Cosa dimostrano SPF, DKIM e DMARC, come lavorano insieme e un generatore che scrive record SPF e DMARC validi e conta i lookup DNS di SPF.
SPF elenca i server autorizzati a inviare posta per il tuo dominio. DKIM aggiunge una firma che dimostra che il messaggio non è stato modificato e indica il dominio firmatario. DMARC verifica che almeno uno dei due superi il controllo per il dominio nella riga From, poi dice ai destinatari se consegnare, mettere in quarantena o rifiutare la posta che non lo supera.
Cos'è ogni record e dove si trova
Se invii fatture, conferme di prenotazione o newsletter dal tuo dominio, queste tre voci DNS decidono se finiscono nella posta in arrivo o nello spam. Ognuna è un record TXT, una voce DNS di testo libero che il tuo provider DNS ti permette di aggiungere. I generatori qui sotto scrivono per te le righe SPF e DMARC e ne verificano la sintassi rispetto agli standard pubblicati. DKIM è diverso: la chiave la genera il tuo provider email, quindi copi il suo valore invece di scriverlo.
A ottobre 2026, Gmail chiede a ogni mittente SPF o DKIM, e chi invia 5,000 o più messaggi al giorno ad account Gmail deve avere SPF, DKIM e DMARC. Yahoo chiede ai mittenti bulk SPF, DKIM e una policy DMARC almeno p=none. Configurarli tutti e tre è la risposta semplice per qualsiasi dominio aziendale.
Il simbolo prima di all è un qualificatore. Il meno significa fail, la tilde softfail, il punto interrogativo neutral e il più pass. La maggior parte dei domini termina con -all o ~all; +all approverebbe ogni server di internet e non va mai usato.
Lo standard SPF dice che i verificatori devono fermarsi dopo 10 termini che richiedono una query DNS: include, a, mx, ptr, exists e redirect. Contano anche gli include dentro altri include. Superarlo genera un errore permanente (permerror), quindi SPF non conta più come superato.
DMARC considera superato il controllo solo se il dominio verificato da SPF o DKIM corrisponde al dominio mostrato nella riga From. L'allineamento rilassato, quello predefinito, accetta un sottodominio della stessa organizzazione; quello rigoroso richiede una corrispondenza esatta.
Nell'area di amministrazione del tuo provider email, di solito tra le impostazioni di autenticazione o del dominio. Ti fornisce un nome di selettore e una chiave pubblica. La pubblichi su quel selettore sotto _domainkey e il provider firma la posta in uscita con la chiave privata corrispondente.
Può succedere, se un servizio che invia come il tuo dominio manca da SPF e non firma con DKIM. Per questo i report di p=none vengono prima: elencano ogni server che invia a tuo nome, così puoi sistemarli prima di rendere più severa la policy.
I tag sono separati da punti e virgola. v deve venire per primo e p è obbligatorio; tutto il resto è facoltativo.
Tag DMARC da RFC 7489
Un include e un indirizzo IP costano insieme un solo lookup DNS, e tutto il resto fallisce.
Il selettore s1 su example.com viene cercato su s1._domainkey.example.com. La chiave stessa arriva dal tuo provider.
Non viene ancora bloccato nulla; i destinatari inviano riepiloghi giornalieri di chi ha spedito posta come il tuo dominio.
Generatore di record SPF
Spunta i servizi che inviano come il tuo dominio e aggiungi eventuali altri server. Il risultato va in un unico record TXT su @.
Servizi che inviano la tua posta
Altri indirizzi o intervalli IPv4, separati da spazi
Altri domini include dei tuoi provider, separati da spazi
Posta da server non elencati
Generatore di record DMARC
Pubblica il risultato come record TXT chiamato _dmarc. Inizia con none, poi rendi più severo.
Policy (p)
Invia i report aggregati a (email)
Percentuale di posta non conforme a cui si applica la policy (pct)
Allineamento DKIM (adkim)
Allineamento SPF (aspf)
Nome del record
Valore del record
Rifiuta (-all)
Segna come sospetta (~all)
Nessuna indicazione (?all)
Lookup DNS in questo record: {n} su 10. Gli include dentro i record dei tuoi provider ne aggiungono altri.
Più di 10 lookup: i destinatari restituiranno un errore permanente.
Non è un indirizzo o intervallo IPv4 valido: {v}
Non è un nome di dominio valido: {v}
Non è elencato nulla, quindi questo record non approva alcun server.
none: solo report
quarantine: invia allo spam
reject: rifiuta la consegna
Rilassato (r)
Rigoroso (s)
L'indirizzo per i report non sembra un indirizzo email.
pct deve essere un numero intero da 0 a 100.
La sintassi sembra valida.
Inizia gratis · Nessuna carta di credito richiesta