In breve
Nella maggior parte dei casi ti servono tutti e tre. SPF autorizza i server mittenti, DKIM firma il messaggio e DMARC collega entrambi al dominio visibile del mittente e definisce una policy. Senza DMARC nessuno dei due protegge davvero da indirizzi From falsificati.
| Criterio | SPF / DKIM | DMARC |
|---|---|---|
| Cosa viene controllato | SPF: questo IP può inviare per il dominio envelope? DKIM: la firma è valida? | Almeno uno tra SPF e DKIM superati corrisponde al dominio From (allineamento)? |
| Si riferisce a | SPF: MAIL FROM / Return-Path. DKIM: dominio nel tag d= | L'indirizzo visibile nell'header From: |
| Record DNS | SPF: TXT sul dominio. DKIM: TXT su selector._domainkey | TXT su _dmarc.<dominio> |
| Inoltri | SPF di solito si rompe, DKIM resiste se il messaggio non viene modificato | Passa se DKIM resta allineato |
| Mailing list | DKIM spesso si rompe perché oggetto o footer vengono modificati | Può fallire se né SPF né DKIM restano allineati |
| Policy | Nessuna istruzione propria al destinatario (SPF -all è valutato in modo non uniforme) | p=none, quarantine o reject |
| Report | Nessuno | Report aggregati tramite rua= a un indirizzo a tua scelta |
| Limite tipico | SPF: massimo 10 lookup DNS. DKIM: chiavi da gestire e ruotare | Funziona solo quando tutti i mittenti legittimi passano SPF o DKIM allineati |
Scegli SPF / DKIM se …
- stai iniziando: senza SPF e DKIM funzionanti DMARC non ha nulla su cui basarsi.
- colleghi strumenti di newsletter o ticketing che inviano a tuo nome. Ognuno richiede una voce SPF o una propria chiave DKIM.
- le mail vengono inoltrate. Qui la consegna la salva DKIM, non SPF da solo.
- il tuo record SPF arriva al limite di lookup e preferisci proteggere i mittenti con DKIM.
Scegli DMARC se …
- vuoi vedere chi invia mail a tuo nome. Parti con
p=nonee i report. - il tuo dominio viene usato per phishing e vuoi che i destinatari rifiutino le mail falsificate.
- i grandi provider di posta lo richiedono per chi invia grandi volumi.
- conosci tutte le sorgenti legittime e vuoi passare gradualmente a
quarantineereject.
Insidie dal lavoro quotidiano
- Più di un record SPF sullo stesso dominio dà
permerror. Unisci tutto in un unico record. - Troppi
include:superano il limite di 10 lookup DNS. Spesso te ne accorgi solo quando un provider allarga il suo record. - Le chiavi DKIM lunghe a 2048 bit vengono inserite male nel DNS, troncate o con virgolette sbagliate. Controlla con
dig TXT. - Partire subito con
p=rejectspesso blocca mittenti dimenticati come fatturazione o scanner. Leggi prima i report.
Domande frequenti
Basta SPF da solo?
No. SPF controlla solo il dominio envelope, non l'indirizzo che il destinatario vede nel client di posta. Solo DMARC collega il risultato al dominio From. In più SPF si rompe con gli inoltri.
Mi serve DKIM se SPF passa già?
Sì. DKIM sopravvive agli inoltri, SPF di solito no. Per un risultato DMARC stabile almeno DKIM dovrebbe passare allineato, meglio ancora entrambi.