SPF flattening su Cloudflare

Se il Suo dominio usa Cloudflare per il DNS, potrebbe chiedersi se Cloudflare possa appiattire per Lei un record SPF gonfio. La risposta breve è no: Cloudflare non offre un SPF flattening nativo. Cloudflare ospita i Suoi record DNS e li serve rapidamente attraverso la sua rete globale, ma tratta il Suo record SPF come un normale record TXT e non riscrive mai i meccanismi include: in indirizzi IP per Suo conto.

Ciò conta perché l’SPF ha un tetto rigido. Secondo l’RFC 7208, un controllo SPF è limitato a 10 ricerche di meccanismi DNS. Ogni include:, a, mx, ptr e redirect nel Suo record consuma ricerche, e anche gli include annidati contano. Superi quel limite e i server riceventi restituiscono un PermError — un errore permanente che rompe l’autenticazione per ogni messaggio dal Suo dominio, per quanto corretto sia il resto del record. L’SPF flattening è la soluzione: sostituisce i meccanismi include: pesanti in ricerche con gli indirizzi risolti ip4: e ip6:, riportando il record sotto il limite.

Questa guida illustra se Cloudflare appiattisce l’SPF (non lo fa), come appiattire un record che risiede sul DNS di Cloudflare, come pubblicare il record TXT appiattito nella dashboard di Cloudflare e come mantenerlo accurato automaticamente con AutoSPF.

Cloudflare offre un SPF flattening nativo?

No. Il prodotto DNS di Cloudflare è hosting DNS autoritativo — pubblica esattamente il contenuto TXT che inserisce. Non analizza il Suo record SPF, non risolve gli include e non li collassa in IP. Non esiste alcun interruttore, page rule o impostazione di Email Routing che esegua l’SPF flattening.

Cloudflare Email Routing inoltra la posta in entrata e aggiunge il proprio include SPF quando lo usa per inviare, ma non gestisce né appiattisce il Suo record SPF in uscita. Se la Sua stringa v=spf1 sta superando le 10 ricerche, Cloudflare servirà volentieri il record sovradimensionato e lascerà che i riceventi lo rifiutino. Il flattening è qualcosa che deve fare Lei stesso, manualmente o con uno strumento, per poi pubblicare il risultato in Cloudflare.

Come appiattire un record SPF ospitato sul DNS di Cloudflare

I meccanismi del flattening sono gli stessi indipendentemente da chi ospita il Suo DNS — Cloudflare è semplicemente il luogo in cui pubblica il record finito. Se desidera la guida completa, veda come appiattire un record SPF. Ecco il processo nel contesto di Cloudflare:

1. Inventari i Suoi mittenti. Elenchi ogni servizio che invia posta come Suo dominio: Google Workspace o Microsoft 365, la Sua piattaforma di marketing (Mailchimp, Sendgrid, ecc.), il Suo CRM, l’help desk e qualsiasi provider transazionale.

2. Legga il Suo record attuale. Nella dashboard di Cloudflare, apra il Suo dominio, vada su DNS → Records e trovi il record TXT che inizia con v=spf1. Annoti ogni include: che contiene.

3. Risolva ogni include ai suoi IP. Per ogni meccanismo include:, risolva il record SPF a cui punta fino agli effettivi intervalli ip4: e ip6:. Un record come:

   v=spf1 include:_spf.google.com include:mailchimp.com include:sendgrid.net ~all

   potrebbe appiattirsi in:

   v=spf1 ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:198.2.128.0/18 ip6:2001:4860:4000::/36 ~all

4. Mantenga il qualificatore. Conservi il Suo ~all (soft fail) o -all (hard fail) alla fine. Il flattening cambia i meccanismi in mezzo, non la policy.

5. Pubblichi il record appiattito di nuovo in Cloudflare come un unico record TXT (passi qui sotto).

Il rovescio della medaglia: quegli IP risolti non sono permanenti. Provider come Google e Microsoft ruotano regolarmente i loro intervalli di invio. Un record che appiattisce a mano oggi può andare silenziosamente alla deriva il mese prossimo — la posta dagli IP cambiati inizia a fallire l’SPF anche se il Suo record sembra pulito. Questo è il singolo rischio più grande del flattening manuale su qualsiasi host DNS, Cloudflare inclusa. Confronti i compromessi in migliori strumenti di SPF flattening.

Aggiungere il record TXT appiattito nella dashboard di Cloudflare

Una volta che ha la Sua stringa appiattita, la pubblichi in Cloudflare:

1. Acceda su dash.cloudflare.com e selezioni il Suo dominio.
2. Nella barra laterale sinistra, clicchi su DNS → Records.
3. Se esiste un vecchio record TXT v=spf1, lo modifichi invece di aggiungerne un secondo — un dominio deve avere esattamente un record SPF. Due record TXT v=spf1 causano un PermError e fanno fallire l’autenticazione.
4. Per aggiungerlo da zero, clicchi su Add record e imposti:
   • Type: TXT
   • Name: @ (questo rappresenta il Suo dominio radice)
   • Content: incolli la Sua stringa completa appiattita v=spf1 … ~all
   • TTL: lasci su Auto
5. Clicchi su Save.

Alcune note specifiche di Cloudflare:

• Usi TXT, non il tipo SPF legacy. Cloudflare, come la pratica DNS moderna, pubblica l’SPF come record TXT. L’obsoleto tipo di record SPF non viene usato.
• Lo stato di proxy non si applica. L’SPF è un record TXT, quindi non c’è alcun interruttore di proxy a nuvola arancione di cui preoccuparsi — è sempre servito come DNS autoritativo.
• Attenzione al limite di 255 caratteri per stringa. Una singola stringa TXT del DNS raggiunge il massimo a 255 caratteri. I record appiattiti lunghi devono essere suddivisi in più stringhe tra virgolette all’interno di un unico record TXT; Cloudflare gestisce questa concatenazione, ma mantenga il record il più snello possibile.

Dopo la pubblicazione, conceda qualche minuto per la propagazione, poi confermi il record con il nostro SPF Checker per verificare che la sintassi sia valida e che sia sotto il limite di 10 ricerche.

Usare AutoSPF con domini ospitati su Cloudflare

Il flattening manuale risolve il PermError di oggi ma reintroduce un problema di manutenzione: i Suoi IP appiattiti diventano obsoleti ogni volta che un provider a monte cambia i suoi intervalli. Il servizio di SPF flattening ospitato di AutoSPF colma quel divario e funziona in modo pulito con il DNS di Cloudflare.

Ecco come AutoSPF si inserisce in una configurazione Cloudflare:

• Lei mantiene un unico record SPF pulito su Cloudflare che punta a una ricerca ospitata da AutoSPF. AutoSPF risolve tutti i Suoi include dietro quel singolo meccanismo, così il Suo record visibile resta comodamente sotto le 10 ricerche.
• AutoSPF riesegue la scansione ogni 15 minuti e aggiorna automaticamente il risultato appiattito quando gli IP di un provider a monte cambiano — così la posta dagli intervalli Google o Microsoft appena ruotati continua a passare l’SPF senza che Lei tocchi di nuovo Cloudflare.
• Risolve esattamente agli stessi IP a cui si risolvono i Suoi include — nessuna sovra-autorizzazione, nessuna supposizione, nessun intervallo ampio che allarghi la Sua superficie di attacco. Autorizza precisamente ciò che i Suoi mittenti usano, e nulla di più.

Poiché AutoSPF è indipendente dal provider DNS, non richiede alcuna integrazione speciale con Cloudflare. Pubblica un record nella dashboard di Cloudflare usando lo stesso flusso DNS → Records → Add record descritto sopra, e AutoSPF gestisce il flattening e la manutenzione continua da lì.

Il flattening interagisce anche con il Suo più ampio stack di autenticazione — se si sta chiedendo se collassare gli include cambi qualcosa per gli altri Suoi record, veda l’SPF flattening influisce su DKIM e DMARC. (Versione breve: non lo fa; DKIM e DMARC sono valutati in modo indipendente.)

Domande frequenti

Cloudflare appiattisce automaticamente i record SPF?

No. Cloudflare è un host DNS autoritativo — serve l’esatto record TXT che inserisce e non risolve mai i Suoi meccanismi include: in indirizzi IP. Il flattening è qualcosa che fa Lei stesso o con uno strumento dedicato come AutoSPF, per poi pubblicare il risultato in Cloudflare.

Come aggiungo un record SPF appiattito in Cloudflare?

Nella dashboard di Cloudflare, apra il Suo dominio e vada su DNS → Records. Modifichi il Suo record TXT v=spf1 esistente (o ne aggiunga uno con Type TXT, Name @) e incolli la Sua stringa appiattita v=spf1 … ~all, poi salvi. Mantenga un solo record SPF per dominio per evitare un PermError.

Perché il mio record SPF su Cloudflare causa un PermError?

Secondo l’RFC 7208, i controlli SPF sono limitati a 10 ricerche DNS. Se i meccanismi include: del Suo record superano quel limite — o se pubblica accidentalmente due record v=spf1 — i riceventi restituiscono un PermError e l’SPF fallisce per ogni messaggio. Appiattire il record riportandolo sotto le 10 ricerche lo risolve.

Gli indirizzi IP appiattiti in Cloudflare diventeranno obsoleti?

Sì, se appiattisce manualmente. Provider come Google e Microsoft ruotano i loro intervalli di IP di invio, quindi un record appiattito a mano può andare silenziosamente alla deriva e iniziare a far fallire l’SPF. AutoSPF evita questo eseguendo una nuova scansione ogni 15 minuti e aggiornando automaticamente il record appiattito ogni volta che gli IP a monte cambiano.

Posso usare AutoSPF se il mio DNS è su Cloudflare?

Sì. AutoSPF è indipendente dal provider DNS e non necessita di alcuna integrazione speciale con Cloudflare. Pubblica un record SPF pulito in Cloudflare che punta ad AutoSPF, e questo gestisce il flattening, La mantiene sotto il limite di 10 ricerche e si aggiorna automaticamente man mano che gli IP dei Suoi mittenti cambiano.

L’SPF dovrebbe essere un record TXT o un record SPF in Cloudflare?

Usi sempre il tipo di record TXT. Il tipo di record dedicato SPF legacy è obsoleto e non viene usato nel DNS moderno. In Cloudflare, scelga Type TXT, Name @, e incolli il Suo contenuto v=spf1.