Hai trovato un generatore di record SPF gratuito, selezionato tutte le opzioni, Google Workspace, Mailchimp e il tuo CRM, e incollato il risultato direttamente nel DNS. Due settimane dopo, Gmail respinge le fatture con 550 5.7.26. Outlook restituisce 550 5.7.515. La coda dell'assistenza è piena.
Il generatore ha prodotto un risultato con una sintassi valida. Non ha prodotto un record operativo. È proprio in questa differenza che la recapitabilità viene compromessa. Se stai ancora preparando l'intera configurazione DNS, parti dalla configurazione dell'email sul tuo dominio; SPF fa parte di un insieme più ampio con MX, DKIM e DMARC.
Questa guida spiega perché i generatori automatici falliscono in produzione, come verificarne il risultato in cinque minuti con strumenti che già possiedi e com'è fatto un record SPF pronto per la produzione.
Cosa fa davvero un generatore di record SPF
Un generatore di record SPF è uno strumento web che crea un record TXT DNS concatenando meccanismi include: specifici per ogni provider in base alle opzioni selezionate. Scegli i mittenti e ottieni una stringa. Lo strumento non interroga il DNS attivo, non conta le ricerche ricorsive e non sa quanti record SPF possiede già il dominio.
La maggior parte dei generatori gratuiti è poco più di un assemblatore di stringhe: produce qualcosa che sembra corretto senza verificarne il funzionamento nell'ambiente DNS reale. La sintassi è corretta. Questo non garantisce che lo sia anche il funzionamento.
I 3 tipi di errore ignorati da ogni generatore SPF
Ogni grave errore SPF in produzione deriva da uno di tre problemi. Un generatore standard non ne vede nessuno, perché opera senza accedere ai dati DNS attivi o alla logica di conteggio usata dai destinatari durante la valutazione.
1. PermError causato da un doppio record
Un dominio deve avere esattamente un record SPF. La norma RFC 7208 è esplicita: se il server destinatario trova due record TXT che iniziano con v=spf1, restituisce PermError, un errore permanente. Gmail e Yahoo trattano PermError come la completa assenza di SPF. Le tue email vengono respinte o spostate silenziosamente nello spam.
I generatori non controllano mai se esiste già un record. Se il dominio è attivo da più di qualche mese, probabilmente ne possiede già uno, creato dal registrar, dal provider precedente o da chi ha configurato Google Workspace tre anni fa. Pubblicare il risultato senza verificare crea un duplicato. Hai appena compromesso qualcosa che funzionava.
2. Il limite delle ricerche ricorsive
RFC 7208 limita la valutazione SPF a esattamente 10 ricerche DNS. Il conteggio comprende ogni include:, a, mx, exists e redirect, oltre a tutte le ricerche nidificate attivate da questi include. Un generatore conta i meccanismi selezionati. Non conta ciò che contengono.
| Provider selezionato | Conteggio del generatore | Ricerche effettive |
|---|---|---|
| Google Workspace | 1 | 4 (_netblocks.google.com nidificati, ecc.) |
| Zendesk | 1 | 2-3 |
| Mailchimp | 1 | 2 |
| Salesforce | 1 | 2-3 |
| Totale | 4 | 10-12 → PermError |
Il generatore mostra 4 ricerche. Il server destinatario arriva alla n. 11 e interrompe la valutazione. SPF non riesce per ogni messaggio del dominio. Nessun avviso nell'interfaccia, nessuna email di mancato recapito. Lo scopri dai clienti irritati.
3. Il limite delle ricerche senza risultato (RFC 7208 §11.1)
Esiste un vincolo secondario: non più di 2 query DNS possono restituire risultati vuoti (NXDOMAIN). Un solo errore di battitura in un include: crea una ricerca senza risultato. Due errori di questo tipo fanno fallire l'intero record SPF, anche se il controllo della sintassi del generatore lo ha approvato.
Esempio:
include:spf.trekmaill.net(una 'l' in più). La sintassi è valida. Il generatore lo segnala come corretto. Il server destinatario esegue una ricerca, non trova nulla e registra la ricerca vuota n. 1. Basta un secondo include errato perché l'intero record fallisca.
Come verificare il risultato prima di pubblicarlo
Prima di pubblicare qualsiasi risultato del generatore, esegui questi tre controlli sul DNS attivo. Richiedono cinque minuti e individuano tutti i problemi critici ignorati dallo strumento: record duplicati, profondità eccessiva delle ricerche e sintassi errata. La procedura funziona su macOS, Linux e Prompt dei comandi di Windows.
Passaggio 1: controlla se esiste già un record
Esegui questo comando prima di modificare il DNS:
nslookup -type=txt yourdomain.comSe vedi due righe che iniziano con v=spf1, hai un duplicato. Uniscile manualmente in un solo record prima di pubblicare qualcosa di nuovo.
# Broken - two records, PermError guaranteed:
"v=spf1 include:_spf.google.com -all"
"v=spf1 include:spf.trekmail.net -all"
# Fixed - merged into one:
v=spf1 include:_spf.google.com include:spf.trekmail.net -allPassaggio 2: conta le ricerche ricorsive
Consulta il contenuto di ogni include: presente nel record:
dig +short txt _spf.google.comRisultato:
"v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all"Questo solo include:_spf.google.com attiva 4 ricerche effettive. Ripeti l'operazione per ogni provider nel record e somma i risultati. Se il totale supera 10, devi ristrutturare l'insieme, di solito spostando le email transazionali su un sottodominio (send.yourdomain.com) con un record autonomo più breve.
Passaggio 3: verifica i meccanismi
Confronta la stringa prodotta dal generatore con questa tabella:
| Meccanismo | Stato | Azione |
|---|---|---|
ptr | Obsoleto | Eliminalo. RFC 7208 ne sconsiglia esplicitamente l'uso. È lento e inaffidabile. |
+all | Non sicuro | Eliminalo. Autorizza chiunque su Internet a inviare come il tuo dominio. |
ip4: 1.2.3.4 | Sintassi non valida | Rimuovi lo spazio. Deve essere ip4:1.2.3.4. |
?all | Debole | Evitalo. Criteri neutrali non offrono protezione dalla falsificazione. |
~all | Accettabile | SoftFail. Usalo solo durante le migrazioni, non come configurazione permanente. |
-all | Corretto | HardFail. I mittenti non autorizzati vengono respinti. Usalo in produzione. |
Lista di controllo della sintassi SPF
Che tu abbia usato un generatore per la prima bozza o scritto la stringa a mano, esamina questa lista prima di modificare il DNS. I controlli coprono ogni problema che un generatore non può rilevare, dai record duplicati e i limiti delle ricerche ricorsive fino agli indicatori di criteri non sicuri.
- Un record per dominio. Se esiste un duplicato, unisci i record. Non pubblicarne mai due.
- Inizia con
v=spf1. Nessuna variante. La stringa esatta. - Termina con
-allo~all. Mai con+allo?all. - Gli IP prima degli include. I meccanismi
ip4:eip6:non consumano ricerche DNS. Elencali per primi per velocizzare la valutazione. - Nessun riferimento a se stesso.
include:yourdomain.comcrea un ciclo infinito. Eliminalo. - Non appiattire manualmente gli IP senza un'automazione che li mantenga aggiornati. Se Google cambia gli IP e non aggiorni il record, la posta smette di funzionare senza avvisi.
- Ricerche totali ≤ 10. Contale tutte, compresi gli include nidificati.
Un record pronto per la produzione:
v=spf1 ip4:192.0.2.1 include:spf.trekmail.net include:_spf.google.com -allPrima gli IP (senza costo in ricerche), poi gli include e infine l'errore rigido. Tutto qui.
Perché agenzie e piccole imprese superano i limiti dei generatori SPF
Un generatore funziona per un solo dominio con uno o due mittenti. Quando la scala aumenta, con agenzie che gestiscono decine di clienti o piccole imprese con molti strumenti SaaS, diventa un rischio operativo ricorrente, senza visibilità centralizzata sulle ricerche o sui record duplicati dell'intero portafoglio.
Il vecchio metodo: un record SPF unico per cliente, ciascuno creato in una sessione diversa del generatore, senza traccia di controllo. Un dominio raggiunge il limite delle ricerche. Passano tre giorni prima che qualcuno se ne accorga. La reputazione di consegna del cliente ne risente.
Per una visione completa della protezione dell'infrastruttura email aziendale, consulta la guida sulla sicurezza dell'email aziendale, che illustra tutte le misure di base oltre al solo SPF.
Come TrekMail elimina il problema dei generatori SPF
La complessità di SPF deriva dalla gestione di più mittenti di terze parti e dal rispetto del limite di 10 ricerche. TrekMail elimina entrambi i problemi per l'infrastruttura email principale. Non devi quindi usare un generatore, contare le ricerche nidificate o verificare i meccanismi del dominio di invio principale.
Per le piccole imprese: un include, senza manutenzione
Con il piano Starter di TrekMail ($3.50/mo), la consegna in uscita passa dall'SMTP gestito di TrekMail. Il record SPF diventa una sola riga:
v=spf1 include:spf.trekmail.net -allTrekMail gestisce la rotazione degli IP e la reputazione del mittente dietro questo include. In genere non devi più modificare il record. Nessuna nuova sessione del generatore e nessun controllo delle ricerche sei mesi dopo, quando viene aggiunto un nuovo strumento SaaS.
Per le agenzie: un modello per ogni cliente
Il vecchio metodo: 100 clienti, 100 record SPF creati da 100 esecuzioni diverse del generatore, ciascuno con il proprio rischio di ricerche ricorsive. Ognuno può fallire senza avvisarti.
Il metodo TrekMail: un modello per tutti i domini dei clienti:
v=spf1 include:spf.trekmail.net -allCon il piano Agency ($23.25/mo), puoi gestire 1,000+ domini da un unico pannello. La standardizzazione dell'email aziendale su TrekMail elimina il problema delle ricerche ricorsive per il principale canale di comunicazione. Se stai ampliando una configurazione multidominio, scopri come l'hosting email multidominio cambia il modello di gestione.
Per conoscere l'intera configurazione DNS richiesta da TrekMail insieme a SPF, inclusi MX, DKIM e DMARC, la documentazione sui record DNS richiesti tratta tutti e quattro nello stesso punto.
Domande frequenti sui generatori di record SPF
Queste domande emergono quando la prima sessione con un generatore produce un record non funzionante. Tutte derivano dalla differenza tra la convalida sintattica, eseguita dal generatore, e quella operativa, che richiede l'ispezione del DNS attivo.
Posso usare due generatori per confrontare i risultati?
Puoi farlo, ma un secondo generatore non risolve il problema principale. Due strumenti diversi produrranno due stringhe diverse, e nessuno dei due rileverà i record duplicati nel DNS attivo o conterà con precisione le ricerche ricorsive. I passaggi CLI precedenti forniscono un controllo affidabile.
Il generatore dice che il record è valido. Perché le email vengono respinte?
Per un generatore SPF, "valido" significa che la sintassi è corretta, non che il record funziona nel tuo ambiente. Le due cause più comuni di questa differenza sono un record duplicato che provoca PermError o più di 10 ricerche ricorsive. Entrambe richiedono l'ispezione del DNS attivo, non la sola convalida del risultato in un'interfaccia.
Quando devo usare -all invece di ~all?
Usa -all (HardFail) in produzione: i mittenti non autorizzati vengono respinti. Usa ~all (SoftFail) soltanto durante una migrazione, quando non sei certo di aver elencato tutti i mittenti. È uno stato temporaneo, non un obiettivo. Un generatore che usa per impostazione predefinita ?all o +all privilegia l'apparenza di funzionamento rispetto alla reale recapitabilità.
In breve
Un generatore gratuito è un punto di partenza ragionevole per creare la stringa SPF, ma non una buona fase finale per la produzione. I tre problemi che ignora, record duplicati, eccesso di ricerche ricorsive ed errori di ricerche senza risultato, causano rifiuti silenziosi e PermError la cui diagnosi può richiedere ore.
La soluzione non è un generatore migliore. È un controllo di cinque minuti dalla CLI: cerca i record duplicati, conta le ricerche nidificate ed esamina i meccanismi. Poi pubblica.
Se preferisci evitare del tutto il processo del generatore, TrekMail consolida gli invii in uscita in un solo include:. Una riga nel DNS. Nessun calcolo delle ricerche. Nessun debug di PermError.
Avvia una prova gratuita di 14 giorni; è richiesta una carta di credito e puoi annullare in qualsiasi momento.
