Comprendere i meccanismi SPF: a, mx, ip4 e include

SPF definisce 8 meccanismi nella RFC 7208 §5: all, include, a, mx, ptr, ip4, ip6 ed exists. I quattro che utilizzerà nel 95% dei casi sono ip4 (autorizza un indirizzo IPv4 o un intervallo CIDR specifico), a (autorizza i record A/AAAA del dominio), mx (autorizza i record MX del dominio) e include (delega la valutazione al record SPF di un altro dominio).

«La sintassi di SPF è ingannevolmente semplice», afferma Adam Lundrigan, CTO di DuoCircle. «v=spf1 seguito da meccanismi e da un qualificatore sembra lineare, ma la semantica di valutazione è sorprendentemente complessa: l’ordine dei meccanismi conta, vince la prima corrispondenza e la differenza tra ~all e -all ha conseguenze reali sulla consegna. Ogni settimana vediamo record in cui un meccanismo posizionato male sovrascrive silenziosamente la policy prevista».

Per un approfondimento su ogni meccanismo, qualificatore e modificatore SPF, consulti la nostra guida completa alla sintassi dei record SPF.

Ogni meccanismo ha un costo specifico in ricerche DNS che viene conteggiato ai fini del limite di 10 ricerche della RFC 7208:

• ip4 / ip6 – 0 ricerche (IP letterale, nessun DNS necessario)
• a – 1 ricerca
• mx – 1 ricerca più 1 per ogni host MX restituito (può esaurire silenziosamente il budget sui domini con molti MX)
• include – 1 ricerca più tutto ciò che il record SPF incluso consuma in modo ricorsivo
• exists – 1 ricerca
• ptr – 1 o più ricerche (e la RFC 7208 §5.5 raccomanda esplicitamente di NON utilizzarlo)

Questa guida illustra ciascuno dei quattro meccanismi di uso comune con la sintassi esatta, i casi limite (record A con più IP, host MX con molti record A, include ricorsivi) e come scegliere tra a/mx/ip4/include quando si dispone di più opzioni per lo stesso insieme di IP di invio. Se la manutenzione manuale le sembra noiosa, veda come funziona AutoSPF per automatizzarla.

Meccanismo «a»

Il meccanismo «a» in SPF indica ai server di posta riceventi che se il record A o AAAA di un determinato dominio punta all’indirizzo IP che invia l’email, allora quest’ultima va considerata legittima.

In sostanza, se un’email proviene da un IP elencato nei record A (ip4) o AAAA (ip6) del dominio e lei ha incluso il meccanismo «a», allora SPF viene superato.

Ad esempio: v=spf1 a -all

Quando dovrebbe utilizzare il meccanismo «a»?

Lo utilizzi quando:

• Il suo server di posta condivide lo stesso indirizzo IP del suo dominio (ad esempio, sito web e server di posta ospitati sullo stesso server).

• Ha una configurazione piccola e semplice e il suo IP di invio è direttamente legato al record A/AAAA del suo dominio.

• È certo che il record A del dominio rifletterà sempre l’IP del suo server di posta (questo è fondamentale).

Quando dovrebbe evitare il meccanismo «a»?

Eviti di utilizzare il meccanismo «a» quando:

• Non sa o non controlla a cosa punta il record A (ad esempio, se utilizza hosting di terze parti o CDN).

• Il suo sito web e il suo server di posta sono ospitati separatamente su indirizzi IP diversi.

• Desidera che il suo record SPF sia esplicito e facile da mantenere, utilizzando «ip4» o «include» per maggiore chiarezza.

Inoltre, se il record A del suo dominio dovesse mai cambiare (ad esempio durante una migrazione del server), potrebbe compromettere inavvertitamente SPF per le sue email in uscita senza accorgersene.

Meccanismo «mx»

In SPF, il meccanismo «mx» indica ai server riceventi che consente a qualsiasi server elencato nel record MX del dominio mittente di inviare email per conto del proprietario del dominio. In pratica risolve il record MX del dominio per ottenere i nomi host. Poi risolve i nomi host in indirizzi IP. Se l’indirizzo IP del mittente della sua email corrisponde a uno degli indirizzi IP elencati, il controllo SPF viene superato.

Quando dovrebbe utilizzare il meccanismo «mx»?

Utilizzi il meccanismo «mx» se le sue email vengono inviate attraverso gli stessi server di posta che ricevono le email per il suo dominio, ossia se i suoi server di posta in entrata e in uscita coincidono.

Casi comuni:

• Utilizza il servizio email del suo provider di web hosting o di dominio (come l’email di GoDaddy o Bluehost).

• Ha un server di posta on-premise (come Microsoft Exchange) che gestisce sia la posta in entrata che in uscita.

• La sua azienda utilizza una configurazione in cui lo stesso provider gestisce sia il flusso di posta in entrata che in uscita.

Quando dovrebbe evitare il meccanismo «mx»?

Non è ideale utilizzare il meccanismo «mx» se le sue email in uscita non passano attraverso i suoi server MX. Ecco i casi in cui ciò accade comunemente:

• Utilizza un servizio di invio email di terze parti (come Mailchimp, Google Workspace, Zoho, Salesforce, ecc.).

• Il suo dominio riceve email tramite un server (MX) ma le invia tramite un altro (relay SMTP o mittente basato su API).

• Non è sicuro di cosa puntino realmente i suoi record MX.

Tenga presente che se utilizza il meccanismo «mx», i suoi record MX devono essere ben aggiornati. Inoltre, controlli regolarmente gli IP a cui vengono risolti, poiché alcuni servizi li ruotano frequentemente o utilizzano CDN o bilanciatori di carico. Esiste quindi la possibilità di un record MX non funzionante.

Meccanismo «ip4»

Il meccanismo «ip4» viene utilizzato per autorizzare esplicitamente un indirizzo IPv4 (o un intervallo) a inviare email per conto del suo dominio.

Esempio:

v=spf1 ip4:192.0.2.0/24 -all

Questo indica ai server di posta: «Ehi, se un’email proviene da un qualsiasi IP nell’intervallo 192.0.2.0/24, è legittima per questo dominio».

Quando dovrebbe utilizzare il meccanismo «ip4»?

Il meccanismo «ip4» è indicato soprattutto quando:

• Gestisce il proprio server di posta e ne conosce l’IP.

• Utilizza un servizio (come un provider di web hosting o uno strumento CRM) che le fornisce un IP di invio fisso.

• Desidera inserire manualmente in lista consentita IP note e statiche invece di utilizzare il meccanismo include.

• Deve autorizzare in modo personalizzato un mittente di terze parti non coperto da un «include» SPF noto.

Come vantaggio aggiuntivo, aiuta anche a evitare ricerche DNS supplementari.

Quando dovrebbe evitare il meccanismo «ip4»?

È meglio essere prudenti:

• Se l’indirizzo IP è dinamico o cambia frequentemente, poiché SPF non si aggiorna automaticamente, potrebbe compromettere la consegna delle email.

• Quando utilizza grandi piattaforme di terze parti come Google Workspace o Mailchimp, queste forniscono già record «include».

Noti inoltre che aggiungere più voci «ip4» in un unico record può rendere il suo record SPF troppo lungo e più difficile da gestire.

Meccanismo «include»

Il meccanismo «include» le consente di autorizzare altri domini a inviare email per suo conto.

Quando dovrebbe utilizzare il meccanismo «include»?

Lo utilizzi quando un servizio di terze parti invia email utilizzando il suo dominio. Questo include:

• Piattaforme di email marketing (Mailchimp, SendGrid, Klaviyo, ecc.)

• Servizi di email transazionali (Amazon SES, Postmark, ecc.)

• Strumenti CRM o helpdesk (HubSpot, Intercom, Freshdesk)

• Servizi di sicurezza (come Proofpoint o Mimecast, se gestiscono la posta in uscita)

Quando dovrebbe evitare il meccanismo «include»?

Non è necessario evitare il meccanismo «include»; tuttavia, consideri questi punti per non abusarne:

• Ogni «include» si aggiunge al suo limite di 10 ricerche DNS, e superarlo genera un errore di troppe ricerche DNS.

• Le istruzioni «include» annidate provenienti da altri domini possono superare silenziosamente il limite.

• Non includa mai domini che non controlla o di cui non si fida pienamente.

Se ha utilizzato troppe istruzioni «include» e il suo record SPF ha già superato il limite di ricerche DNS, allora utilizzi il nostro strumento automatico di SPF flattening. Le sostituirà con gli indirizzi IP, riducendo al minimo la necessità di ricerche. Curioso di sapere quale approccio è adatto al suo dominio? Legga la nostra opinione su macro rispetto al flattening. Ci contatti per saperne di più sullo strumento o per ricevere assistenza su altri problemi legati a SPF.