Verifica SPF: chi può inviare email a nome di questo dominio?

SPF è il record DNS in cui un dominio elenca i server autorizzati a inviare la sua posta. Senza, o con uno difettoso o troppo permissivo, è più facile inviare email false a nome di quel dominio. Inserisci un dominio, un indirizzo email o un link e leggiamo il suo SPF per spiegartelo.

Aggiungi come fonte preferita Scarica suGoogle Play Scarica suApp Store

Come si usa

Scrivi il dominio che vuoi controllare, oppure incolla un indirizzo email o un link: usiamo solo il suo dominio.
Premi «Verifica SPF». Leggiamo il record SPF e seguiamo ogni include, come farebbe un server di ricezione.
Guarda come termina il record e il numero di ricerche: quello che vuoi vedere è «-all» o «~all» e 10 ricerche o meno.

Cosa significa ogni risultato

Questo dominio non ha SPF: Non dice quali server possono inviare la sua posta, quindi è più facile spacciarsi per lui. Se è il tuo dominio, pubblica un record SPF.
Il record SPF ha degli errori: I server di ricezione non possono applicarlo, quindi per loro il dominio non ha SPF. I segnali qui sotto dicono cosa non va.
Chiunque può inviare email a nome di questo dominio: Il record termina con «+all», che autorizza qualsiasi server al mondo. Configurato così, SPF non protegge nulla.
L’SPF non protegge del tutto il dominio: Il record non dice cosa fare con i server che non sono nella sua lista, quindi le email false a nome del dominio non vengono segnalate.
L’SPF è configurato correttamente: Il dominio elenca i server che possono inviare la sua posta e chiede di segnalare o rifiutare il resto. SPF da solo non ferma l’impersonificazione: è DMARC a dire ai server di ricezione cosa fare.

Cosa significa ogni segnale

Il dominio non pubblica alcun record SPF.
Un dominio (questo o uno incluso) pubblica più di un record SPF. Ne è consentito solo uno, quindi i server di ricezione lo trattano come un errore.
Il record ha un termine scritto male, quindi i server di ricezione lo trattano come un errore.
Il record richiede più di 10 ricerche DNS contando tutti i suoi include. Oltre 10, i server di ricezione lo trattano come un errore.
Un include punta a un dominio che non ha un record SPF, quindi i server di ricezione trattano il record come un errore.
Gli include girano in tondo: un dominio finisce per includere sé stesso.
Termina con «+all»: qualsiasi server al mondo può inviare email a nome di questo dominio.
Termina con «?all»: non dice nulla sui server che non sono in elenco, quindi non protegge.
Termina con «~all»: la posta degli altri server viene segnalata come sospetta, ma non rifiutata. È l’impostazione più comune.
Non ha un «all» alla fine, quindi i server che non sono in elenco ottengono un risultato neutro e nessuna protezione.
Usa «ptr», un meccanismo lento che lo standard sconsiglia. Molti server di ricezione lo saltano.
Usa delle macro (termini con %) che cambiano a ogni messaggio, quindi non possiamo seguire quella parte e il numero reale di ricerche può essere più alto.

Quali paesi copre

Funziona con domini di qualsiasi paese. Leggiamo il record come fanno i server di ricezione (RFC 7208): i suoi meccanismi, come termina, ogni include e redirect fino a 30 ricerche, e il numero di ricerche DNS rispetto al limite di 10.

Leggiamo i record DNS pubblici del dominio. Se inserisci un indirizzo email o un link, dal tuo browser esce solo il suo dominio. Non salviamo il dominio che cerchi.

Domande frequenti

Che cos’è SPF?

Sender Policy Framework: un record DNS in cui un dominio elenca i server autorizzati a inviare la sua posta. Il server che riceve un messaggio controlla se il server che glielo ha consegnato è in quella lista.

Cos’è meglio, «-all» o «~all»?

«-all» chiede ai server di ricezione di rifiutare la posta dei server che non sono in elenco; «~all» chiede di segnalarla come sospetta. Entrambi proteggono, e molti domini usano «~all» e lasciano decidere a DMARC cosa fare. «+all» e «?all» non proteggono.

Perché conta il limite di 10 ricerche?

Ogni include, a, mx, ptr, exists e redirect costringe il server di ricezione a interrogare il DNS. Se il record intero ne richiede più di 10, viene trattato come un errore e SPF smette di funzionare. Elimina i servizi che non usi più o chiedi al tuo provider un include più semplice.

SPF da solo ferma le email false?

No. SPF controlla il mittente nascosto della busta, non l’indirizzo che vedi in «Da». È DMARC a collegare i due e a chiedere ai server di ricezione di mettere in quarantena o rifiutare la posta che non supera i controlli. Controlla anche il DMARC del dominio.