Perché ispezionare un record SPF pubblicato?
Il record SPF (Sender Policy Framework) pubblicato nel tuo DNS definisce quali server possono inviare email per il tuo dominio. Ma una volta pubblicato, può cambiare senza che tu lo sappia: provider che modificano i loro include, limiti di lookup raggiunti, propagazione DNS incompleta.
Tre casi d'uso principali:
- Dopo la pubblicazione -> Verifica che il DNS restituisca il tuo SPF e gli include si risolvano
- Diagnosi di recapito -> Identifica perché i destinatari vedono SPF fail o permerror
- Audit periodico -> Rileva derive (lookup in aumento, include obsoleti)
Ispettore SPF vs Validatore di sintassi
| Criterio | Validatore di sintassi | Ispettore SPF |
|---|---|---|
| Quando usarlo | PRIMA della pubblicazione | DOPO la pubblicazione |
| Fonte dati | Testo incollato manualmente | DNS in tempo reale |
| Risoluzione include | No (solo sintassi) | Sì (ricorsivo completo) |
| Conteggio lookup | Stimato | Reale (con risoluzione) |
| Rilevamento errori DNS | No | Sì (NXDOMAIN, timeout, CNAME) |
Workflow consigliato:
- Scrivi il tuo SPF
- Valida la sintassi con il Validatore SPF
- Pubblica nel tuo DNS
- Ispeziona con questo strumento per confermare propagazione e conteggio reale
Cosa analizza esattamente l'ispettore?
Risoluzione DNS in tempo reale
L'ispettore interroga il DNS per recuperare:
- Tutti i record TXT del dominio
- Filtraggio dei record che iniziano con
v=spf1 - Rilevamento anomalie (SPF multipli, CNAME nel percorso)
Espansione ricorsiva degli include
Per ogni include: trovato, lo strumento:
- Risolve il dominio di destinazione
- Recupera il suo record SPF
- Conta il lookup nel budget di 10
- Ripete ricorsivamente fino ai meccanismi finali
Esempio di albero di risoluzione:
captaindns.com
├── include:_spf.google.com (1 lookup)
│ ├── include:_netblocks.google.com (2 lookup)
│ ├── include:_netblocks2.google.com (3 lookup)
│ └── include:_netblocks3.google.com (4 lookup)
└── include:servers.mcsv.net (5 lookup)
└── ip4:205.201.128.0/20 (nessun lookup)
Diagnostica restituita
| Codice | Descrizione | Severità |
|---|---|---|
lookup_no_spf | Nessun record SPF trovato | Errore |
lookup_bad_rcode | Errore DNS (NXDOMAIN, SERVFAIL) | Errore |
lookup_multiple_spf | Record SPF multipli | Errore |
lookup_limit_exceeded | Più di 10 lookup DNS | Errore |
lookup_cycle | Ciclo di riferimento rilevato | Errore |
void_lookup_limit_exceeded | Più di 2 risposte vuote | Errore |
permissive_all | Policy +all (autorizza tutti) | Avviso |
softfail_all | Policy ~all senza rafforzamento | Avviso |
Casi d'uso concreti
Caso 1: Verifica post-pubblicazione
Situazione: Hai appena pubblicato un nuovo SPF per captaindns.com.
Azione: Esegui l'ispezione per verificare:
- ✅ Il record è visibile nel DNS
- ✅ Tutti gli include si risolvono correttamente
- ✅ Il totale dei lookup resta sotto 10
Caso 2: Diagnosi di fallimento SPF
Sintomo: I destinatari vedono SPF fail sulle tue email.
Diagnosi: L'ispettore rivela:
- Il server di invio (IP 203.0.113.50) non è nello SPF
- L'include del provider è cambiato senza notifica
Azione: Aggiungere l'IP o aggiornare l'include.
Caso 3: Permerror misterioso
Sintomo: SPF permerror intermittente su alcuni destinatari.
Diagnosi: L'ispettore conta 11 lookup:
captaindns.com: 11 lookup (limite: 10)
├── include:_spf.google.com (4 lookup)
├── include:spf.protection.outlook.com (3 lookup)
├── include:amazonses.com (2 lookup)
└── include:sendgrid.net (2 lookup)
Azione: Sostituire alcuni include con ip4/ip6 diretti, usare un sottodominio dedicato o appiattire il tuo SPF con lo SPF Flattener.
Caso 4: Audit di sicurezza periodico
Situazione: Audit trimestrale della configurazione email.
Verifica:
- Lo SPF usa
-all(hard fail) non~all(soft fail) - Nessun include verso domini abbandonati
- I range IP corrispondono ai server attivi
- Il contatore di lookup ha margine di sicurezza (≤8 consigliato)
FAQ - Domande frequenti
D: Qual è la differenza tra l'ispettore SPF e il validatore di sintassi?
R: Il validatore di sintassi verifica un record SPF PRIMA della pubblicazione (offline, testo incollato). L'ispettore analizza un SPF GIÀ PUBBLICATO interrogando il DNS in tempo reale e risolvendo ricorsivamente tutti gli include.
D: Quanti lookup DNS sono consentiti per SPF?
R: La RFC 7208 limita la valutazione SPF a 10 lookup DNS. Ogni include, a, mx, ptr ed exists conta. L'ispettore mostra il totale reale dopo la risoluzione ricorsiva.
D: Perché il mio SPF mostra "permerror"?
R: Un permerror si verifica quando:
- Più di 10 lookup DNS
- Ciclo di riferimento (A include B che include A)
- Sintassi non valida
- Più di 2 risposte DNS vuote
L'ispettore identifica la causa esatta.
D: Come risolve lo strumento gli include?
R: L'ispettore segue ogni include: ricorsivamente: recupera lo SPF del dominio di destinazione, conta il lookup e ripete fino ai meccanismi finali (ip4, ip6) o al limite.
D: Posso testare con diversi resolver DNS?
R: Sì. Scegli Google (8.8.8.8), Cloudflare (1.1.1.1) o un resolver personalizzato per verificare la propagazione e confermare che tutti i server vedano la stessa policy.
D: Cosa fare se l'ispettore non trova un SPF?
R: Verifica nella tua interfaccia DNS che:
- Esiste un record TXT
- Inizia con
v=spf1 - C'è un solo SPF (multipli = permerror)
- La propagazione DNS è completa (può richiedere fino a 48h)
D: L'ispettore valida anche la sintassi?
R: Sì, l'ispettore valida la sintassi di ogni SPF trovato. Ma per testare una bozza PRIMA della pubblicazione, usa il Validatore di sintassi SPF.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| Generatore SPF | Creare un record SPF con provider preconfigurati |
| SPF Flattener | Appiattire il tuo SPF per rispettare il limite di 10 DNS lookup |
| Validatore sintassi SPF | Testare la sintassi PRIMA della pubblicazione |
| Ispettore DKIM | Validare la tua firma DKIM |
| Ispettore DMARC | Configurare e testare la tua policy DMARC |
| Analizzatore intestazioni email | Diagnosticare SPF/DKIM/DMARC su un'email ricevuta |
Risorse utili
- RFC 7208 - Sender Policy Framework (specifica ufficiale SPF)
- Google - Configurare SPF (guida Google Workspace)
- Microsoft - SPF per Microsoft 365 (guida Outlook/M365)