Verifica SPF

A cosa serve

Controlla il record SPF di un dominio: quali server possono inviare email a suo nome, cosa succede al resto («-all», «~all») e le ricerche DNS (max 10).

Requisiti

Chiunque può leggere queste guide, senza account. Alcuni strumenti richiedono Pro, come indicato in ogni guida.

SPF è il record DNS in cui un dominio elenca i server autorizzati a inviare la sua posta. Senza, o con uno difettoso o troppo permissivo, è più facile inviare email false a nome di quel dominio. Inserisci un dominio, un indirizzo email o un link e leggiamo il suo SPF per spiegartelo.

Come usarlo

1. 1

   Scrivi il dominio che vuoi controllare, oppure incolla un indirizzo email o un link: usiamo solo il suo dominio.

2. 2

   Premi «Verifica SPF». Leggiamo il record SPF e seguiamo ogni include, come farebbe un server di ricezione.

3. 3

   Guarda come termina il record e il numero di ricerche: quello che vuoi vedere è «-all» o «~all» e 10 ricerche o meno.

Esempio inventato

v=spf1 include:_spf.example.com ~all

Interpretare il risultato

Questo dominio non ha SPF: Non dice quali server possono inviare la sua posta, quindi è più facile spacciarsi per lui. Se è il tuo dominio, pubblica un record SPF.

Il record SPF ha degli errori: I server di ricezione non possono applicarlo, quindi per loro il dominio non ha SPF. I segnali qui sotto dicono cosa non va.

Chiunque può inviare email a nome di questo dominio: Il record termina con «+all», che autorizza qualsiasi server al mondo. Configurato così, SPF non protegge nulla.

L’SPF non protegge del tutto il dominio: Il record non dice cosa fare con i server che non sono nella sua lista, quindi le email false a nome del dominio non vengono segnalate.

L’SPF è configurato correttamente: Il dominio elenca i server che possono inviare la sua posta e chiede di segnalare o rifiutare il resto. SPF da solo non ferma l’impersonificazione: è DMARC a dire ai server di ricezione cosa fare.

+all: qualsiasi server può inviare (pericoloso)

?all: il record non dice nulla su di loro

~all: segnalati come sospetti

-all: rifiutati

Nessun «all»: il record non dice nulla su di loro

Limiti

Risoluzione dei problemi

Non sembra un dominio pubblico. Prova con qualcosa come example.com.

Il DNS non ha risposto in tempo. Riprova tra qualche secondo.

Hai fatto molti controlli di fila. Aspetta un minuto e riprova.

Usare con l’API

Legge il record SPF di un dominio come i server di ricezione (RFC 7208): i suoi termini, come termina, le ricerche DNS dell’intero albero di include rispetto al limite di 10, ogni include e se pubblica SPF, e i problemi del record come segnali. Non viene salvato nulla.

Invia il corpo JSON alla rotta specifica del tool, oppure a POST /v2/tools aggiungendo il campo tool. Entrambe le rotte restituiscono lo stesso risultato.

POST https://api.nocall.io/v2/spf-check
POST https://api.nocall.io/v2/tools  {"tool":"spf-check","domain":"example.com"}

REQUEST_ID="$(uuidgen)" && [ -n "$REQUEST_ID" ] &&
curl --request POST 'https://api.nocall.io/v2/spf-check' \
  --header "Authorization: Bearer $NOCALL_API_KEY" \
  --header 'Content-Type: application/json' \
  --header "Idempotency-Key: $REQUEST_ID" \
  --data '{"domain":"example.com"}'

import json
import os
import urllib.request
import uuid

api_key = os.environ.get('NOCALL_API_KEY')
if not api_key:
    raise SystemExit('Set NOCALL_API_KEY')

request = urllib.request.Request(
    'https://api.nocall.io/v2/spf-check',
    method='POST',
    data=json.dumps({'domain': 'example.com'}).encode(),
    headers={
        'Authorization': 'Bearer ' + api_key,
        'Content-Type': 'application/json',
        'Idempotency-Key': str(uuid.uuid4()),
    },
)
with urllib.request.urlopen(request, timeout=30) as response:
    result = json.load(response)
print(result['data']['result'], result['meta']['unitsCharged'])

import { randomUUID } from 'node:crypto';

const requestId = randomUUID();
const apiKey = process.env.NOCALL_API_KEY;
if (!apiKey) throw new Error('Set NOCALL_API_KEY');

const response = await fetch('https://api.nocall.io/v2/spf-check', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer ' + apiKey,
    'Content-Type': 'application/json',
    'Idempotency-Key': requestId,
  },
  body: JSON.stringify({ domain: 'example.com' }),
});
const result = await response.json();
if (!response.ok) throw new Error(result.error?.code ?? 'request_failed');
console.log(result.data.result, result.meta.unitsCharged);

{
  "data": {
    "tool": "spf-check",
    "result": {
      "domain": "example.com",
      "domainAscii": "example.com",
      "found": true,
      "record": "v=spf1 include:_spf.google.com ~all",
      "recordCount": 1,
      "terms": [
        {
          "qualifier": "pass",
          "mechanism": "include",
          "value": "_spf.google.com"
        },
        {
          "qualifier": "softfail",
          "mechanism": "all",
          "value": null
        }
      ],
      "allResult": "softfail",
      "lookups": 1,
      "includes": [
        {
          "domain": "_spf.google.com",
          "found": true
        }
      ],
      "signals": [
        "softfail_all"
      ],
      "valid": true,
      "attention": false
    }
  },
  "meta": {
    "requestId": "req_example",
    "unitsCharged": 1,
    "usage": {
      "periodStart": "2026-10-01",
      "unitLimit": 20,
      "unitsUsed": 3,
      "unitsRemaining": 17
    }
  }
}

• Riferimento API ↗

Domande frequenti

Guide correlate

• Verifica DMARC
• Verifica DKIM
• Record MX di un dominio