Creare un record SPF: guida con esempi pronti

Prima verificare: cosa c'è già nel DNS

Verifichi il suo dominio con il controllo gratuito: Controllo del dominio gratuito. Mostra se esiste già un record SPF e se è valido. È importante, perché molti hoster ne creano uno già durante l'attivazione. In quel caso non ne crea uno nuovo, ma completa quello esistente.

Chiarisca anche dove viene gestito il suo DNS. Conta il fornitore a cui puntano i server dei nomi (nameserver) del dominio. Una voce inserita presso un altro fornitore non ha effetto.

Infine faccia un elenco: chi invia e-mail con il suo dominio? Di solito la posta (per esempio Microsoft 365), lo strumento newsletter, il negozio online, il software di contabilità, il modulo di contatto del sito e a volte una stampante multifunzione.

Com'è fatto un record SPF

Un record SPF è una voce TXT posta direttamente sul dominio. È composto da elementi separati da spazi:

• v=spf1 sta sempre all'inizio. Da qui i destinatari riconoscono il record SPF.
• include: riprende l'elenco di un fornitore, per esempio include:spf.protection.outlook.com per Microsoft 365. Il fornitore aggiorna da sé i propri server.
• ip4: e ip6: autorizzano un indirizzo IP fisso o un intervallo di indirizzi, per esempio il suo server web: ip4:203.0.113.25.
• a autorizza i server a cui punta il suo dominio (spesso il server web). mx autorizza i server che ricevono la posta del suo dominio.
• redirect= rimanda interamente al record di un fornitore. Hostpoint usa questa forma.
• Alla fine c'è la regola per tutti gli altri: -all significa «rifiutare» (rigido), ~all significa «sospetto» (permissivo). +all autorizza qualsiasi server al mondo a inviare a suo nome. Non lo usi mai.

Utile sapere: SPF controlla l'indirizzo mittente tecnico (Return-Path), non quello che vede il destinatario. Molti strumenti newsletter usano per questo un proprio indirizzo. In quel caso il suo SPF non ha bisogno di una voce per lo strumento, ma serve una firma DKIM. La documentazione dello strumento indica cosa è necessario.

Esempi pronti per i fornitori più diffusi

Non modifichi questi valori, a meno che non invii anche tramite altri servizi.

• Microsoft 365: v=spf1 include:spf.protection.outlook.com -all. Microsoft raccomanda la chiusura rigida -all.
• Google Workspace: v=spf1 include:_spf.google.com ~all. Google raccomanda la chiusura permissiva ~all.
• Hostpoint: se dominio e posta sono su Hostpoint, nel Control Panel apra la sezione dei domini, scelga la modifica della zona DNS del dominio e poi il pulsante per aggiungere il record SPF di Hostpoint. Hostpoint imposta da sé il valore corretto. Se il DNS è altrove, il valore è v=spf1 redirect=spf.mail.hostpoint.ch.
• Infomaniak: v=spf1 include:spf.infomaniak.ch -all. Infomaniak di solito lo crea automaticamente all'attivazione del servizio di posta.
• cyon: v=spf1 include:spf.protection.cyon.net -all. Con i nameserver di cyon di regola è già impostato.
• Dominio senza invio di e-mail (per esempio un secondo dominio riservato): v=spf1 -all. Così dichiara che da questo dominio non partono e-mail.

Esempi di combinazioni

La maggior parte delle PMI invia tramite più canali. Tutti stanno nello stesso record, con v=spf1 all'inizio e una sola chiusura alla fine. Sostituisca i segnaposto tra parentesi quadre con il valore indicato nella documentazione del rispettivo servizio.

• Microsoft 365, strumento newsletter e negozio online su un proprio server: v=spf1 include:spf.protection.outlook.com include:[valore dello strumento newsletter] ip4:203.0.113.25 -all
• Google Workspace e software di contabilità: v=spf1 include:_spf.google.com include:[valore della contabilità] ~all
• Microsoft 365 per le caselle, negozio online su Hostpoint: v=spf1 include:spf.protection.outlook.com redirect=spf.mail.hostpoint.ch. È la forma descritta da Hostpoint stesso. Il redirect= sta alla fine, una sola volta, e non segue nessun all. La chiusura la fornisce il record di Hostpoint.
• Caselle cyon e strumento newsletter: v=spf1 include:spf.protection.cyon.net include:[valore dello strumento newsletter] -all
• Passaggio da Infomaniak a Microsoft 365: durante la transizione v=spf1 include:spf.protection.outlook.com include:spf.infomaniak.ch -all. Quando nulla passa più da Infomaniak, rimuova la parte Infomaniak.

-all o ~all? Con ~all le e-mail estranee falliscono in modo morbido, con -all in modo rigido. Per DMARC entrambi contano come fallimento. Un percorso sensato: iniziare con ~all e passare a -all appena i rapporti DMARC mostrano che tutti i canali di invio sono coperti.

Inserire il record nel DNS passo per passo

1. Acceda al fornitore che gestisce il suo DNS e apra la zona DNS del dominio.
2. Cerchi una voce TXT che inizia con v=spf1. Se esiste, la modifichi. Non ne crei una seconda.
3. Se non esiste: crei una nuova voce di tipo TXT. Su Infomaniak il pulsante serve ad «aggiungere una voce», su Hostpoint ad aggiungere un nuovo record.
4. Come nome indichi il dominio stesso. A seconda dell'editor è @ oppure un campo vuoto, non example.com (altrimenti nasce example.com.example.com).
5. Inserisca il valore, per esempio v=spf1 include:spf.protection.outlook.com -all. Senza virgolette aggiuntive e senza a capo.
6. Lasci il TTL proposto oppure scelga 3600 secondi (un'ora). Salvi.
7. Attenda. Secondo Hostpoint, il record SPF automatico di Hostpoint è attivo dopo 5-10 minuti. In generale possono servire fino a 48 ore prima che tutti i destinatari vedano il nuovo valore.

I due limiti: un record, dieci interrogazioni

Un solo record SPF per dominio. Due voci TXT con v=spf1 rendono SPF non valido e tutte le e-mail falliscono. Come unirle: Due voci SPF per un dominio: perché rendono tutto non valido.

Al massimo dieci interrogazioni DNS. Ogni include:, a, mx e redirect= costa un'interrogazione, e gli include possono contenerne altri. ip4:, ip6: e all non costano nulla. Il valore di Infomaniak, per esempio, contiene già internamente altri rimandi. Oltre dieci interrogazioni l'intero record non è valido. Le soluzioni sono qui: Errore SPF «too many DNS lookups»: perché il limite di dieci interrogazioni va rispettato.

Errori tipici nella creazione

• Il vecchio hoster resta nel record: dopo il passaggio a Microsoft 365 il vecchio server di posta è ancora elencato. Costa interrogazioni e autorizza un canale che lei non controlla più.
• Errori di sintassi: include= invece di include:, uno spazio dopo i due punti o un punto alla fine del nome. Microsoft indica proprio questi errori come frequenti.
• Due chiusure: ~all a metà del record e -all alla fine. Tutto ciò che segue il primo all viene ignorato.
• Redirect di Hostpoint combinato con -all: dopo un redirect= non deve esserci nessun all.
• Sottodominio dimenticato: se il negozio invia da shop.example.com, questo sottodominio ha bisogno di un proprio record SPF.

Verificare che il record funzioni

1. Verifichi di nuovo il dominio con il controllo del dominio. Il record deve essere trovato, valido e restare sotto le dieci interrogazioni.
2. Invii un'e-mail di prova a una casella presso un altro fornitore e guardi l'intestazione. Nella riga Authentication-Results dovrebbe comparire spf=pass.
3. Verifichi ogni canale di invio separatamente: newsletter, ordine nel negozio, fattura dal software di contabilità.

Per la verifica da riga di comando: Verificare e configurare correttamente SPF: guida.

Cosa fa DomainRadar per voi

DomainRadar controlla ogni giorno il suo record SPF: validità, numero di interrogazioni, voci doppie. Se un fornitore modifica i suoi include o qualcuno aggiunge un secondo record, riceve un allarme. I rapporti DMARC mostrano inoltre quali servizi inviano a suo nome e se superano SPF.