Autenticazione email
L'autenticazione email è l'insieme di standard basati su DNS che permettono ai server di posta riceventi di verificare che un messaggio provenga davvero dal dominio da cui dichiara di arrivare — e di rifiutarlo quando così non è. Tre standard fondamentali svolgono il compito: SPF autorizza quali server possono inviare per il tuo dominio, DKIM aggiunge una firma crittografica che dimostra che un messag
L’autenticazione email è l’insieme di standard basati su DNS che permettono ai server di posta riceventi di verificare che un messaggio provenga davvero dal dominio da cui dichiara di arrivare — e di rifiutarlo quando così non è. Tre standard fondamentali svolgono questo compito: SPF autorizza quali server possono inviare per conto del tuo dominio, DKIM aggiunge una firma crittografica che dimostra che un messaggio non è stato alterato, e DMARC collega entrambi all’indirizzo From visibile e indica ai destinatari cosa fare quando un controllo fallisce.
Insieme, SPF, DKIM e DMARC trasformano un protocollo aperto e privo di fiducia in uno in cui i provider di posta possono distinguere la tua posta legittima dagli spoofing. Questo hub spiega cosa dimostra ciascuno standard, come si combinano in un unico verdetto stratificato e dove approfondire ognuno di essi.
Perché esiste l’autenticazione email
SMTP, il protocollo che trasporta praticamente tutte le email, è stato progettato in un’epoca di fiducia reciproca. Non ha alcun meccanismo integrato per verificare che il mittente sia chi dichiara di essere. Chiunque può connettersi a un server di posta e impostare l’indirizzo From su qualsiasi valore — la tua banca, il tuo CEO o il tuo stesso dominio. Nulla nel protocollo di base lo impedisce.
È esattamente questa lacuna che gli aggressori sfruttano. Lo spoofing delle email falsifica l’indirizzo del mittente per far sembrare legittimo un messaggio, e le campagne di phishing vi si appoggiano per rubare credenziali, dirottare fatture o installare malware. L’autenticazione email colma la lacuna pubblicando segnali verificabili nel DNS — segnali che un falsario non può contraffare senza il controllo del tuo dominio e delle tue chiavi private. Quando questi segnali sono presenti e applicati, la posta contraffatta viene rilevata e rifiutata prima di raggiungere una casella di posta.
SPF, DKIM e DMARC in breve
Ogni standard risponde a una domanda diversa e ognuno risiede in un luogo diverso. Ecco come si allineano.
| Standard | Cosa dimostra | Dove risiede |
|---|---|---|
| SPF | Il server che si connette è autorizzato a inviare per il tuo dominio | Un record TXT nel DNS del tuo dominio |
| DKIM | Il messaggio contiene una firma crittografica valida e non è stato alterato in transito | Un header di firma sul messaggio, verificato con una chiave pubblica nel DNS |
| DMARC checker | SPF e/o DKIM superano il controllo e sono allineati con il dominio From visibile, più una policy per i fallimenti | Un record TXT nel DNS, applicato dal destinatario |
SPF e DKIM validano ciascuno un pezzo del puzzle. DMARC è il livello che decide se questi pezzi proteggono effettivamente l’indirizzo che i tuoi destinatari vedono.
Come i tre lavorano insieme
I tre standard formano un controllo stratificato che un server ricevente esegue su ogni messaggio.
Innanzitutto, SPF esamina l’indirizzo IP che si è connesso e verifica se il record SPF del tuo dominio lo autorizza a inviare. Questo valida la busta — il server, non il messaggio.
In secondo luogo, DKIM verifica la firma crittografica allegata al messaggio rispetto alla chiave pubblica pubblicata nel tuo DNS. Una firma valida dimostra che il corpo del messaggio e gli header chiave non sono stati manomessi dopo la firma.
In terzo luogo, DMARC collega entrambi i risultati al dominio che i tuoi destinatari vedono effettivamente nel campo From. Richiede l’allineamento: il dominio che ha superato SPF o DKIM deve corrispondere al dominio From. Questo conta perché un falsario può facilmente superare SPF o DKIM per un dominio che lui controlla — l’allineamento è ciò che forza il controllo sul tuo dominio.
Fondamentale: DMARC ha bisogno che almeno uno tra SPF o DKIM superi il controllo e sia allineato. DMARC da solo non autentica nulla; è il livello di policy e allineamento che dà mordente a SPF e DKIM. Quando l’allineamento fallisce, DMARC applica l’enforcement che hai pubblicato: none (solo monitoraggio), quarantine (invia allo spam) o reject (rifiuta il messaggio del tutto). Passare da none a reject è il modo per passare dall’osservare gli spoofing al bloccarli.
Confrontarli uno a uno
Poiché i tre standard si sovrappongono nello scopo ma differiscono nel meccanismo, è utile confrontarli a coppie. Ogni guida qui sotto approfondisce un confronto — cosa dimostra ciascuno, in cosa differiscono e perché in genere servono entrambi.
- SPF vs DKIM — autorizzazione del server contro firma del messaggio.
- DKIM vs DMARC — firma contro allineamento e policy.
- SPF vs DMARC — autorizzazione del percorso contro enforcement.
Oltre i tre grandi
Due standard più recenti si basano su una fondazione autenticata.
BIMI (Brand Indicators for Message Identification) permette al tuo logo verificato di apparire accanto ai messaggi autenticati nelle caselle di posta che lo supportano. Funziona solo una volta che DMARC è applicato a quarantine o reject, quindi è una ricompensa per aver impostato correttamente le fondamenta, non un sostituto. Scopri di più nella guida BIMI.
MTA-STS (Mail Transfer Agent Strict Transport Security) protegge la posta in transito indicando ai server di invio di richiedere la crittografia TLS e rifiutare gli attacchi di downgrade che altrimenti esporrebbero i messaggi all’intercettazione. Dove SPF, DKIM e DMARC verificano il mittente, MTA-STS protegge la connessione stessa. Consulta la guida MTA-STS per la configurazione.
Impostare correttamente tutti e tre
Non devi indovinare se i tuoi record sono validi. Costruisci e verifica ogni livello con uno strumento dedicato: controlla la policy del mittente con lo SPF Checker, conferma che la tua firma sia pubblicata e correttamente analizzata con il DKIM Lookup, e valida allineamento e policy con il DMARC checker.
La cosa più comune che manda in silenzio in tilt una configurazione è un record SPF che supera il limite di 10 lookup. Ogni include, a, mx e redirect nel tuo record conta, e una volta superati i dieci lookup DNS, SPF restituisce un permerror — la posta legittima inizia a fallire l’autenticazione anche se il record sembra a posto. AutoSPF previene questo automaticamente appiattendo il tuo record in un insieme compatto e sempre valido di IP e mantenendolo sotto il limite man mano che i tuoi mittenti cambiano, così questa modalità di fallimento non si ripresenta mai.
Domande frequenti
Che cos’è l’autenticazione email?
L’autenticazione email è un gruppo di standard basati su DNS — principalmente SPF, DKIM e DMARC — che permettono ai server di posta riceventi di verificare che un messaggio provenga davvero dal dominio che dichiara di rappresentare. Poiché SMTP non ha una verifica del mittente integrata, questi standard pubblicano segnali che i falsari non possono contraffare, permettendo ai provider di posta di rilevare e bloccare i messaggi contraffatti o di phishing.
Qual è la differenza tra SPF, DKIM e DMARC?
SPF autorizza quali server possono inviare posta per il tuo dominio. DKIM aggiunge una firma crittografica che dimostra che un messaggio non è stato alterato in transito. DMARC collega entrambi i risultati all’indirizzo From visibile tramite l’allineamento e indica ai destinatari cosa fare quando i controlli falliscono. SPF e DKIM validano ciascuno un pezzo; DMARC li combina in una policy applicabile.
Ho bisogno di tutti e tre — SPF, DKIM e DMARC?
Sì. SPF e DKIM coprono ciascuno solo una parte del quadro, e DMARC richiede che almeno uno di essi superi il controllo e sia allineato prima di poter proteggere l’indirizzo che i destinatari vedono effettivamente. Saltare un livello qualsiasi lascia una lacuna: senza DMARC non c’è enforcement, e senza SPF o DKIM non c’è nulla con cui DMARC possa allinearsi.
Quale dovrei configurare per primo — SPF, DKIM o DMARC?
Inizia con SPF, poiché è il più semplice da pubblicare e gli altri livelli ne dipendono. Aggiungi poi DKIM in modo che i messaggi portino una firma verificabile. Distribuisci DMARC per ultimo, iniziando con la policy none per monitorare i report, poi stringi a quarantine e infine reject una volta confermato che la tua posta legittima supera il controllo e si allinea.