Configurazione del record SPF per Gmail: una guida pratica per Google Workspace

Per configurare SPF per Google Workspace, pubblichi un record TXT DNS sul dominio radice contenente v=spf1 include:_spf.google.com ~all. Il meccanismo include:_spf.google.com autorizza tutti i server di posta di Google a inviare per suo conto. Aggiunga ulteriori meccanismi include o ip4/ip6 per qualsiasi servizio di terze parti che invia anch’esso e-mail dal suo dominio, rimanendo entro il limite di 10 ricerche DNS definito dalla RFC 7208.

Secondo i requisiti di Google di febbraio 2024 per i mittenti di grandi volumi, qualsiasi dominio che invii più di 5.000 messaggi al giorno agli utenti di Gmail deve disporre dell’autenticazione SPF o DKIM e di una policy DMARC pubblicata di almeno p=none, il che rende una corretta configurazione SPF un requisito di conformità e non solo una buona pratica.

«Gli amministratori di Google Workspace ereditano spesso record SPF che contengono già 8-9 includes. Aggiungere _spf.google.com li porta oltre il limite di 10 ricerche e, all’improvviso, la posta legittima inizia a rimbalzare», afferma Brad Slavin, General Manager di AutoSPF. «La soluzione non è rimuovere i mittenti, ma appiattire il record in modo che ogni servizio resti autorizzato entro il limite della RFC 7208.»

Per istruzioni di configurazione che riguardano Google Workspace e decine di altre piattaforme, consulti la nostra Guida alla configurazione dei record SPF.

Il Sender Policy Framework (SPF) è un controllo di autenticazione della posta elettronica fondamentale che aiuta Gmail e gli altri provider a verificare quali server possono inviare posta per conto del suo dominio. Per le organizzazioni che utilizzano Google Workspace, un record SPF pubblicato correttamente migliora la deliverability delle e-mail, rafforza la sicurezza e supporta la protezione dei dati segnalando affidabilità ai sistemi riceventi e scoraggiando lo spoofing e il phishing.

Impatto sul business e sulla conformità

• L’autenticazione della posta elettronica riduce il rischio di impersonificazione e supporta gli obblighi legali e di conformità relativi alla conferma dell’identità e al controllo degli accessi. Integra DMARC e DKIM nell’ambito di una strategia di sicurezza a più livelli.

• Solide pratiche di gestione del dominio — come garantire che il record SPF sia corretto nel DNS — proteggono la reputazione del marchio e riducono il carico dell’help desk legato al supporto e alla risoluzione dei problemi.

• Gli amministratori possono utilizzare la Console di amministrazione di Google Workspace per configurare e gestire i servizi, verificare la configurazione e sfruttare report e monitoraggio per tenere traccia dell’allineamento dell’autenticazione, agevolando la preparazione agli audit.

Vantaggi operativi per gli amministratori

• Meno falsi positivi e un migliore posizionamento nella posta in arrivo con Gmail grazie a segnali di autorizzazione chiari.

• Una gestione degli utenti più semplice, soprattutto durante una migrazione dei dati o quando si distribuiscono app che inviano posta, perché le policy sono centralizzate nel DNS anziché distribuite sugli endpoint.

• Si allinea alle impostazioni di sicurezza per la gestione dei dispositivi e le app interne, riducendo al minimo i rischi di shadow IT derivanti da app e integrazioni non verificate.

Come funziona SPF: meccanismi, qualificatori ed elementi essenziali del record TXT DNS

SPF viene definito tramite un record TXT DNS sul dominio radice. I destinatari valutano il record SPF del dominio MAIL FROM per determinare gli esiti di superamento o fallimento. Se qualcuno dei meccanismi indicati di seguito le risultasse sconosciuto, il nostro glossario dei termini SPF li definisce.

Meccanismi SPF: gli elementi costitutivi

Tra i meccanismi comuni rientrano:

• a e mx: autorizzano gli host A o MX del dominio all’invio.
• ip4 e ip6: consentono intervalli di IP espliciti.
• include: delega al record SPF di un altro dominio (per esempio, quello di Google).
• exists e ptr: opzioni avanzate/legacy; da usare con parsimonia.
• all: un meccanismo generale che deve comparire per ultimo.

Qualificatori e semantica della policy

• + (pass) è implicito quando viene omesso.
• ~ (softfail) segnala «non autorizzato, ma accetta e contrassegna».
• - (fail) rifiuta immediatamente le fonti non autorizzate.
• ? (neutral) non formula alcuna asserzione.

La maggior parte delle organizzazioni inizia con ~all per ridurre le interruzioni, per poi passare a -all una volta completata la mappatura dei mittenti. Per un approfondimento sui diversi tipi di record SPF, consulti la nostra guida completa.

Elementi essenziali del record TXT DNS per gli amministratori

• Inserisca il record SPF nel DNS come un’unica stringa TXT che inizia con v=spf1.
• Rispetti il limite di 10 ricerche DNS considerando complessivamente include, a, mx, ptr ed exists.
• Mantenga il record al di sotto dei 255 caratteri per stringa (se necessario, utilizzi suddivisioni tra virgolette).
• Coordini le modifiche nel calendario delle modifiche della Console di amministrazione affinché gli amministratori sappiano quando i percorsi di posta vengono modificati.
• Utilizzi report e strumenti di monitoraggio per convalidare le modifiche e risolvere gli errori in modo proattivo.

Mappi i suoi mittenti: Google, piattaforme di terze parti e fonti di rete

Prima di configurare SPF, faccia un inventario di tutti i sistemi che inviano utilizzando il suo dominio. Questo è un elemento centrale della gestione del dominio e riduce la deriva man mano che app e integrazioni si evolvono.

Proprietari: Google e la sua rete

• Servizi Gmail e Google Workspace: li autorizzi con include:_spf.google.com.

Anche i servizi Google che inviano tramite Apps Script o un flusso di lavoro di un’applicazione cloud si autenticano tramite l’infrastruttura SPF di Google quando vengono instradati correttamente.

• Uscita della sua rete: se dispositivi o relay inviano direttamente, aggiunga meccanismi ip4/ip6. Documenti la titolarità della gestione dei dispositivi affinché la gestione degli utenti e l’IT sappiano chi mantiene tali IP.

App e integrazioni di terze parti

Molte app di terze parti inviano e-mail di sistema, avvisi o notifiche per suo conto. Alcuni esempi includono 15Five, 4me, Adaptive Insights, Adobe Acrobat Sign, Aha!, Amazon Business, servizi su Amazon Web Services, AppDynamics, Asana, Atlassian Cloud, Automox, BambooHR, Betterworks e molti altri. Per ciascuna di esse:

• Verifichi se forniscono un include SPF (preferibile) o se richiedono IP dedicati.
• Nell’amministrazione di Marketplace, gestisca le app di Marketplace e tenga traccia delle app installate dall’amministratore, delle richieste di accesso delle app e dello stato delle app di terze parti verificate.
• Adotti pratiche di OAuth 2.0 e SSO — SAML, SSO basato su SAML, app SAML integrate o un’app SAML personalizzata tramite un IdP di terze parti — per autorizzare l’accesso e controllare l’accesso delle app. Mantenga i certificati SAML, allinei le impostazioni SSO e monitori il flusso di accesso SSO.
• Configuri le app di terze parti con un elenco consentito di app, riveda periodicamente l’accesso delle app e abiliti la revoca automatica dei token dove supportata, per gestire l’accesso ai dati in modo responsabile.

Secondo un report Egress del 2025, il 94% delle organizzazioni ha subito incidenti di sicurezza legati alla posta elettronica negli ultimi 12 mesi, molti dei quali riconducibili a record SPF configurati in modo errato o mancanti per mittenti di terze parti aggiunti senza aggiornare il DNS.

Checklist per la governance delle integrazioni

• Mappi gli attributi personalizzati e lo schema utente per garantire l’identità del mittente corretta nelle notifiche.
• Confermi che le web app private o le app interne non inviino posta esterna a meno che non siano esplicitamente autorizzate.
• Documenti le policy nelle guide di formazione per un’amministrazione coerente e un supporto e una risoluzione dei problemi più rapidi.

Individui il suo host DNS e vi acceda: prerequisiti e autorizzazioni

Il suo record SPF risiede nel DNS. Si assicuri di sapere dove è ospitata la zona del suo dominio e chi ha i diritti per modificarla.

Identifichi il provider DNS e la zona di autorità

• Controlli la dashboard del suo registrar o provider di hosting, oppure interroghi i record NS per scoprire dove viene gestito il DNS. Molte organizzazioni utilizzano servizi DNS cloud come quelli offerti su Amazon Web Services.
• Valuti separatamente le esigenze relative ai sottodomini (marketing.example.com rispetto a example.com) e garantisca una gestione coerente del dominio tra le unità aziendali.
• Se i fornitori effettuano il provisioning di sottodomini o CNAME, si coordini con loro per evitare la frammentazione dell’SPF.

Confermi ruoli, accessi e controllo delle modifiche

• Si assicuri che un super amministratore e gli amministratori designati abbiano il controllo degli accessi sia al portale DNS sia alla Console di amministrazione.
• Allinei la titolarità della fatturazione e degli abbonamenti affinché le modifiche non si blocchino durante i rinnovi.
• Utilizzi una panoramica dell’implementazione e un ticket di modifica, pianifichi una finestra di manutenzione e preveda il monitoraggio della propagazione.

Igiene dei processi e osservabilità

• Registri ogni modifica al DNS; acquisisca i valori del record SPF prima e dopo.
• Utilizzi report e monitoraggio per verificare i risultati di autenticazione in Gmail dopo la modifica.
• Ove opportuno, convalidi gli impatti sulla sincronizzazione dei dati se le integrazioni riscrivono il MAIL FROM o instradano attraverso gateway diversi.

Costruisca il record di base per Google Workspace

Il punto di partenza più sicuro per la maggior parte dei tenant Google Workspace è pubblicare l’include di Google e il softfail. Se è alle prime armi, la nostra guida su come creare un record SPF illustra le nozioni di base. Questo autorizza Gmail e i principali mittenti di Google, consentendole al contempo di individuare eventuali ritardatari:

v=spf1 include:_spf.google.com ~all

Una volta mappati tutti i mittenti di terze parti e confermati i loro includes SPF, li aggiunga al record. Se supera il limite di 10 ricerche, valuti l’appiattimento SPF per risolvere gli includes annidati in indirizzi IP — oppure utilizzi AutoSPF per automatizzare l’appiattimento e mantenere il record conforme senza la gestione manuale del DNS.