Esempi di record SPF pronti da copiare

La maggior parte degli esempi di record SPF disponibili online è troppo semplificata oppure carica di casi particolari poco rilevanti. Servono invece modelli adatti alla produzione per le tre configurazioni che coprono il 95% dei domini. Un record TXT che inizia con v=spf1 e termina con -all. In caso di errore, destinatari come Google e Microsoft possono rifiutare i messaggi con errori SMTP poco chiari, come 550 5.7.26.

Di seguito trovi i modelli. Scegli lo scenario adatto, incolla il record e passa agli aspetti che richiedono davvero attenzione.

Modelli di record SPF per ogni configurazione di invio

Un buon esempio deve corrispondere all'infrastruttura reale, non a una configurazione ipotetica con sei strumenti SaaS. I tre scenari seguenti coprono domini con un solo mittente, configurazioni ibride e strutture complesse con più mittenti. Ogni modello è pronto per essere pubblicato come record DNS TXT sul dominio principale.

Scenario 1: mittente singolo (un provider gestisce tutto)

Tutte le email vengono inviate tramite una sola piattaforma. È la configurazione più semplice e in genere quella preferibile.

TrekMail (piano Starter, Pro o Agency):

v=spf1 include:spf.trekmail.net -all

Google Workspace:

v=spf1 include:_spf.google.com -all

Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Un include e un -all. Nient'altro. Viene usata 1 query DNS delle 10 consentite.

Scenario 2: mittente ibrido (casella + servizio transazionale)

Usi un provider principale per la casella e un servizio separato per i messaggi transazionali o di marketing. È comune con il piano Nano di TrekMail, che usa un SMTP proprio, o quando si aggiunge uno strumento come Amazon SES o Mailchimp.

TrekMail Free + Amazon SES:

v=spf1 include:amazonses.com -all

Google Workspace + Mailchimp:

v=spf1 include:_spf.google.com include:servers.mcsv.net -all

Due inclusioni e due query, oltre alle eventuali query annidate attivate dai provider. Il totale resta entro i limiti.

Scenario 3: più mittenti (rischio elevato)

Questo esempio copre posta aziendale, CRM, assistenza e piattaforma HR, tutti autorizzati su un dominio. È qui che tendono a emergere i problemi.

v=spf1 include:spf.trekmail.net include:hubspot.com include:mail.zendesk.com include:spf.bamboohr.com -all

Sulla carta ci sono quattro inclusioni, ma ogni include può contenere query annidate. HubSpot da solo può aggiungerne altre 3-4. Se la catena totale supera 10, i destinatari restituiscono PermError e considerano il messaggio non autenticato. Se la tua struttura è simile, la sezione seguente sul limite è indispensabile.

Come funziona la sintassi SPF: gli elementi importanti

SPF è un elenco di autorizzazioni basato sul DNS e definito nella RFC 7208. Indica ai server destinatari quali indirizzi IP possono inviare posta per il tuo dominio. Ecco i componenti presenti in un esempio reale:

Per la procedura completa, inclusi gli strumenti di convalida e i rischi dell'appiattimento, consulta la nostra guida alla configurazione del record SPF.

Il limite di 10 query: dove molti record SPF falliscono

La RFC 7208 limita le query DNS a 10 per ogni valutazione SPF. La regola aiuta a prevenire attacchi denial of service, ma costituisce anche un limite importante per le aziende in crescita.

Questi meccanismi consumano 1 query ciascuno: include, a, mx, redirect, exists, ptr (obsoleto, non usarlo).

Questi non ne consumano: ip4, ip6, all.

Le query sono ricorsive. Aggiungendo include:bluehost.com usi 1 query. Se il record SPF di Bluehost contiene include:spf.protection.outlook.com, la query annidata conta per il tuo limite. Con 3-4 provider che usano inclusioni annidate puoi già superare 10.

Il limite delle query vuote, spesso ignorato

La RFC 7208 §11.1 aggiunge un limite secondario: al massimo 2 query DNS senza risultati, NXDOMAIN o risposta vuota. Un errore in include:spf.trekmaill.net, con una 'l' in più, consuma 1 query vuota. Due errori fanno fallire l'intero record.

Correggere il limite senza appiattire il record

Prima di ricorrere all'appiattimento del record SPF, valuta alternative più semplici. L'appiattimento, che risolve le inclusioni in IP grezzi, è fragile: gli IP possono cambiare e il record diventa obsoleto. I due approcci seguenti sono in genere più sostenibili.

Usa i sottodomini per separare i mittenti

Non concentrare tutti gli strumenti nel dominio principale. Ogni sottodominio dispone di un nuovo limite di 10 query.

• Posta aziendale: @company.com, solo il provider principale (TrekMail, Google, ecc.)
• Marketing: @news.company.com, Mailchimp, HubSpot
• Assistenza: @support.company.com, Zendesk, Freshdesk

Questa strategia permette di crescere. Se gestisci più domini o account cliente, la segmentazione mantiene ogni record SPF essenziale e verificabile. Isola inoltre la reputazione del dominio, evitando che una campagna problematica penalizzi la posta transazionale.

Sostituisci le query DNS con meccanismi IP

Se disponi di un server di posta con IP statico, indica direttamente l'IP invece di usare un meccanismo a.

Consuma 1 query:

v=spf1 a:mail.company.com -all

Consuma 0 query:

v=spf1 ip4:192.0.2.55 -all

Ogni ip4 o ip6 usato in sostituzione libera una query per gli strumenti SaaS che richiedono include.

Errori SPF critici che compromettono la consegna

Errore 1: due record SPF sullo stesso dominio

È uno degli errori più comuni. Non puoi pubblicare due record TXT che iniziano con v=spf1 sullo stesso dominio. Entrambi restituiranno PermError.

Errato:

TXT: v=spf1 include:_spf.google.com -all
TXT: v=spf1 include:spf.trekmail.net -all

Corretto:

TXT: v=spf1 include:_spf.google.com include:spf.trekmail.net -all

Uniscili sempre in un solo record. Per capire il motivo e seguire un esempio completo, consulta record SPF per email. La nostra guida alla configurazione del record SPF illustra l'intero processo dall'inizio.

Errore 2: usare +all

Non usare mai +all. Questo valore autorizza tutto e comunica ai server che chiunque può inviare messaggi a nome del tuo dominio. Usa sempre -all (HardFail).

Errore 3: affidarsi solo a SPF per la posta inoltrata

SPF confronta l'IP di invio con il dominio del mittente della busta. Quando un messaggio viene inoltrato, l'IP cambia ma il mittente della busta no. Di conseguenza, SPF fallisce.

Per questo esiste DKIM: firma il contenuto e può resistere all'inoltro. Se dipendi da mailing list o dall'inoltro email, SPF da solo non basta. Servono DKIM e, preferibilmente, una politica DMARC che accetti uno dei due. Il Sender Rewriting Scheme (SRS) completa il processo riscrivendo il mittente della busta affinché SPF riesca al passaggio successivo.

Come TrekMail semplifica la gestione di SPF

Gestire i record DNS per un dominio è laborioso. Su 50 o 100 domini cliente, gli errori possono accumularsi.

L'approccio di TrekMail dipende dal piano:

• Free ($0/mo, senza carta): SMTP proprio. Includi il record SPF del tuo provider. Controllo completo e costo zero.
• Starter ($3.50/mo) e Pro ($10/mo): SMTP gestito. Aggiungi include:spf.trekmail.net e gestiamo l'infrastruttura IP sottostante. Quando cambiano i server, il DNS resta invariato.
• Agency (.25/mo): Lo stesso SMTP gestito, progettato per più domini. Applica un modello SPF standardizzato ai domini cliente. Una sola inclusione conserva un buon margine per gli altri strumenti.

Tutti i piani a pagamento includono una prova gratuita di 14 giorni, con carta richiesta. La procedura guidata SPF/DKIM/DMARC accompagna la configurazione DNS e segnala gli errori prima della produzione.

Lista di controllo SPF

Tutti gli esempi di questa guida seguono gli stessi principi. Un buon record SPF rimane semplice se si evita complessità inutile. Ecco la sequenza di verifica:

1. Conta le query. Esegui dig TXT yourdomain.com o usa un validatore SPF. Se superi 10, il record sta già fallendo.
2. Unisci i record duplicati. Un dominio, un record v=spf1.
3. Separa i mittenti ad alto volume. Sposta gli strumenti di marketing e assistenza sui sottodomini.
4. Sostituisci i meccanismi a con ip4 quando disponi di server statici.
5. Termina con -all. Senza eccezioni.

Se preferisci evitare completamente la modifica del DNS, il piano gratuito di TrekMail offre un sistema email funzionante senza costo iniziale. I piani a pagamento gestiscono l'infrastruttura SPF.