Configurare SPF: passaggi ed esempi dei provider

La configurazione del record SPF permette al server destinatario di verificare se un indirizzo IP è autorizzato a inviare usando il tuo dominio come mittente della busta. Non è necessariamente il primo controllo, né l'unico. Un errore SMTP 550 5.7.26 può segnalare un problema di autenticazione, ma non dimostra da solo che la causa sia SPF. Da febbraio 2024, Google e Yahoo applicano requisiti di autenticazione che dipendono dal tipo di mittente e dal volume di invio.

I problemi più comuni sono record duplicati, superamento del limite di 10 termini che richiedono interrogazioni DNS e scelta di un qualificatore finale inadeguato. Possono compromettere la consegna per giorni prima di essere individuati. E i messaggi di mancata consegna non sempre chiariscono il motivo.

Questa guida tratta la configurazione SPF: sintassi, esempi per TrekMail con SMTP gestito o esterno, pubblicazione DNS e verifica da riga di comando. Se non hai ancora configurato la posta del dominio, inizia con la guida per configurare l'email sul tuo dominio, poi torna qui per l'autenticazione.

A cosa serve SPF

SPF (Sender Policy Framework) pubblica in un record TXT DNS una politica per valutare gli IP autorizzati a inviare usando un'identità del tuo dominio. Il risultato dipende dai meccanismi e dai qualificatori, senza determinare da solo l'accettazione o il rifiuto del messaggio. Definito nella RFC 7208, SPF verifica l'identità MAIL FROM, cioè il mittente della busta, oppure HELO quando pertinente, non l'intestazione From visibile al destinatario.

Senza SPF, il destinatario non può consultare questa politica per verificare se l'IP sia autorizzato a usare il tuo dominio nella busta. Gli altri segnali di autenticazione restano importanti: SPF da solo non impedisce ogni falsificazione e non garantisce l'arrivo nella posta in arrivo.

La regola del record unico

Il nome interrogato per questa identità può avere un solo record SPF. Due record TXT che iniziano con v=spf1 causano un PermError; il destinatario decide come gestire l'errore. Un record TXT può contenere più stringhe tra virgolette, concatenate durante la valutazione. Conserva gli altri TXT di verifica: la regola non vieta altri record TXT nella zona. I duplicati possono comparire cambiando fornitore o aggiungendo uno strumento di marketing senza integrare le autorizzazioni esistenti.

Modifica o unifica il record SPF esistente prima di pubblicarne un altro. Durante una migrazione, conserva in un'unica politica i mittenti ancora attivi. Non eliminare prima il vecchio record: lasceresti un intervallo senza SPF.

Passaggio 1: censisci tutti i servizi che inviano con il tuo dominio

Prima di modificare il DNS, elenca i servizi che inviano come @yourdomain.com e verifica il dominio usato nel mittente della busta. Un mittente legittimo dimenticato può ottenere fail con una politica -all. Questa verifica può richiedere cinque minuti in un caso semplice, di più nelle infrastrutture complesse, e risparmiare ore di diagnosi.

Mittenti comuni da verificare:

• Posta aziendale: TrekMail, Google Workspace, Microsoft 365
• Messaggi transazionali: Amazon SES, SendGrid, Mailgun, Postmark
• Marketing: Mailchimp, HubSpot, Klaviyo, Brevo
• Strumenti SaaS: Zendesk, Freshdesk, Shopify, Intercom

Alcuni servizi usano un proprio dominio di ritorno, come bounce.mailchimp.com, e per quel flusso non devono comparire nel record SPF del tuo dominio. Altri consentono un dominio di ritorno personalizzato per l'allineamento DMARC. Consulta la documentazione del fornitore e le impostazioni dell'account prima di includerli o escluderli.

Passaggio 2: costruisci il record SPF

Un record SPF è una stringa TXT nel DNS. La struttura è sempre la stessa; cambiano i meccanismi. Ecco la funzione di ogni componente:

Passaggio 3: configurazione SPF per fornitore

Scegli lo scenario adatto alla tua infrastruttura. I record seguenti sono esempi: verifica le istruzioni attuali del fornitore e i valori del tuo account prima di pubblicarli. Se più fornitori usano la stessa identità, riunisci i meccanismi include in un solo record.

Scenario A: SMTP gestito di TrekMail (piani Starter e Agency)

Se il tuo piano TrekMail include SMTP gestito, questo è un esempio per quel servizio. Conferma il valore indicato nel pannello:

v=spf1 include:spf.trekmail.net -all

L'include rimanda agli IP di consegna gestiti da TrekMail. Aggiungi altri mittenti autorizzati, se li utilizzi.

Scenario B: SMTP esterno con TrekMail (piano gratuito o configurazione personalizzata)

Se usi TrekMail per ricevere la posta e colleghi un tuo fornitore SMTP per l'invio, autorizza gli IP di quel fornitore per il dominio effettivamente usato nel mittente della busta. Il messaggio può passare da TrekMail, ma la consegna finale avviene dagli IP del fornitore SMTP.

# Amazon SES
v=spf1 include:amazonses.com -all

# SendGrid
v=spf1 include:sendgrid.net -all

Scenario C: Google Workspace

v=spf1 include:_spf.google.com -all

Scenario D: Microsoft 365

v=spf1 include:spf.protection.outlook.com -all

Scenario E: configurazione ibrida (TrekMail e piattaforma di marketing)

Usi TrekMail per la posta del team e HubSpot per le campagne? Se entrambi richiedono autorizzazione sullo stesso dominio della busta, unisci i meccanismi. È proprio questo lo scopo della regola del record unico:

v=spf1 include:spf.trekmail.net include:456789.spf05.hubspotemail.net -all

L'include di HubSpot è specifico del tuo portale. Recuperalo dalle impostazioni DNS di HubSpot, senza copiare quello di questo esempio.

Passaggio 4: pubblica nel DNS

La configurazione richiede un unico record TXT SPF sul nome di dominio interessato. Accedi a Cloudflare, Namecheap, GoDaddy, Route 53 o al fornitore che ospita il DNS del dominio.

1. Tipo: TXT
2. Host/Nome: @ per il dominio principale, oppure campo vuoto secondo il fornitore
3. Valore: La stringa SPF completa, per esempio v=spf1 include:spf.trekmail.net -all
4. TTL: 3600 (1 ora)

Se esiste già un record SPF, modificalo per integrare la nuova politica. Non aggiungere un secondo SPF e non eliminare il primo prima di prepararne la sostituzione. Controlla il risultato: i duplicati producono PermError e possono compromettere la consegna.

Passaggio 5: verifica il record SPF

Non dare per scontato che la configurazione sia riuscita. Verificala da riga di comando. Queste interrogazioni mostrano la risposta del resolver utilizzato, che può avere dati in cache; non rappresentano necessariamente ciò che tutti i destinatari vedono in quel momento.

# Mac, Linux, or Windows PowerShell
nslookup -q=txt yourdomain.com

# Linux/Mac alternative
dig txt yourdomain.com +short

Controlla tre aspetti:

• Un solo record inizia con v=spf1; può apparire suddiviso in più stringhe tra virgolette
• Sono presenti tutti i meccanismi include necessari
• Termina con -all o ~all, secondo la politica scelta

Se trovi due record distinti che iniziano con v=spf1, uniscili conservando tutti i mittenti legittimi, poi rimuovi il duplicato.

Risolvere gli errori SPF più comuni

Molti problemi di configurazione SPF riguardano questi tre aspetti. Aiutano a orientare la diagnosi, ma non sostituiscono la lettura del messaggio completo di mancata consegna.

1. Il limite di 10 interrogazioni (PermError)

SPF consente di valutare al massimo 10 termini che richiedono interrogazioni DNS, compresi quelli nelle politiche annidate. Ogni include valutato conta, come i termini a, mx, exists, ptr e redirect pertinenti; i riferimenti del fornitore possono aggiungere altri termini. Non è un limite di 10 pacchetti DNS né soltanto del numero di fornitori. Superarlo genera PermError, e il destinatario può rifiutare il messaggio.

Sintomo: I validatori restituiscono PermError o "too many DNS lookups".

Soluzione: Sposta alcuni flussi, come quelli di Mailchimp o Zendesk, su un sottodominio come support.yourdomain.com, se il fornitore consente di usarlo come dominio del mittente della busta. Quel nome dispone di una propria politica e del relativo limite di 10 termini. Cambiare solo l'indirizzo visibile non basta; verifica anche l'allineamento DMARC.

2. Caselle personali Microsoft (550 5.7.515)

Il codice 550 5.7.515 riguarda i requisiti di autenticazione dei mittenti ad alto volume verso Outlook.com personale. Richiedono che SPF e DKIM riescano entrambi, oltre a DMARC con almeno uno dei due controlli allineato al From visibile. Il codice non dimostra che SPF sia valido né che la reputazione IP sia la causa: esamina la risposta completa e messaggi rappresentativi. In altri flussi, un solo controllo valido e allineato può bastare per DMARC. Consulta le basi della sicurezza per la posta aziendale per configurare DKIM e DMARC.

3. SoftFail (~all) e HardFail (-all)

~all restituisce SoftFail e ?all restituisce Neutral, non Fail. Dopo aver validato la configurazione e verificato tutti i mittenti, valuta il passaggio a -all, senza considerarlo una difesa completa contro la falsificazione.

Configurare SPF con TrekMail

Gestire il DNS e diagnosticare errori SMTP richiede tempo. Se disponibile nel tuo account, la procedura guidata SPF/DKIM/DMARC di TrekMail ti aiuta nella configurazione per SMTP gestito o esterno. Conferma i valori mostrati per il tuo dominio.

Per le agenzie che gestiscono decine di domini, una configurazione SPF coerente facilita i controlli. In base alle funzioni dell'account, il pannello multidominio di TrekMail mostra verifiche dei record DNS attesi. Non sostituisce la verifica crittografica DKIM né i test di SPF e allineamento DMARC su messaggi reali, e non prova l'arrivo nella posta in arrivo. Vedi hosting email per più domini e come creare email con un dominio personalizzato.

Il riferimento storico menziona Starter da $3.50 al mese con SMTP gestito, Nano gratuito senza carta né scadenza della prova, e una prova di 14 giorni per i piani a pagamento con carta richiesta. Nel modello Nano descritto, tutti gli invii, comprese le risposte, richiedono un proprio servizio SMTP esterno; l'invio gestito dei piani a pagamento dipende dai diritti del piano e dalla configurazione compatibile del client. Verifica prezzi, disponibilità e condizioni attuali prima di sottoscrivere. Scopri TrekMail e le opzioni di prova.

La checklist completa per configurare SPF

Prima di chiudere questa pagina, controlla questi sette passaggi. Una configurazione semplice può richiedere meno di 15 minuti, ma il censimento dei mittenti e l'aggiornamento delle cache DNS possono richiedere più tempo.

1. Hai elencato tutti i servizi che inviano con il tuo dominio
2. Hai confermato che esiste zero o un record SPF, non due
3. Hai costruito un'unica stringa v=spf1 che copre i fornitori necessari
4. L'hai pubblicata come TXT in @ per il dominio principale, con TTL 3600
5. Hai aggiornato o unificato il vecchio record senza lasciare un intervallo senza politica SPF
6. L'hai verificata con dig txt yourdomain.com +short
7. Hai confermato un solo record che inizia con v=spf1 e termina con -all quando previsto dalla tua politica

Semplifica la gestione della posta. Scopri come inviare con TrekMail.