Errore SPF: capire il problema e correggerlo subito

La tua email è stata respinta. Le intestazioni indicano spf=fail. Hai davanti un 550 5.7.1 o un 550 5.7.26, mentre un cliente attende una risposta che non è mai arrivata.

Un errore SPF non è un problema di contenuto. È un errore di autenticazione DNS. Il server di posta destinatario ha controllato il record SPF, ha scoperto che l'IP di invio non era nella lista autorizzata e ha respinto il messaggio prima che potesse raggiungere una cartella spam.

Da febbraio 2024, Google e Yahoo respingono le email non autenticate a livello di protocollo, invece di limitarsi a segnalarle come sospette. Questa guida spiega il codice di errore specifico, mostra dove trovare nelle intestazioni l'IP che non supera il controllo e illustra le tre correzioni DNS che risolvono la grande maggioranza degli errori SPF. Niente supposizioni. Parti dalla correzione giusta.

Se stai configurando l'email sul tuo dominio per la prima volta, imposta correttamente la configurazione DNS di base prima di indagare sugli errori; i problemi SPF nascono quasi sempre da una configurazione iniziale incompleta.

Cos'è un errore SPF?

Un errore SPF si verifica quando un server destinatario valuta il record Sender Policy Framework del dominio e scopre che l'indirizzo IP di invio non è autorizzato. SPF viene pubblicato come record TXT DNS sul dominio ed elenca tutti gli indirizzi IP e i servizi di posta autorizzati a inviare per tuo conto. Se il controllo non riesce, il server respinge il messaggio (errore rigido) oppure lo accetta come sospetto (errore lieve). In entrambi i casi, i criteri DMARC lo conteggiano come errore.

SPF controlla il mittente della busta, cioè l'indirizzo MAIL FROM negoziato durante lo scambio SMTP, non l'intestazione "From" che vede il destinatario. Questa distinzione è importante quando si cerca l'origine del problema.

Leggi il codice di errore prima di modificare qualsiasi cosa

I server di posta restituiscono codici SMTP diversi per un errore SPF. Il codice indica esattamente cosa ha deciso il destinatario e perché; trattare un 550 5.7.26 come un generico 550 5.7.1 fa perdere tempo durante la diagnosi. Associa il codice alla causa prima di modificare anche un solo record DNS.

Passaggio 1: trova nelle intestazioni l'IP che non supera il controllo

Non cercare di indovinare quale IP abbia causato l'errore SPF. Apri le intestazioni non elaborate del messaggio respinto (o la notifica di mancato recapito) e cerca Authentication-Results. Questa intestazione indica l'IP esatto valutato dal destinatario e la decisione presa.

Authentication-Results: mx.google.com;
   spf=fail (google.com: domain of team@example.com does not designate
   192.0.2.55 as permitted sender)

Qui compaiono due dati utili all'indagine: l'IP di invio (192.0.2.55) e il dominio controllato (example.com). Ora individua il proprietario dell'IP:

• Uno strumento SaaS adottato di recente? (HubSpot, Zendesk, Shopify)
• Il tuo server web? (WordPress, cPanel)
• Un servizio di inoltro? (Vedi più avanti la sezione sull'insidia dell'inoltro)

Conferma quindi il record SPF attuale con una rapida ricerca:

dig +short txt yourdomain.com | grep spf

Se vedi più di una riga che inizia con v=spf1, hai già individuato uno dei problemi.

Passaggio 2: le tre correzioni più comuni per gli errori SPF

La maggior parte degli errori SPF dipende da una di tre cause: manca l'include di un provider, esiste un record duplicato oppure è stato superato il limite di 10 ricerche DNS. Scegli la correzione corrispondente a ciò che hai trovato nel Passaggio 1.

Correzione 1: manca l'include del provider

Hai aggiunto un nuovo strumento email, come HelpScout, HubSpot, Zendesk o l'email transazionale di Shopify, senza aggiornare il DNS. Il servizio invia per tuo conto usando un IP che non hai autorizzato. Questa è la causa più comune di un errore SPF dopo l'adozione di un nuovo provider.

Record non valido:

v=spf1 include:spf.trekmail.net -all

Record valido (dopo aver aggiunto HelpScout):

v=spf1 include:spf.trekmail.net include:helpscoutemail.com -all

Trova nella documentazione del provider la stringa include SPF richiesta. Aggiungila al record TXT SPF esistente; non creare un altro record. Ogni servizio usato per l'invio deve essere elencato.

Correzione 2: il doppio record, un errore di sintassi fatale

Può esserci un solo record SPF per dominio. Se aggiungi un secondo record TXT per un nuovo strumento invece di unirlo a quello esistente, i destinatari vedono due criteri in conflitto e li invalidano entrambi. Il risultato è un PermError, cioè un errore SPF rigido per ogni email del dominio, comprese quelle che prima venivano consegnate normalmente.

Errato: due record separati:

v=spf1 include:spf.trekmail.net -all
v=spf1 include:_spf.google.com -all

Corretto: uniti in uno:

v=spf1 include:spf.trekmail.net include:_spf.google.com -all

Accedi al provider DNS, elimina tutti i record TXT SPF tranne uno e riunisci tutto in un'unica riga. Un PermError causato da un doppio record provoca un errore SPF silenzioso per tutti i mittenti finché non viene corretto.

Correzione 3: il limite di 10 ricerche, un errore di architettura

La norma RFC 7208 limita la valutazione SPF a 10 ricerche DNS. Questo impedisce che i server vengano usati per amplificare il traffico DNS. I meccanismi come include, a e mx contano ai fini del limite, così come gli include nidificati, quando il provider include a sua volta il record di un altro provider.

Se superi 10 ricerche, ottieni PermError. SPF non riesce per tutti. Controlla il numero attuale di ricerche seguendo il record:

dig +short txt yourdomain.com

Conta manualmente ogni meccanismo include, a e mx, quindi segui gli include nidificati di ogni provider. Se superi il limite, hai due opzioni chiare:

1. Separa i mittenti su sottodomini. Sposta gli strumenti di marketing ad alto volume su marketing.yourdomain.com. Il sottodominio ottiene un nuovo limite autonomo di 10 ricerche, completamente separato dal record del dominio principale.
2. Appiattisci il record. Sostituisci le catene include con gli IP effettivi a cui si risolvono, usando i meccanismi ip4: o ip6:. Questi non contano come ricerche. Lo svantaggio è che dovrai aggiornare manualmente il record quando i provider cambiano IP.

Un'altra insidia è il limite delle ricerche senza risultato. Se più di due ricerche nella catena restituiscono NXDOMAIN, ad esempio per un errore come include:spf.gogle.com, il record viene invalidato secondo RFC 7208 §11.1. Un solo errore di battitura in un include nidificato può compromettere l'intera valutazione SPF.

L'insidia dell'inoltro: perché SPF non riesce su email legittime

Questo errore SPF non ha nulla a che vedere con la configurazione DNS. Invi un'email a un indirizzo per ex studenti (alice@university.edu), che la inoltra automaticamente a Gmail (alice@gmail.com). Gmail vede arrivare l'email dall'IP del server dell'università. Il tuo record SPF non autorizza quell'IP. SPF non riesce, anche se hai fatto tutto correttamente.

Il percorso: Il tuo server → Server dell'università → Gmail. Il controllo: Gmail valuta l'ultimo passaggio. Non puoi correggere gli errori di inoltro con SPF, perché SPF autorizza solo l'IP di invio originale. Non appena interviene un servizio di inoltro, il controllo dell'IP non funziona più.

La correzione giusta è DKIM. DKIM firma crittograficamente il corpo e le intestazioni del messaggio. Il servizio di inoltro di solito non modifica il corpo, quindi la firma DKIM sopravvive al passaggio. Anche con un errore SPF, una firma DKIM valida consente al messaggio di superare DMARC.

Se gestisci l'inoltro a livello di infrastruttura e vuoi riscritture compatibili con SPF, è utile conoscere il Sender Rewriting Scheme (SRS). Questo meccanismo consente ai servizi di inoltro di riscrivere il mittente della busta affinché SPF venga superato alla destinazione finale. Per altri problemi di consegna legati all'inoltro, la guida alla configurazione e correzione dell'inoltro email illustra l'intero percorso diagnostico.

Verifica la correzione prima di continuare

Dopo aver aggiornato il record DNS, attendi la propagazione; in genere richiede da 5 a 30 minuti con la maggior parte dei provider, ma in alcuni casi può richiedere qualche ora. Verifica poi che la correzione sia stata effettivamente applicata prima di considerare concluso il lavoro.

Invia un'email di prova a un indirizzo Gmail e apri le intestazioni non elaborate. Cerca Authentication-Results. Questo è il risultato desiderato:

Authentication-Results: mx.google.com;
   spf=pass (google.com: domain of team@example.com designates
   192.0.2.55 as permitted sender)

Se vedi ancora spf=fail o spf=softfail, la correzione potrebbe non essersi ancora propagata oppure il record potrebbe avere ancora un problema. Confronta l'IP nelle intestazioni con quello nel record aggiornato. Devono corrispondere.

Puoi anche verificare direttamente il record:

dig +short txt yourdomain.com

Conferma che esista esattamente un record che inizia con v=spf1, che includa tutti i servizi di invio e che termini con -all (errore rigido) o ~all (errore lieve).

Gestire SPF su più domini

Per un solo dominio, gestire SPF è un'attività occasionale. Aggiungi gli include, unisci i duplicati e correggi il numero di ricerche. Ma se gestisci la posta di 10, 50 o 500 domini, ciascuno con il proprio record SPF e il proprio insieme di provider SaaS, diagnosticare manualmente ogni errore SPF diventa un vero onere operativo.

L'SMTP gestito di TrekMail, disponibile a partire dal piano Starter a $3.50/mo, riduce la configurazione a un solo include per dominio. TrekMail gestisce la rotazione degli IP, il monitoraggio dei mancati recapiti, l'allineamento DKIM e l'infrastruttura di consegna sottostante. Con il piano Agency ($23.25/mo), le agenzie applicano un modello DNS standardizzato a tutti i domini dei clienti, invece di cercare errori SPF in centinaia di record distinti.

Avvia una prova gratuita di 14 giorni per vedere come funziona in pratica la consegna gestita.

Errore SPF: in breve

Un errore SPF significa che il server destinatario ha controllato il DNS, ha scoperto che l'IP di invio non era elencato e ha applicato i tuoi criteri. Un errore rigido (-all) comporta il rifiuto. Un errore lieve (~all) porta spesso alla cartella spam. PermError significa che il record è errato e SPF non riesce per ogni mittente finché non correggi il record stesso.

Applica le correzioni in quest'ordine:

1. Trova l'IP che non supera il controllo nell'intestazione Authentication-Results
2. Aggiungi l'include mancante se un nuovo servizio ha causato l'errore SPF
3. Unisci i record SPF duplicati in uno
4. Riduci le ricerche DNS sotto 10 oppure separa i mittenti ad alto volume su sottodomini
5. Se SPF non riesce su email inoltrate, implementa DKIM; SPF non può sopravvivere a un relay

Parti dalla correzione giusta, verificala nelle intestazioni e il lavoro è concluso.