Perché l'autenticazione e-mail è essenziale
Tre pilastri che si completano
SPF indica quali server possono inviare per il tuo dominio. La regola è pubblicata in un record TXT all'apice. Configurato bene, limita lo spoofing; troppo permissivo, lascia passare gli abusi.
DKIM firma i messaggi. La chiave pubblica risiede in un TXT sotto selector._domainkey. Una firma valida prova che il messaggio non è stato modificato e indica quale dominio lo ha firmato.
DMARC collega l'indirizzo visibile a SPF e DKIM. Se SPF o DKIM supera il controllo ed è allineato con il dominio del mittente, il messaggio è considerato conforme. La policy decide poi il trattamento in caso di fallimento: osservazione, quarantena o rifiuto.
Cosa vede il server destinatario
All'arrivo, il server legge i tuoi record DNS e aggiunge un'intestazione Authentication Results. Troviamo spf pass o fail, dkim pass o fail, dmarc pass o fail con il dominio valutato. Questa intestazione è la tua verità operativa: conferma l'effetto reale delle configurazioni, oltre la teoria.
Cosa cambia con BIMI
BIMI non è un filtro antispam. Mostra un logo validato quando DMARC è presente con una policy applicata. Il logo viene richiesto tramite un record DNS dedicato e, talvolta, un certificato VMC. Risultato semplice: il destinatario riconosce meglio il tuo brand e individua più velocemente un falso.
Errori più frequenti
- Due record SPF sullo stesso nome: vanno unificati in un solo valore.
- Uno SPF che supera il limite di lookup: semplifica gli include.
- Selettore DKIM scritto male: la chiave diventa introvabile.
- Chiave pubblica troncata: la verifica fallisce in silenzio.
- DMARC senza allineamento: il messaggio passa sulla carta ma non protegge l'identità.
- Report DMARC inviati a una casella non monitorata: perdi osservabilità.
TTL e propagazione
La rete non "propaga" in senso stretto: mette in cache secondo il TTL. Un TTL breve aiuta durante un aggiornamento. Un TTL troppo breve nel tempo sovraccarica e complica la diagnosi. Un TTL medio stabilizza una configurazione validata. Riduci prima di una modifica, ripristina dopo.
Come utilizzare la toolbox CaptainDNS
Validator sintattici SPF DKIM DMARC
I validator leggono i record e spiegano ogni elemento.
SPF: ordine dei meccanismi, include, redirect, presenza di all, conteggio delle query DNS, ip e domini inesistenti. Obiettivo: restare sotto il limite di dieci lookup ed evitare loop.
DKIM: lettura dei tag v, k, p, t, s. Controllo della lunghezza della chiave pubblica, rilevazione di tagli, caratteri non validi e promemoria sulle buone pratiche di rotazione.
DMARC: lettura dei tag v, p, sp, adkim, aspf, pct, rua, ruf. Verifica dell'allineamento scelto e validità degli indirizzi di report. I validator spiegano l'impatto reale di ciascun tag.
Ispettori live dei record
Gli ispettori risolvono il DNS e mostrano la risposta così come è visibile su Internet.
Ispettore SPF: espande la catena di include, mostra i domini chiamati e dove si supererebbe il limite di lookup.
Ispettore DKIM: risolve il selettore, estrae la chiave pubblica e verifica la coerenza del formato.
Ispettore DMARC: legge _dmarc.dominio, mostra la policy attiva, indirizzi rua e ruf e se la percentuale di applicazione è parziale.
Servono a verificare il presente, non la teoria. Ideali per un ticket o un deployment in produzione.
Audit deliverability e-mail
Il controllo legge MX, SPF, DKIM e DMARC insieme per rispondere a una domanda semplice: il dominio è pronto a inviare? Indica anche la causa più probabile di un fallimento: SPF troppo permissivo, chiave DKIM mancante, policy DMARC non applicata, allineamento strict che rompe un sottodominio, MX che punta a un CNAME.
Generatore record DMARC
Il generatore aiuta a creare record DMARC completi e conformi RFC.
- Configurazione dominio: input semplice con generazione automatica dell'hostname _dmarc.
- Policy flessibili: scelta tra none, quarantine e reject con gestione dei sottodomini.
- Reporting integrato: indirizzi rua/ruf con convalida e guida all'implementazione.
- Opzioni avanzate: allineamento DKIM/SPF, percentuali, intervalli e opzioni di fallimento.
Lo strumento genera il record completo pronto alla pubblicazione e indirizza all'ispettore per la verifica post-deployment.
BIMI operativo
Il validatore BIMI controlla la struttura del record, prova l'endpoint HTTPS del logo, verifica i requisiti Tiny-PS e scarica il VMC quando presente. Con una policy DMARC quarantine o reject garantisce la visualizzazione affidabile del logo nelle caselle compatibili.
Metodo consigliato per la produzione
- Documenta lo stato iniziale: catture DNS e esempi di Authentication Results.
- Riduci il TTL prima della modifica.
- Distribuisci uno SPF pulito e unico. Verifica live con l'ispettore.
- Pubblica la chiave DKIM su un nuovo selettore. Testa la firma in uscita.
- Attiva DMARC con p=none, analizza i report, correggi e poi applica.
- Aggiungi BIMI quando DMARC è applicato e logo/VMC superano la validazione.
- Ripristina un TTL confortevole quando tutto è stabile.
Monitoraggio e quotidianità
Le configurazioni evolvono con provider, sottodomini, microservizi e campagne spot. Mantieni un ciclo semplice: controllo regolare, lettura dei report, rotazione delle chiavi, pulizia di include e selettori obsoleti. Ogni modifica deve lasciare traccia: data, autore, valore precedente, nuovo valore, motivo. Ogni diagnosi diventa più rapida.
In sintesi, la toolbox di autenticazione e-mail consente di convalidare la sintassi, verificare la risposta reale, preparare una policy DMARC davvero applicata e attivare un BIMI pulito. Evidenze chiare, passi semplici, messaggi recapitati e identità protetta.