SPF, DKIM e DMARC per Google Workspace: passo dopo passo
Questa è la versione applicata, da fare in quest'ordine — se prima vuoi capire cosa fanno davvero SPF, DKIM e DMARC, leggi quelle guide. Questa copre solo i record e i clic specifici di Google Workspace.
SPF per Google Workspace
Aggiungi un singolo record TXT alla radice del tuo dominio:
v=spf1 include:_spf.google.com ~all
Se invii posta anche da altri servizi (un CRM, un help desk, uno strumento di marketing), aggiungi i loro include a questo stesso record — un dominio può avere un solo record SPF, quindi un secondo non aggiunge copertura, rompe solo la validazione.
DKIM per Google Workspace
- Nell'Admin Console, vai su Apps → Google Workspace → Gmail → Autentica email
- Genera un nuovo record — scegli una chiave a 2048 bit se disponibile; è l'opzione più robusta e Google la supporta
- Google ti fornisce un record TXT: un hostname (il selector, qualcosa come google._domainkey) e un valore lungo
- Aggiungi esattamente quel record TXT al tuo DNS
- Torna nell'Admin Console e clicca su "Avvia autenticazione" — aggiungere solo il record DNS non attiva la firma DKIM
DMARC per Google Workspace
Il DMARC non si configura affatto dentro Google Workspace — è un normale record TXT DNS a _dmarc.tuodominio.com. Inizia con p=none per monitorare senza influire sulla consegna, e consulta la nostra guida al DMARC per scegliere gli indirizzi rua e passare a una policy più rigida.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Verificare tutti e tre
Una volta pubblicati i record e avviata l'autenticazione DKIM, un controllo di sicurezza email conferma che SPF, DKIM e DMARC risolvono e sono allineati correttamente.
Errori che rompono questa configurazione
- Un record SPF residuo di un precedente provider di posta, che crea due record TXT SPF invece di uno unito
- Aggiungere il record TXT DKIM ma non cliccare mai su "Avvia autenticazione" nell'Admin Console — Google non firma la posta in uscita finché non lo fai
- Controllare lo stato DKIM subito dopo aver aggiunto il record, prima che il DNS si propaghi — il controllo di Google stesso può fallire per motivi che non hanno nulla a che fare con un record sbagliato
Verifica la tua configurazione
Vedi la teoria in pratica: esegui Verifica della sicurezza e-mail sul tuo dominio.