SPF, DKIM e DMARC cosa sono e a cosa servono?

SPF, DKIM e DMARC sono tre standard tecnici che autenticano un dominio email: insieme dicono al server che riceve un messaggio se chi lo ha spedito era davvero autorizzato a farlo, e senza di essi chiunque può scrivere un'email che sembra arrivare da un dominio aziendale senza averne alcun diritto. SPF (RFC 7208) pubblica nel DNS l'elenco dei server autorizzati a spedire per un dominio. DKIM (RFC 6376) firma crittograficamente ogni messaggio con una chiave privata legata al dominio, così chi lo riceve può verificare, con la chiave pubblica pubblicata nel DNS, che il contenuto non sia stato alterato in transito. DMARC (RFC 7489) non è un terzo controllo indipendente: si appoggia sugli esiti di SPF e DKIM, dice al server ricevente cosa fare quando entrambi falliscono, e restituisce a chi possiede il dominio un report giornaliero su chi sta spedendo email a suo nome nel mondo.

Leggi anche: Phishing · Inganno che spinge una persona a consegnare credenziali, dati o denaro fingendo un interlocutore legittimo.

Le tre politiche DMARC

Un record DMARC dichiara una politica su tre livelli. p=none non blocca nulla: chiede solo i report, ed è il punto di partenza obbligato per capire chi spedisce davvero a nome del dominio prima di stringere le regole, comprese le piattaforme legittime dimenticate (il CRM, il gestionale della fatturazione, lo strumento di email marketing). p=quarantine manda le email che falliscono il controllo nella cartella spam del destinatario. p=reject le rifiuta prima ancora che arrivino in casella. Saltare direttamente a reject senza aver letto i report rischia di bloccare la propria posta legittima; il percorso corretto è none per settimane, poi quarantine, poi reject.

Un esempio concreto

Uno studio professionale nota che le fatture inviate ai clienti finiscono sempre più spesso nello spam, mentre un fornitore segnala di aver ricevuto un'email dal dominio dello studio, con logo e firma corretti, che chiedeva un cambio di IBAN mai autorizzato: senza SPF, DKIM e DMARC chiunque può scrivere "da" quel dominio, ed è lo schema descritto alla voce business email compromise. Dal 1° febbraio 2024, secondo le linee guida ufficiali di Google per chi invia email, chi spedisce più di 5.000 messaggi al giorno verso indirizzi Gmail deve avere sia SPF sia DKIM, un record DMARC anche solo in modalità none e il mittente allineato ad almeno uno dei due: senza, i messaggi finiscono in spam o vengono respinti. È la causa più comune, e più facile da verificare, di un tasso di recapito che peggiora senza un motivo evidente.

Perché conta per chi decide

Senza questi tre record chiunque può inviare email che sembrano partire dal proprio dominio, ed è quasi sempre il primo passo di un tentativo di phishing mirato ai propri clienti o fornitori: il danno reputazionale di un cliente truffato "a nome" dell'azienda pesa più del costo di configurare i tre record, che è quasi nullo, un intervento DNS di poche righe. È anche un requisito ormai implicito per chiunque spedisca newsletter o comunicazioni commerciali verso Gmail: senza allineamento quei messaggi non arrivano più, a prescindere da quanto sia curato il loro contenuto. Il primo passo pratico, sempre, è pubblicare DMARC in p=none e leggere i report per qualche settimana prima di stringere.