Come si usa
- Inserisci un dominio oppure incolla un indirizzo email (viene usata la parte dopo @).
- Fai clic su Cerca per vedere risultati MX, SPF, DKIM e DMARC. Se non viene trovata una chiave DKIM, inserisci il selettore e cerca di nuovo.
- Correggi i record presso il provider DNS come suggerito, poi controlla di nuovo quando le modifiche saranno effettive.
Opzioni spiegate
- SPF
- Un record TXT alla radice del dominio che inizia con v=spf1 e indica i server autorizzati a inviare per il dominio. Deve essercene uno solo.
- DMARC
- Un record TXT in _dmarc che inizia con v=DMARC1 e dice ai destinatari cosa fare quando i controlli SPF e DKIM falliscono.
- Numero di query
- Ogni include, a, mx, ptr, exists e redirect in SPF costa una query DNS e il totale non deve superare 10. Include e redirect vengono espansi, quindi contano anche le query annidate.
Leggere i record
Un record SPF è un elenco di termini. Ogni termine può iniziare con un qualificatore che indica che cosa succede quando c’è corrispondenza (RFC 7208):
| Qualificatore | Significato | Esempio |
|---|---|---|
+ (predefinito) |
Pass | a o +a |
- |
Fail: rifiuta | -all |
~ |
Softfail: accetta ma contrassegna | ~all |
? |
Neutral: nessuna indicazione | ?all |
Il controllo segnala +all (o un semplice all) come consenso all’invio da parte di qualsiasi server, ?all come una misura che non fa nulla contro lo spoofing, e un record senza all né redirect= come incompleto. Avvisa anche del meccanismo ptr e di un secondo record SPF.
Un record DMARC è un insieme di coppie tag=valore separate da punti e virgola (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Tag | Significato |
|---|---|
v |
Versione, sempre DMARC1 e per prima nel record |
p |
Policy per il dominio: none, quarantine o reject |
sp |
Policy per i sottodomini; se assente, vale p |
rua |
Dove inviare i report aggregati |
ruf |
Dove inviare i report sui fallimenti |
pct |
Quota di posta non conforme a cui si applica la policy; 100 se assente |
adkim, aspf |
Allineamento DKIM e SPF: r rilassato (predefinito) o s rigoroso |
fo |
Opzioni dei report sui fallimenti; 0 se assente |
Un record DMARC senza rua viene segnalato perché non riceveresti alcun report. Sul fronte DKIM, una chiave RSA inferiore a 2048 bit viene segnalata come debole, e una chiave con valore p= vuoto viene mostrata come Revocata.
Domande frequenti
SPF deve terminare con ~all o -all?
-all dice ai destinatari di rifiutare i server non elencati; ~all li marca come sospetti. Usa ~all finché non sei sicuro che l'elenco sia completo. Con DMARC attivo la differenza è piccola.
Con quale policy DMARC devo iniziare?
Inizia con p=none e un indirizzo rua, controlla i report per una o due settimane per assicurarti che ogni mittente legittimo superi il controllo, poi passa a quarantine e infine reject.
Perché non viene trovata alcuna chiave DKIM?
Le chiavi DKIM si trovano in selector._domainkey.domain e il selettore viene scelto dal provider email. I selettori comuni come default, selector1, selector2 e google vengono provati automaticamente; altrimenti trova il valore s= nell'header DKIM-Signature di un messaggio e inseriscilo come selettore DKIM.
Privacy
I file vengono caricati tramite HTTPS per l'elaborazione ed eliminati automaticamente entro un'ora.