Definire un record SPF: configurazione avanzata

Destinatari dell'articolo

Questo articolo è rivolto ai professionisti IT e alle persone che hanno esperienza nella configurazione dei server email. Contiene informazioni tecniche su SPF (Sender Policy Framework), tra cui i requisiti dei record SPF, la sintassi dei record SPF e il modo in cui SPF incide sulla consegna delle email. Per un record SPF di base per inviare email solo con Google Workspace o con Google Workspace e gli altri mittenti delle email, segui le istruzioni riportate in Definire un record SPF: configurazione di base. 

Se invii email solo con Google Workspace, ottieni il record SPF in Definire un record SPF: configurazione di base.

Un record SPF definisce i server di posta e i domini che sono autorizzati a inviare email per conto di un dominio, oltre a comunicare ai server di destinazione le operazioni da eseguire sui messaggi dopo che sono stati controllati. I server di destinazione controllano il record SPF per verificare che i messaggi in arrivo che sembrano provenire dalla tua organizzazione siano stati inviati da server che hai autorizzato. È possibile aggiungere un solo record SPF a un dominio. Tuttavia, nel record SPF di un dominio è possibile specificare più server e terze parti a cui è consentito inviare posta per conto del dominio.

 

Set up SPF

Configura SPF aggiungendo un record TXT al DNS presso il provider del tuo dominio.

Formato del record SPF

Un record SPF è costituito da una riga di testo normale che contiene un elenco di tag e valori. I tag sono chiamati meccanismi. I valori sono di solito indirizzi IP e nomi di dominio.

Un record SPF va aggiunto al fornitore del dominio sotto forma di record TXT del DNS. Per saperne di più, vedi Informazioni sui record TXT del DNS.

I record SPF possono contenere fino a 255 caratteri. Le dimensioni del file del record TXT devono essere inferiori a 512 byte.

Meccanismi dei record SPF

I meccanismi riportati in questa tabella consentono di creare il record SPF. I server di posta di destinazione confrontano i messaggi con i meccanismi nell'ordine in cui questi sono elencati nel record SPF.

Tieni presente che:

• Puoi utilizzare qualificatori dei record SPF facoltativi insieme ai meccanismi. 
• Il record TXT per SPF non può contenere più di 10 riferimenti ad altri domini o server.  Questi riferimenti sono denominati ricerche. Per saperne di più, vedi Controllare le ricerche DNS presenti nel record SPF.

Meccanismo	Descrizione e valori consentiti
v	Versione di SPF. Questo tag è obbligatorio e deve essere il primo tag del record. Questo meccanismo deve essere: v=spf1
ip4	Autorizza i server di posta in base a un singolo indirizzo o a un intervallo di indirizzi IPv4. Il valore deve essere un indirizzo o un intervallo di indirizzi IPv4 nel formato standard; ad esempio: ip4:192.168.0.1 oppure ip4:192.0.2.0/24
ip6	Autorizza i server di posta in base a un singolo indirizzo o a un intervallo di indirizzi IPv6. Il valore deve essere un indirizzo o un intervallo di indirizzi IPv6 nel formato standard; ad esempio: ip6:3FFE:0000:0000:0001:0200:F8FF:FE75:50DF oppure ip6:2001:db8:1234::/48
a	Autorizza i server di posta in base al nome di dominio; ad esempio: a:solarmora.com
mx	Autorizza uno o più server di posta in base al record MX del dominio; ad esempio: mx:mail.solarmora.com Se questo meccanismo non è presente nel record SPF, il valore predefinito corrisponde ai record MX presenti nel dominio in cui il record SPF viene utilizzato.
include	Autorizza server o servizi per l'invio di email di terze parti; ad esempio: include:servers.mail.net
all	Indica che tutti i messaggi sono corrispondenti. Consigliamo di includere sempre questo meccanismo nel record SPF. Questo meccanismo deve essere l'ultimo del record SPF. I meccanismi inseriti in un record SPF dopo all vengono ignorati. È consigliabile utilizzare ~all o -all? Quando un record SPF include ~all (qualificatore di softfail o autorizzazione parziale), i server di destinazione generalmente accettano i messaggi inviati da server o servizi non specificati nel record SPF, ma li contrassegnano come sospetti. Quando un record SPF include -all (qualificatore di fail o verifica non superata), i server di destinazione possono rifiutare i messaggi inviati da server o servizi che non sono stati specificati nel record SPF. Se il record SPF non è configurato correttamente, un numero maggiore di messaggi potrebbe essere contrassegnato come spam a causa del qualificatore di fail. Suggerimento: per prevenire lo spoofing dei domini che non inviano posta, utilizza questa stringa per il record SPF del dominio:  vspf1 ~all

Qualificatori dei record SPF

Un qualificatore è un prefisso facoltativo che è possibile aggiungere a qualsiasi meccanismo presente nel record SPF. I qualificatori specificano se il server di posta di destinazione deve considerare autenticati i messaggi che corrispondono al valore di uno dei meccanismi. Ad esempio:

v=spf1 include:_spf.google.com -all

In questo esempio, il record SPF autorizza soltanto Google Workspace a inviare email per conto del dominio. Dal momento che per il meccanismo all è specificato il qualificatore di fail ( - ), i messaggi inviati da qualsiasi altro server o servizio non superano la verifica SPF e possono essere rifiutati dal server di destinazione.

I meccanismi vengono verificati nell'ordine in cui compaiono nel record SPF. Se per un meccanismo non è specificato un qualificatore e viene individuata una corrispondenza, l'azione predefinita è il superamento della verifica. Quando un messaggio non corrisponde a nessuno dei meccanismi, l'azione predefinita è neutra, ossia l'esito della verifica non è né positivo né negativo.

Per fornire ai server di posta di destinazione istruzioni su come gestire i messaggi che corrispondono ai valori dei meccanismi specificati nel record SPF, puoi utilizzare i seguenti qualificatori facoltativi.

Qualificatore	Azione eseguita dal server di destinazione quando trova una corrispondenza
+	Autenticazione con esito positivo. Il server il cui indirizzo IP corrisponde è autorizzato a inviare email per conto del dominio. I messaggi vengono autenticati. Questa è l'azione predefinita nei casi in cui un meccanismo non utilizza un qualificatore.
-	Autenticazione con esito negativo. Il server con l'indirizzo IP corrispondente non è autorizzato a inviare posta per conto del dominio. Il record SPF non include l'indirizzo IP o il dominio del server di invio, quindi l'autenticazione dei messaggi ha esito negativo.
~	Autorizzazione parziale. È improbabile che il server con l'indirizzo IP corrispondente sia autorizzato a inviare posta per conto del dominio. Normalmente, il server di destinazione accetta il messaggio ma lo contrassegna come sospetto.
?	Autenticazione con esito neutro. L'esito dell'autenticazione non è né positivo, né negativo. Il record SPF non specifica in modo esplicito se l'indirizzo IP è autorizzato a inviare posta per conto del dominio. I record SPF con risultati neutri spesso utilizzano ?all

Passaggi successivi

Dopo aver creato il record SPF per il dominio, aggiungilo presso il fornitore del dominio.