Cosa sono SPF, DKIM e DMARC e perché salvano le tue email

Nuove direttive Google e Yahoo: come configurare SPF/DKIM/DMARC per non finire in spam

La storia delle comunicazioni umane è un continuo, estenuante rincorrersi tra chi spedisce un messaggio e chi cerca di falsificarlo. Dalla ceralacca con l’impronta dell’anello nobiliare fino alle firme idigitali, la necessità di certificare l’identità del mittente è vecchia quanto la scrittura stessa.

Nella mia esperienza decennale da professionista in ambito web, so bene che le email, per loro stessa natura tecnica, hanno sempre sofferto di un problema strutturale di spoofing: chiunque, con un minimo di competenza, poteva inserire l’indirizzo che preferisce nel campo “Da”, spacciandosi per chiunque. Per gran parte della storia di internet, ci siamo difesi con l’intuito. L’occhio clinico del lettore umano era l’ultimo baluardo: un nome a dominio con una lettera scambiata, un’urgenza ridicola o una grammatica zoppicante erano i campanelli d’allarme che smascheravano l’inganno. Ma in una contemporaneità in cui l’intelligenza artificiale sta riscrivendo le regole del gioco, questa romantica autodifesa artigianale non basta più.

Il modo in cui gestiamo la posta elettronica sta subendo una mutazione genetica. Sempre più spesso, a leggere, riassumere e smistare le nostre email non sono i nostri occhi, ma assistenti virtuali basati sull’IA. In questo scenario governato dagli algoritmi, la domanda cruciale smette di essere “Il messaggio è arrivato?” per diventare un perentorio: “Possiamo davvero provare, oltre ogni ragionevole dubbio, chi lo ha spedito?”. La risposta a questa domanda non risiede in nuove, mirabolanti intelligenze artificiali, ma in una triade di protocolli silenziosi a cui l’utente medio non pensa mai, ma che stanno diventando l’ossatura stessa della nostra identità online.

SPF, DKIM e DMARC

L’autenticazione delle email si regge su tre pilastri interconnessi:

SPF (Sender Policy Framework): è il controllore all’ingresso che verifica l’identità del mittente: garantisce che il server da cui parte il messaggio sia esplicitamente autorizzato a spedire per conto di quello specifico dominio.
DKIM (DomainKeys Identified Mail): è l’equivalente moderno della ceralacca. Appone una firma crittografica invisibile a ogni messaggio, assicurando al ricevente che il testo non sia stato manipolato dai briganti informatici lungo il tragitto.
DMARC (Domain-based Message Authentication, Reporting, and Conformance): è il generale che detta le regole di ingaggio. Collega SPF e DKIM e spiega ai server riceventi cosa fare con i messaggi, farlocchi o meno, che non superano i controlli: li respingiamo, li mettiamo in quarantena nello spam, o chiudiamo un occhio?

Insieme, questi tre standard permettono al tuo provider di distinguere una comunicazione legittima della tua banca dall’amo lanciato da un truffatore di mezza tacca. Senza di essi, il falso sarebbe indistinguibile dal vero.

GUIDA VELOCE ALLA CONFIGURAZIONE DELL’AUTENTICAZIONE DELLE VOSTRE CASELLE MAIL

COME CONFIGURARE I PARAMETRI DELLA VOSTRA MAIL SUI PRINCIPALI PROVIDER

Register

Come gestire i record SPF, DKIM e DMARC su Register.it?
Niente di più facile, non dovrete nemmeno infilarvi in un ginepraio di modifiche manuali ai dns del vostro dominio: basta aprire il pannello dei servizi email
Fate accesso, tramite username e password al vostro pannello di controllo dei servizi ospitati su Register.
Selezionate il dominio di cui volete modificare (o verificare) le impostazioni mail.
Dovreste vedere la pagina di gestione dei servizi del vostro dominio, più o meno questa:

Cliccate ora sul pulsante email, si aprirà questa pagina di gestione: cliccate sul menu in alto a destra, con i tre puntini, e vi apparirà un sottomenu a discesa denominato “Azioni”, con i link per configurare i vari parametri
Semplice, no?

Aruba

Come gestire i record SPF, DKIM e DMARC su Aruba.it?
Aruba non ha un’area semplificata del pannello tramite cui attivare e gestire i record che vanno editati direttamente nel pannello di gestione dei DNS.
Lo trovate, una volta fatto accesso al pannello, nel menu di sinistra, sotto la voce domini.

Nel pannello di gestione dei dns dovrete editare i vari parametri a mano, copiando o inserendo nei vari campi ciò che è indicato dai provider.
Importante: controllate che non rimangano spazi vuoti prima o dopo le stringhe copiate (e nemmeno in mezzo!)

Hostinger

Anche Hostinger non ha un’area semplificata del pannello tramite cui attivare e gestire i record che vanno quindi complati direttamente nel pannello di gestione dei DNS.
Però, posso darvi un consiglio?
Se usate Hostinger come providere avete un validissimo strumento cui appoggiarvi: Kodee, l’assistente IA che trovate nella colonna di destra del vostro pannello. E’ davvero comodissimo: fategli qualsiasi domanda e lui vi fornirà spiegazioni esaustive e i link per arrivare, senza peregrinazioni, nella sezione giusta del pannello.
In alcuni casi lui stesso potrà fare “il lavoro sporco” per voi!

Siteground

Come accade per Register, anche su Siteground le configurazioni sull’autenticazione della posta possono essere visualizzate e modificate in una voce a se stante del pannello: la trovate sotto la voce Email:

Se però le opzioni fornite da questa zona non vi bastano, dovrete configurare i parametri in modo più raffinato (ad esempio inserendo diversi server autorizzati ad inviare le vostre mail) dovrete aprire, come sempre, il pannello di gestione dei dns.

GLI ERRORI PIÙ DIFFUSI CHE SI FANNO CONFIGURANDO L’SPF

Errore 1: superare i 10 lookup DNS
L’SPF permette al massimo 10 ricerche DNS. Vuol dire che, se colleghi troppi servizi esterni (es. Google Workspace, Mailchimp e Zendesk) usando il comando include, supererai questo limite. Il server del destinatario restituirà un errore di tipo temperror, invalidando l’intero record.
Errore 2: creare record SPF multipli
Una regola fondamentale del DNS: puoi pubblicare un solo record SPF per ogni dominio o sottodominio. Se inserisci due righe TXT separate che iniziano con v=spf1, i sistemi di ricezione andranno in confusione e li ignoreranno entrambi.
Errore 3: configurare il flag +all
Scrivere +all alla fine del record significa dire al mondo: “Chiunque può inviare email a mio nome”. Questo annulla totalmente la sicurezza del protocollo, spalancando le porte ai truffatori.
- La soluzione: Usa sempre -all (rifiuto totale per i server non autorizzati) oppure ~all (consigliato per monitorare i flussi senza bloccare i messaggi).

ERRORI COMUNI NELLA CONFIGURAZIONE DEL DKIM

Chiavi non aggiornate: le chiavi DKIM dovrebbero essere periodicamente ruotate (cambiate). Dimenticare chiavi vecchie o non aggiornarle dopo aver cambiato provider di posta causa un immediato fallimento dell’autenticazione.
Errori nel selettore: il selettore DKIM (es. google._domainkey) deve corrispondere esattamente a quello fornito dal provider DNS. Un carattere errato rende la firma illeggibile.

ERRORI COMUNI CON DMARC (DOMAIN BASED MESSAGE AUTHENTICATION, REPORTING AND CONFORMANCE)

Attivazione immediata di “p=reject”: impostare subito una policy di blocco (p=reject o p=quarantine) senza aver prima monitorato il traffico blocca le email legittime inviate da gestionali, CRM o altri strumenti aziendali. Bisogna partire sempre da “p=none”.
Mancato allineamento dei domini (Alignment): il dominio mittente visibile nell’indirizzo “Da:” deve corrispondere esattamente ai domini validati tramite SPF e DKIM. Spesso si usa un provider terzo con un dominio diverso, facendo fallire l’autenticazione DMARC.
Gestione scorretta dei report DMARC: impostare l’invio dei report aggregati (rua) verso un dominio esterno senza che quest’ultimo abbia autorizzato la ricezione nel proprio DNS.

Non sei sicuro che le autenticazioni sul tuo dominio siano correttamente impostate e non sai come verificarlo?
Verifica qui il tuo SPF
Verifica qui il tuo DKIM

Quando i bot parlano ai bot
Ad un certo punto entra in gioco l’Intelligenza Artificiale, operando su due fronti opposti. Da un lato abbiamo l’IA difensiva: i filtri antispam si sono evoluti, diventando implacabili cani da guardia che incrociano costantemente i risultati dell’autenticazione (SPF/DKIM/DMARC) per decidere se un’email meriti la tua attenzione. Dall’altro, abbiamo l’IA assistenziale. Strumenti che analizzano la tua casella, estraggono le to-do list e, in alcuni casi, agiscono al posto tuo. Ma c’è un cortocircuito in agguato: un essere umano potrebbe notare un’anomalia in una mail di phishing; un assistente virtuale delegato a scansionare la posta in cerca di “fatture urgenti” non si ferma a fare l’esegesi del mittente: quindi potrebbe non riuscirci.
Legge, valuta l’urgenza (spesso simulata ad arte da un’altra IA generativa) e agisce.
Se l’attacco è confezionato magistralmente, l’autenticazione a monte diventa l’unica garanzia per disinnescare la bomba prima che il tuo zelante assistente virtuale la faccia esplodere.

Da buona pratica a infrastruttura
La rivoluzione è già iniziata. All’inizio del 2024, giganti come Google e Yahoo hanno rotto gli indugi: chi invia grandi volumi di email senza un DMARC correttamente configurato viene semplicemente rimbalzato (che è la ragione per cui un bel po’ di messaggi spariscono o, quando va bene, finiscono in spam).
L’autenticazione è passata dall’essere un vezzo per nerd a un prerequisito di sopravvivenza commerciale.
È la stessa parabola che ha vissuto il protocollo HTTPS sui siti web: prima un lusso, poi uno standard, infine un’infrastruttura invisibile ma indispensabile.
Oggi, l’assenza del “lucchetto” nel browser ci fa scappare a gambe levate; domani, l’assenza di certificazione segnerà la morte civile di qualsiasi mittente email.
E su queste fondamenta si costruiscono già nuovi standard, come il BIMI, che permette ai mittenti verificati di esibire il proprio logo direttamente nella casella di posta: un faro visivo di fiducia in un mare di nebbia generata dalle IA.

L’OPINIONE

Se oggi un truffatore può usare l’IA per scrivere un’email di phishing linguisticamente impeccabile e del tutto indistinguibile da quella del nostro commercialista, cosa succederà domani quando intere flotte di agenti autonomi sonderanno le nostre vulnerabilità h24, inviando comunicazioni mirate e personalizzate su vasta scala?
La verità è che l’autenticazione tecnica certifica l’identità del dominio, non la bontà delle intenzioni. Un criminale metodico che configuri a regola d’arte i propri record DMARC supererà i controlli, ma doverlo fare alza drasticamente i costi e la complessità dell’inganno, scremando i dilettanti.
La manipolazione digitale è ormai un’industria pesante. Delegare ciecamente alle macchine la nostra sicurezza o l’interpretazione delle nostre comunicazioni ci espone a rischi sistemici devastanti. La trincea tecnologica di SPF, DKIM e DMARC è fondamentale, ma non basta. L’unico vero argine rimane la cultura del mezzo: diffondere una solida cittadinanza digitale, educare alla consapevolezza e insegnare a decodificare le dinamiche della rete. Altrimenti, il rischio reale è quello di rimanere, tanto socialmente quanto tecnologicamente, isolati e tagliati fuori dal mondo.

>> Come configurare correttamente la tua mail