L’SPF (Sender Policy Framework) è un record TXT del DNS che elenca i server autorizzati a inviare e-mail per un determinato dominio, in modo che un server ricevente possa rifiutare i messaggi che dichiarano di provenire da Lei ma che sono stati inviati da un’altra fonte.
Come funziona
Si pubblica un record TXT sul proprio dominio che inizia con v=spf1. Quando un server riceve un’e-mail, cerca il record SPF del dominio indicato nel mittente dell’involucro del messaggio e verifica se l’indirizzo IP del server che si sta connettendo è presente nell’elenco. Il meccanismo è definito nella RFC 7208.
Un record è un elenco di meccanismi da leggere da sinistra a destra, che termina con un «all» che indica come comportarsi con tutti gli altri:
-all— un errore grave: la posta proveniente da qualsiasi altra fonte non è autorizzata.~all: un errore «soft»: probabilmente non autorizzata, da trattare con sospetto. Comune durante la fase di configurazione di un dominio.?all— neutro: nessuna indicazione, il che rende il record praticamente inutile.
L’errore che quasi tutti commettono
Un dominio può avere un solo record SPF. La presenza di due record «v=spf1» non significa che «si applicano entrambi»: si tratta di un errore permanente e i destinatari considerano il dominio come privo di qualsiasi SPF valido. Quando si aggiunge un provider di posta, è necessario unire il suo «include:» al record esistente, anziché aggiungerne un secondo.
L’altra insidia è il limite di 10 ricerche: ogni «include:», «a» e «mx» comporta una ricerca DNS, e un record che ne richiede più di dieci risulta non valido. I domini che hanno accumulato uno strumento di marketing, un CRM e un helpdesk raggiungono tale limite senza rendersene conto.
Come verificare il proprio
dig +short TXT yourdomain.comCercate la singola riga che inizia con v=spf1.
SPF su Mailotte
mailotte.com pubblica un record SPF che termina con -all: si tratta di un errore grave (hard fail). Quando collega il Suo dominio, Mailotte Le chiede di pubblicare «v=spf1 include:mailotte.com ~all», sostituendo qualsiasi record SPF già presente. Si tratta di un errore «soft» intenzionale: è il punto di partenza sicuro mentre la posta del dominio è in fase di trasferimento, e potrà renderlo più restrittivo impostando «-all» una volta che tutto ciò che invia a nome del Suo dominio sarà coperto dal record.
Domande
Un dominio può avere due record SPF?
No. La presenza di due record v=spf1 costituisce un errore permanente e i destinatari considerano il dominio come privo di un record SPF valido. Unisca tutti i mittenti in un unico record.
È preferibile ~all o -all?
-all è più rigoroso ed è l’obiettivo da raggiungere una volta che si conoscono tutti i server che inviano messaggi a nome del proprio dominio. ~all è l’impostazione più sicura mentre si sta ancora effettuando l’individuazione, poiché un mittente legittimo che si è dimenticato di includere viene contrassegnato come sospetto anziché essere respinto.
L’SPF impedisce a qualcuno di falsificare il mio indirizzo «Da»?
Non da solo. L’SPF verifica il mittente dell’involucro, che il destinatario non vede mai, non l’intestazione “Da” che invece vede. È il DMARC a collegare i due elementi.
Termini correlati
- DKIM — DomainKeys Identified Mail
- DMARC — Domain-based Message Authentication, Reporting and Conformance
- Record MX — Record Mail Exchanger
- Tutti i termini