Che cos'è l'SPF? Sender Policy Framework spiegato

L'SPF (Sender Policy Framework) è un record DNS che indica quali server di posta sono autorizzati a inviare e-mail a nome del tuo dominio. Senza di esso, chiunque può falsificare messaggi che sembrano provenire dal tuo dominio.

SPF controlla il server che invia, DKIM controlla la firma e DMARC decide cosa succede quando uno dei due fallisce.

Come funziona l'SPF

Quando un server di posta ricevente riceve un'e-mail che dichiara di provenire da [email protected], interroga i record TXT del DNS di example.com e cerca un record SPF. Se l'IP del server mittente è elencato, l'e-mail supera l'SPF. Altrimenti fallisce.

L'e-mail arriva al server di posta del destinatario
Il server cerca nel DNS il record SPF del dominio mittente
Il server confronta l'IP mittente con il record SPF
Se l'IP è autorizzato, l'SPF passa. Altrimenti fallisce.
Il server ricevente applica la policy (~all, -all, ecc.)

Sintassi del record SPF

Un record SPF è un record TXT che inizia con v=spf1:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Nel dettaglio:

v=spf1 — Identificatore della versione SPF (sempre questo)
include:_spf.google.com — autorizza i server di posta di Google
include:sendgrid.net — autorizza i server di posta di SendGrid
~all — softfail per qualsiasi altro server

Meccanismi SPF

Mechanism	Example	Meaning
`ip4:`	`ip4:203.0.113.1`	Autorizza un indirizzo IPv4 specifico
`ip6:`	`ip6:2001:db8::1`	Autorizza un indirizzo IPv6 specifico
`include:`	`include:_spf.google.com`	Include la policy SPF di un altro dominio
`a`	`a`	Autorizza l'IP del record A del dominio stesso
`mx`	`mx`	Autorizza gli IP dei record MX del dominio

Qualificatori di all

Qualifier	Name	Meaning
`-all`	Fail	Rifiuta la posta dai server non autorizzati (rigido)
`~all`	Softfail	Accetta ma contrassegna come sospetta (consigliato)
`?all`	Neutral	Nessuna policy: da trattare come se l'SPF non esistesse
`+all`	Pass	Consenti tutti i server: pericoloso, non usarlo mai

Record SPF comuni per provider di posta

# Google Workspace
v=spf1 include:_spf.google.com ~all

# Microsoft 365
v=spf1 include:spf.protection.outlook.com ~all

# Mailchimp + Google Workspace
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

# SendGrid
v=spf1 include:sendgrid.net ~all

Limiti dell'SPF

Limite di 10 query DNS — l'SPF consente al massimo 10 query DNS (ogni include:, a, mx conta). Superarlo genera un PermError.
L'inoltro rompe l'SPF — Quando un'e-mail viene inoltrata, l'IP del server che la inoltra non è nel tuo record SPF, quindi l'SPF fallisce. Per questo serve anche DMARC con DKIM.
Un solo record SPF per dominio — Più record SPF generano un PermError. Uniscili in uno solo.

Domande frequenti

Mi serve l'SPF?

Sì. Senza SPF chiunque può inviare e-mail che sembrano provenire dal tuo dominio. L'SPF è la prima linea di difesa contro lo spoofing.

Dove aggiungo un record SPF?

Aggiungi un record TXT sulla radice del dominio (@) tramite il tuo provider DNS o registrar. Il valore è la stringa del record SPF.

Come faccio a sapere se il mio SPF funziona?

Use the verifica della sicurezza e-mail or the ricerca dei record TXT per vedere il tuo record SPF attuale.

Controlla il tuo record SPF →Avanti: come configurare DMARC →

Provalo sul tuo dominio

Vedi la teoria in pratica: esegui Verifica della sicurezza e-mail sul tuo dominio.