SPF, DKIM e DMARC: così si evita che qualcuno invii e-mail false a Suo nome
Modulo 4: E-mail, sito web e dominio · Tempo di lettura: 9 minuti
Obiettivo della lezione: dopo questa lezione saprà spiegare come SPF, DKIM e DMARC contrastano insieme l'uso improprio del Suo dominio, dove si trova il loro limite, e saprà verificare e valutare lo stato del Suo dominio.
Concetti chiave: spoofing, SPF, DKIM, DMARC, allineamento, policy none / quarantine / reject, report DMARC, null MX, dominio lookalike
Perché questo è un tema di sicurezza
Nel modulo 1 ha visto come funziona la frode delle fatture: un cliente riceve un'e-mail "da" factuur@example.com con un nuovo IBAN. Se il Suo dominio non è protetto, un truffatore non deve hackerare nulla per farlo. L'e-mail è stata ideata negli anni ottanta senza alcun controllo sul mittente. Qualsiasi server di posta al mondo può inviare un messaggio con il Suo indirizzo nel campo "Da:". Questo si chiama spoofing.
La vittima in quel caso non è Lei, ma il Suo cliente o fornitore. Eppure è il Suo nome a essere danneggiato, ed è spesso il Suo telefono a squillare. Per questo la protezione del dominio di posta rientra in un corso di sicurezza, e non solo nel "fare in modo che la posta arrivi".
Tre record DNS garantiscono insieme che i destinatari possano riconoscere e respingere le e-mail false inviate a Suo nome: SPF, DKIM e DMARC. In questa lezione imparerà cosa fanno insieme, cosa non fanno e come valutare il Suo dominio. I dettagli tecnici (la struttura di ciascun record, le insidie nella configurazione) si trovano nel corso DNS, lezioni 4.3, 4.4 e 4.5, e presto nel corso E-mail in ordine (in sviluppo).
Tre controlli, una sola domanda
| Record | Cosa dice | Dove si trova | Cosa verifica il destinatario |
|---|---|---|---|
| SPF | "Questi server possono inviare posta per conto mio." | Record TXT su example.com, inizia con v=spf1 | L'e-mail proviene da un server presente nell'elenco? Si guarda all'indirizzo tecnico envelope (Return-Path), non all'indirizzo "Da:". |
| DKIM | "La posta autentica da parte mia porta questa firma." | Record TXT o CNAME su <selector>._domainkey.example.com | La firma digitale è corretta e l'e-mail non è stata alterata lungo il tragitto? |
| DMARC | "Il controllo riuscito appartiene al mio dominio? In caso contrario, cosa fare?" | Record TXT su _dmarc.example.com, inizia con v=DMARC1 | SPF o DKIM riescono per il dominio presente nell'indirizzo "Da:"? Questo si chiama allineamento. |
L'aspetto più importante da capire: SPF e DKIM da soli non bastano. Un truffatore può inviare un'e-mail che supera correttamente SPF per il proprio dominio ed è correttamente firmata dal proprio dominio, mentre nel campo "Da:" compare info@example.com. Solo DMARC crea il collegamento con l'indirizzo che il Suo cliente vede. E solo DMARC dice al destinatario cosa fare se qualcosa non torna.
Un destinatario registra l'esito negli header dell'e-mail. Nella lezione 3.3 ha imparato a leggerli. Un'e-mail falsa inviata a Suo nome appare al destinatario, per esempio, così:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF e DKIM riescono, ma per un altro dominio. DMARC fallisce e, poiché la policy di example.com è impostata su reject, il destinatario respinge l'e-mail.
I tre livelli di policy di DMARC
| Policy | Cosa fanno i destinatari con la posta non conforme | Cosa Le offre |
|---|---|---|
p=none | Niente, l'e-mail viene comunque consegnata. | Report (se compila rua=) e visibilità su chi invia posta a Suo nome. Ancora nessuna protezione. |
p=quarantine | Nella cartella spam. | L'e-mail falsa si nota meno, ma esiste ancora. |
p=reject | Respinta. | La migliore protezione contro l'uso improprio del Suo dominio. |
Molte aziende restano per anni su p=none. È comprensibile, perché è sicuro per la propria posta, ma non è un punto d'arrivo. Con p=none ha un sistema d'allarme che suona ma non blocca la porta.
L'ordine corretto
Una policy troppo severa su un dominio di cui non sono noti tutti i mittenti farà sparire le Sue stesse fatture o newsletter. Una policy troppo permissiva lascia campo libero ai truffatori. L'ordine che funziona per quasi tutti:
- Faccia un elenco di tutto ciò che invia posta a nome del Suo dominio. Il Suo fornitore di posta, ma anche il Suo sito web (modulo di contatto, negozio online), il Suo programma di contabilità, il Suo servizio di newsletter, il Suo sistema di appuntamenti. Questo è ciò che più spesso viene dimenticato.
- Metta in ordine SPF: esattamente un record, con tutti i mittenti inclusi, che termina con
~all(impostazione prudente predefinita) o-all(se è certo che l'elenco sia completo e corretto). Mai+all. - Attivi DKIM per ogni servizio che lo supporta, con esattamente i record indicati dal servizio stesso.
- Inizi DMARC con
p=nonee un indirizzo per i report (rua=mailto:dmarc@example.com). Osservi per alcune settimane nei report quali servizi riescono e quali no. - Passi a
p=quarantinee poi ap=rejectquando non vede più fallire la Sua posta legittima.
Un dominio che non invia mai posta (un marchio che ha solo registrato, un vecchio dominio) può essere protetto subito in modo rigoroso. I truffatori cercano proprio questo tipo di domini, perché nessuno li controlla:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Il null MX (0 .) dice "qui non arriva posta", -all dice "nessuno può inviare posta a nome di questo dominio" e p=reject chiede ai destinatari di respingere tutto.
Cosa non blocca
SPF, DKIM e DMARC proteggono esattamente il nome del Suo dominio. Non sono un filtro antiphishing. Tre cose non le bloccano:
- Domini lookalike. Un truffatore registra
examp1e.exampleoppureexample-facturen.examplee vi imposta correttamente SPF, DKIM e DMARC. Quell'e-mail supera ogni controllo. Solo la lettura attenta del dominio (lezione 3.2) aiuta, insieme eventualmente alla registrazione delle varianti più ovvie del Suo nome. - Solo il nome visualizzato. Un'e-mail da
bakkerij.example.factuur@gratismail.examplecon nome visualizzato "Bakkerij Example" non ha nulla a che fare con il Suo dominio. DMARC guarda l'indirizzo, non il nome. - Una casella di posta violata. Se un aggressore accede a
info@example.com, invia posta tramite il Suo vero server. Quell'e-mail supera SPF, DKIM e DMARC, perché tecnicamente è autentica. Contro questo proteggono password robuste e l'autenticazione a due fattori (2FA) (modulo 2).
SPF, DKIM e DMARC dimostrano che un'e-mail proviene dal dominio. Non dimostrano che il dominio sia affidabile, né che il mittente sia chi dice di essere.
Cosa ne guadagnano Lei e i Suoi clienti
- Protezione dei Suoi clienti. Con
p=reject, le fatture false inviate con il Suo nome esatto vengono respinte dai grandi provider di posta prima che il Suo cliente le veda. - Consegna migliore. Da febbraio 2024 Gmail e Yahoo richiedono SPF, DKIM e DMARC (almeno
p=none) a chi invia più di circa 5.000 e-mail al giorno; Microsoft impone lo stesso requisito da maggio 2025 per Outlook.com e Hotmail. Anche per i piccoli mittenti, la posta con una buona autenticazione finisce meno spesso nello spam. - Visibilità sugli abusi. I report DMARC mostrano se qualcuno tenta di usare il Suo dominio. Usi un indirizzo dedicato; riceverà rapidamente alcuni report al giorno.
DMARC è stato rivisto a maggio 2026 come RFC 9989, che sostituisce RFC 7489. I record esistenti con v=DMARC1 continuano a funzionare normalmente.
Nella pratica: ecco come appare
Può verificare lo stato di ogni dominio senza installare nulla. In modo indipendente può farlo con il mailtest di internet.nl. Anche il controllo e-mail pubblico e la verifica della salute del dominio di WebOké mostrano SPF, DMARC e MX con un pallino verde, arancione o rosso. Se il Suo dominio è presso WebOké, lo stesso controllo è disponibile come scheda nella pagina del dominio in Mio WebOké, con un pulsante per aggiungere un record DMARC mancante con p=none. Presso altri fornitori funziona in modo analogo: cerchi "autenticazione e-mail" oppure le impostazioni DNS del Suo dominio.
Presti attenzione, con ogni strumento, a cosa significhi "verde". Alcuni strumenti segnano già verde con p=none, perché il record è valido. Dal punto di vista della sicurezza, p=none è arancione: il record è in ordine, la protezione ancora no.
Riepilogo
- Senza protezione, chiunque può inviare un'e-mail con il Suo indirizzo nel campo "Da:" (spoofing).
- SPF indica quali server possono inviare posta, DKIM appone una firma, DMARC verifica se uno dei due riesce per il dominio che il Suo cliente vede e indica cosa fare se non è così.
- Ordine corretto: censire i mittenti, SPF, DKIM, DMARC
p=nonecon report, poiquarantineereject. I domini che non inviano posta vanno bloccati subito. - Non proteggono da domini lookalike, nomi visualizzati ingannevoli o una casella di posta violata.
p=noneè un inizio, non una protezione.
Quiz
Esercizio
Esercizio A4.1: Valutare la protezione e-mail del Suo dominio. Inserisca il Suo nome di dominio (se non ne ha uno, usi sidn.nl). Il programma interroga MX, SPF e DMARC e indica per ogni elemento verde, arancione o rosso con una spiegazione. Compili poi quale policy DMARC è impostata e quale sarebbe il Suo prossimo passo.
Esercizio D4.1: Chi invia e-mail per conto del Suo dominio? Faccia un elenco di tutti i servizi che inviano posta con un indirizzo del Suo dominio: fornitore di posta, sito web, negozio online, contabilità, newsletter, sistema di appuntamenti. Segni per ogni servizio se è presente nel Suo SPF e se usa DKIM con il Suo dominio. Scriva quale policy DMARC desidera avere tra tre mesi e cosa deve ancora essere fatto per raggiungerla.
Esercizio D4.1: Chi invia e-mail per conto del Suo dominio?
Ecco come procedere: (1) Elenchi tutti i servizi che inviano e-mail con un indirizzo del Suo dominio: provider di posta, sito web e modulo di contatto, negozio online, contabilità e fatture, newsletter, sistema di appuntamenti o prenotazioni, CRM, stampante o scanner che invia e-mail. (2) Per ogni servizio, cerchi nelle impostazioni o nel manuale come viene gestito SPF e DKIM per il Suo dominio. (3) Da ogni servizio invii un'e-mail di prova a Se stesso e controlli nel sorgente del messaggio la riga Authentication-Results (lezione 3.3). (4) Annoti per ogni servizio: spf=, dkim= con header.d=, dmarc=.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli WebOké si riferiscono all'ambiente WebOké; presso altri fornitori il funzionamento è analogo.
- Corso DNS, lezioni 4.3 (SPF), 4.4 (DKIM) e 4.5 (DMARC): https://www.weboke.it/dns-cursus
- Che cos'è il DMARC? Spiegazione in parole semplici
- Come funziona il record SPF nel DNS?
- Creazione del record DMARC in DirectAdmin
- Guida DirectAdmin 5.7: Impostare e integrare l'SPF
- Guida DirectAdmin 5.8: Attivare e verificare DKIM
- Guida DirectAdmin 5.9: DMARC impostare
- Controllo e-mail pubblico: https://www.weboke.it/verifica-email
- Internet.nl, mailtest (indipendente): https://internet.nl