SPF, DKIM e DMARC per Microsoft 365: passo dopo passo
Questa è la versione applicata, da fare in quest'ordine, per Microsoft 365 — se prima vuoi capire cosa fanno davvero SPF, DKIM e DMARC, leggi quelle guide. Questa copre solo i record e i passaggi del portale specifici di Microsoft.
SPF per Microsoft 365
Aggiungi un singolo record TXT alla radice del tuo dominio:
v=spf1 include:spf.protection.outlook.com -all
La documentazione di Microsoft usa come predefinito -all (hard fail) invece del ~all (soft fail) comune altrove — un punto di partenza più rigido, da conoscere prima di copiare un record dall'esempio di un altro provider.
DKIM per Microsoft 365 — due CNAME, non un TXT
A differenza dell'unico record TXT di Google, il DKIM di Microsoft 365 usa due record CNAME generati da Microsoft, ciascuno puntato a una chiave ospitata da Microsoft:
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Ottieni i due valori CNAME per selector1._domainkey e selector2._domainkey dal portale Microsoft Defender (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM), o tramite il cmdlet PowerShell Set-DkimSigningConfig
- Aggiungi entrambi i record CNAME esattamente come indicato
- Attiva la firma DKIM per il dominio nella stessa schermata del portale Defender — come per Google, pubblicare solo i record non attiva la firma
DMARC per Microsoft 365
Come ovunque: un record TXT a _dmarc.tuodominio.com, pubblicato direttamente nel DNS invece che tramite un'interfaccia specifica di Microsoft. Inizia con p=none — consulta la nostra guida al DMARC per il percorso completo.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Verificare tutti e tre
Una volta pubblicato ogni record e attivata la firma DKIM, un controllo di sicurezza email conferma che SPF, DKIM e DMARC risolvono e sono allineati correttamente.
Errori che rompono questa configurazione
- Aggiungere solo uno dei due record CNAME richiesti — servono entrambi, e l'assenza di uno impedisce a DKIM di validare
- Pubblicare i record CNAME ma non attivare mai la firma DKIM nel portale Defender
- Configurazioni Exchange ibride dove parte della posta passa per server on-premise non coperti dal meccanismo include:spf.protection.outlook.com, richiedendo l'aggiunta dei loro IP al record SPF
Verifica la tua configurazione
Vedi la teoria in pratica: esegui Verifica della sicurezza e-mail sul tuo dominio.