Record SPF per email: configurazione dei domini aziendali

La tua e-mail è tornata indietro. Non è finita nello spam: il server l'ha rifiutata. Ha restituito 550 5.7.26 oppure 550 5.7.515 e il messaggio non è arrivato a destinazione. Una possibile causa è un record SPF per la posta elettronica assente o strutturalmente errato. Questi codici, da soli, non dimostrano però che SPF sia l'unico problema.

Da febbraio 2024, Google e Yahoo applicano requisiti di autenticazione che variano in base alla categoria e al volume del mittente. Un SPF errato può causare rifiuti o compromettere la consegna. È quindi opportuno verificarlo per qualsiasi dominio di posta aziendale, incluso il tuo.

Google: 550 5.7.26 - La posta non autenticata non viene accettata

Microsoft: 550 5.7.515 - Identità del mittente non autenticata

Questa guida va direttamente alla configurazione: esempi per il tuo ambiente, insidie poco evidenti nei record apparentemente corretti e un test su un invio reale. SPF è un elemento di un insieme di tre meccanismi. Per capire come si integra con DKIM e DMARC, consulta le basi della sicurezza della posta aziendale.

Che cos'è un record SPF per la posta elettronica?

Un record SPF è una voce TXT nel DNS che indica quali server possono inviare usando il dominio della busta SMTP. Quando arriva un messaggio a Gmail o Outlook, il server interroga il DNS e confronta l'IP di invio con le autorizzazioni. SPF restituisce un risultato come pass o fail; accettare, rifiutare o filtrare il messaggio dipende poi dalla politica del destinatario.

SPF verifica la busta SMTP, in particolare il dominio di MAIL FROM, non l'indirizzo «Da» visibile nella posta del destinatario. Il TXT va pubblicato su quel dominio, che può essere la radice (@) o un sottodominio usato per la busta. Per capire come si collegano le varie voci DNS, la guida alla configurazione della posta sul tuo dominio illustra il processo dall'inizio.

La regola del record unico

RFC 7208, la specifica SPF, prevede un solo record TXT che inizi con v=spf1 per ciascun dominio valutato. Se il server destinatario trova due record SPF, restituisce PermError. SPF non può essere valutato correttamente finché resta il duplicato, ma ciò non implica necessariamente il rifiuto di tutti i messaggi.

È un errore frequente quando si aggiunge un provider a un dominio che usa già Google Workspace o un altro servizio: qualcuno crea un secondo record invece di modificare quello esistente.

Controlla cosa è già pubblicato prima di apportare modifiche:

dig +short txt yourdomain.com

Conta le righe che iniziano con v=spf1. Se sono due, la valutazione restituisce PermError. Risolvi prima il duplicato.

Errato: questi due record causano PermError nella valutazione del dominio:

v=spf1 include:_spf.google.com -all
v=spf1 include:spf.trekmail.net -all

Corretto: unisci tutto in un solo record SPF:

v=spf1 include:_spf.google.com include:spf.trekmail.net -all

Il tuo SPF: la configurazione minima

Il contenuto esatto dipende dai server che inviano realmente la tua posta. Autorizza solo quelli che usi. Ogni include: aggiuntivo consuma il budget di valutazione e incorpora intervalli IP che non controlli.

Scenario A: SMTP gestito da TrekMail (piani Starter e Agency)

Se il tuo piano a pagamento TrekMail include la consegna gestita e questo è l’unico servizio che invia per il dominio della busta, questa riga può coprirlo. Verifica prima tutti i mittenti:

v=spf1 include:spf.trekmail.net -all

Scenario B: piano gratuito TrekMail (SMTP proprio)

Se il piano Nano permette di collegare il tuo provider SMTP, come Amazon SES, SendGrid o Mailgun, autorizza i suoi IP, non quelli di TrekMail:

v=spf1 include:amazonses.com -all

Sostituisci include:amazonses.com con il valore indicato nella documentazione del provider per la tua configurazione. Non autorizzare intervalli IP inutilizzati.

Scenario C: configurazione ibrida - TrekMail + Google Workspace

Stai migrando da Google o mantieni entrambi i servizi durante la transizione? Se inviano con lo stesso dominio della busta, uniscili in un record:

v=spf1 include:spf.trekmail.net include:_spf.google.com -all

Componenti del record

~all (soft fail) indica che un mittente probabilmente non è autorizzato, ma non garantisce la consegna. -all esprime una politica più severa senza obbligare il destinatario a rifiutare il messaggio. Prima di usarlo in produzione, verifica tutti i servizi di invio legittimi. ~all può essere una scelta temporanea durante una nuova configurazione o una transizione.

Il limite di 10 termini che richiedono il DNS

La specifica SPF (RFC 7208) limita a 10 i termini che attivano ricerche DNS durante la valutazione, non tutte le singole query DNS. Contano include:, a, mx e il modificatore redirect, compresi i termini valutati nelle politiche richiamate. ip4: e ip6: non contano. Oltre 10, la valutazione restituisce PermError.

È un problema facile da trascurare. Il record supera la verifica della sintassi perché la sintassi è corretta. Ma quando il destinatario percorre riferimenti annidati e il totale dei termini valutati supera 10, SPF restituisce un errore.

Cosa conta per il limite:

• include: (e i termini annidati effettivamente valutati)
• a, mx, redirect

Cosa non conta:

• ip4: e ip6:: gli IP espliciti evitano questa catena di ricerche
• all

Controlla il record prima di pubblicarlo e analizza anche i riferimenti:

dig +short txt yourdomain.com

Se la catena di riferimenti è lunga, puoi appiattire il record sostituendo include: con voci ip4: esplicite, a condizione di mantenere aggiornati gli intervalli quando cambiano. In alternativa, distribuisci gli invii su sottodomini della busta, ciascuno con il proprio budget.

Come convalidare il tuo SPF

Non fidarti soltanto degli indicatori verdi nel pannello DNS: una sintassi corretta non dimostra che la consegna funzioni. Prova SPF con una trasmissione SMTP reale. Vedrai il risultato calcolato da Gmail per quel messaggio, senza garanzie che finisca nella posta in arrivo.

1. Invia un'e-mail dal tuo dominio a un account Gmail che controlli.
2. Apri il messaggio in Gmail.
3. Fai clic sul menu con tre puntini → Mostra originale.
4. Cerca Authentication-Results.

Esempio di risultato positivo:

spf=pass (google.com: domain of team@yourdomain.com designates 192.0.2.1 as permitted sender)

permerror indica che la politica SPF non è stata valutata correttamente, non semplicemente che un IP non è autorizzato. Correggi duplicati, numero di termini e sintassi prima di modificare le autorizzazioni.

Errori SPF comuni

Molti problemi SPF derivano da cinque errori. Alcuni si correggono in meno di 10 minuti, anche se la propagazione DNS e le verifiche possono richiedere più tempo.

I refusi nel dominio sono particolarmente fastidiosi: un controllo della sintassi potrebbe non verificare che il riferimento porti a una politica SPF valida. Consulta sempre la documentazione del provider per il valore esatto.

Gestire SPF su più domini

Configurare SPF su un dominio può richiedere 10 minuti. Mantenerlo su 50 domini di clienti comporta un lavoro continuo. Ogni nuovo strumento di marketing può rendere incompleta l'autenticazione, e potresti scoprirlo solo quando il cliente ti chiede perché la posta torna indietro.

Per agenzie e fornitori di servizi gestiti, standardizzare aiuta. Se inclusi nel tuo piano, il pannello multidominio e la procedura guidata SPF/DKIM/DMARC di TrekMail facilitano configurazioni coerenti. I piani a pagamento pubblicizzati da $3.50/mese possono includere SMTP gestito: verifica prezzi e funzionalità attuali. Con il piano Nano, se supporta SMTP proprio, usi il tuo provider e gestisci la reputazione IP secondo le sue condizioni, una soluzione utile per account SES o Mailgun già preparati all'invio.

Un modello comune può semplificare la migrazione dei clienti a TrekMail, purché sia adattato ai mittenti effettivi di ciascun dominio. Per organizzare la posta su larga scala, consulta la gestione delle e-mail dei clienti per le agenzie. Per una nuova installazione, la guida per creare e-mail con il tuo dominio spiega l'intero processo.

Record SPF: checklist prima della pubblicazione

Prima di pubblicare, segui questo elenco nell'ordine:

1. Controlla i record esistenti: dig +short txt yourdomain.com, una sola riga v=spf1.
2. Identifica tutti i servizi che usano il dominio della busta: messaggi transazionali, marketing e strumenti di assistenza.
3. Scrivi un unico record che li copra tutti. Unisci, non duplicare.
4. Usa -all dopo un inventario completo; rivedi ~all ed evita +all.
5. Conta i termini che richiedono il DNS e mantieni margine sotto 10.
6. Pubblica il TXT sul dominio della busta, in @ se è la radice.
7. Invia un test a Gmail e consulta Mostra originale per verificare spf=pass.

Le linee guida Google per i mittenti distinguono le categorie di invio; i mittenti di grandi volumi devono configurare SPF, DKIM e DMARC. Un SPF corretto è il primo passo. DKIM e DMARC completano l'autenticazione, ma nemmeno l'esito positivo di tutti e tre garantisce la posta in arrivo.

Dopo aver configurato SPF, ricontrollalo quando cambi provider o quando cambiano i suoi requisiti. Un record errato può causare problemi di autenticazione e messaggi respinti. Prova TrekMail gratis se Nano resta disponibile senza carta di credito. I piani pubblicizzati da $3.50/mese e la prova gratuita di 14 giorni sono soggetti alle condizioni in vigore.