ogni email una firma crittografica. Il server che invia firma il messaggio con una chiave privata; il server che riceve recupera la chiave pubblica dal DNS del tuo dominio e verifica che la firma sia valida e che il messaggio non sia stato modificato lungo la strada.
Di solito è il fornitore della posta a generare la coppia di chiavi e a indicarti il record da pubblicare. Va attivato per ogni servizio che invia a nome tuo: la casella principale, la piattaforma di newsletter, il gestionale che spedisce le fatture.
DMARC: la regola e i rapporti
SPF e DKIM da soli non dicono al destinatario cosa fare se un controllo fallisce. Ci pensa DMARC (Domain-based Message Authentication, Reporting and Conformance), che fa tre cose:
- verifica che il dominio visibile nel campo "Da" corrisponda a quello controllato da SPF o DKIM;
- stabilisce una politica per i messaggi che non superano i controlli;
- chiede ai server riceventi di inviarti rapporti periodici su chi spedisce a nome del tuo dominio.
Le politiche possibili sono tre:
| Politica | Effetto |
|---|---|
p=none |
Nessuna azione, solo monitoraggio e rapporti |
p=quarantine |
I messaggi non conformi vanno nello spam |
p=reject |
I messaggi non conformi vengono rifiutati |
Un record iniziale tipico è:
v=DMARC1; p=none; rua=mailto:rapporti-dmarc@nomeazienda.it
Introdurli per gradi
L'errore più comune è passare subito a una politica restrittiva e scoprire che le fatture inviate dal gestionale o le newsletter non arrivano più. Un percorso prudente:
- Fai l'elenco di tutti i servizi che inviano email con il tuo dominio: posta, sito web, e-commerce, CRM, newsletter, gestionale, stampanti multifunzione che inviano scansioni.
- Configura SPF includendo tutti quei servizi.
- Attiva DKIM su ciascuno, dove possibile.
- Pubblica DMARC con
p=nonee un indirizzo per i rapporti. - Leggi i rapporti per alcune settimane: sono file tecnici, ma esistono servizi e strumenti che li rendono leggibili. Scoprirai eventuali servizi dimenticati e i tentativi di falsificazione.
- Passa a
p=quarantine, poi, quando sei sicuro che tutta la posta legittima è conforme, ap=reject.
E i domini che non inviano posta?
Molte aziende possiedono domini secondari che non usano per le email: varianti del nome, estensioni diverse, vecchi marchi. Anche quelli possono essere usati per falsificare messaggi. Per proteggerli puoi pubblicare un SPF che non autorizza nessuno (v=spf1 -all) e un DMARC con p=reject.
Cosa non fanno
SPF, DKIM e DMARC proteggono il tuo dominio esatto. Non impediscono a un truffatore di registrare un dominio simile, con una lettera diversa, e configurarlo a sua volta correttamente. Per quel rischio servono attenzione, procedure di verifica e, se il problema si ripete, la registrazione preventiva delle varianti più ovvie del tuo nome.
In sintesi
- SPF elenca i server autorizzati, DKIM firma i messaggi, DMARC decide cosa fare e invia rapporti.
- Si configurano nel DNS del dominio, con le indicazioni dei fornitori di posta.
- Censisci prima tutti i servizi che inviano email a nome tuo.
- Parti da DMARC in monitoraggio e arriva a
rejectper gradi. - Proteggi anche i domini che non usi per la posta.