Cosa controlla lo strumento
Legge dal DNS pubblico i record che i server di posta consultano prima di accettare un messaggio. Verifica che l'SPF esista, sia unico e non superi il limite di 10 interrogazioni DNS; che il DMARC abbia una politica efficace; che ci siano chiavi DKIM tra i selettori più usati e che non siano troppo corte. Controlla anche i server che ricevono la posta del dominio e le protezioni facoltative MTA-STS, TLS-RPT e BIMI.
SPF: chi può inviare email per il tuo dominio
L'SPF è un record TXT che elenca i server autorizzati a inviare posta con il tuo dominio nel mittente. Un esempio per chi usa Google Workspace è v=spf1 include:_spf.google.com ~all; con Microsoft 365 l'include è spf.protection.outlook.com, con la posta di Aruba _spf.aruba.it. Se usi più servizi, per esempio la casella dell'hosting e una piattaforma per le newsletter, i loro include vanno uniti in un solo record: due record SPF separati rendono l'SPF non valido.
La parte finale dice cosa fare con gli altri server: -all li rifiuta, ~all li segnala come sospetti. Ogni include, a e mx costa un'interrogazione DNS, e oltre le 10 il record viene scartato: è un errore frequente quando si aggiungono servizi nel tempo.
DKIM: la firma digitale delle email
Con il DKIM il server che invia firma ogni messaggio con una chiave privata, e pubblica la chiave per verificarlo in un record DNS del tipo selettore._domainkey.esempio.it. Il destinatario controlla la firma e sa che il messaggio non è stato alterato durante il viaggio. La chiave si attiva dal pannello del provider di posta, che indica il record da pubblicare. Oggi si consigliano chiavi RSA da 2048 bit.
DMARC: cosa fare con le email falsificate
Il DMARC collega SPF e DKIM al mittente che vede chi legge, e dice ai server cosa fare quando la verifica fallisce. Si pubblica come record TXT su _dmarc.esempio.it, per esempio v=DMARC1; p=quarantine; rua=mailto:dmarc@esempio.it. La politica p=none serve solo a osservare, quarantine manda nello spam i messaggi falsificati e reject li rifiuta. L'indirizzo in rua riceve ogni giorno i report dei grandi provider con l'elenco dei server che hanno usato il tuo dominio.
Come mettere in sicurezza la posta del tuo dominio
Prima elenca tutti i servizi che inviano email a tuo nome: casella di posta, gestionale, fatturazione, newsletter, modulo contatti del sito. Poi pubblica un unico SPF che li includa tutti e attiva il DKIM su ciascuno. Aggiungi un DMARC con p=none e un indirizzo per i report, controlla i report per qualche settimana e correggi i servizi che non superano le verifiche. Infine passa a quarantine e poi a reject. Se un dominio non invia mai posta, proteggilo comunque con v=spf1 -all e un DMARC con p=reject: è il bersaglio preferito di chi falsifica email.