Verificare SPF, DKIM e DMARC
Inserisci un nome di dominio. Leggiamo i suoi tre record di autenticazione della posta, seguiamo la catena SPF fino in fondo, e ti diciamo cosa impedisce alle tue email di arrivare.
I tre record, e cosa prova ciascuno
| Record | Cosa dice | L'errore più comune |
|---|---|---|
| SPF | quali server possono inviare per il dominio | più di dieci ricerche DNS, a forza di aggiungere servizi di invio |
| DKIM | una firma che prova che l'email non è stata modificata | un servizio di invio aggiunto senza pubblicarne la chiave |
| DMARC | cosa fare di un'email che non supera nessuno dei due, e a chi riferire | p=none impostato anni fa e mai irrigidito |
Perché è diventato obbligatorio
Da febbraio 2024, Gmail e Yahoo esigono SPF o DKIM, e DMARC, da chiunque invii in grandi volumi; Microsoft ha seguito nel 2025. Senza, le tue email vengono rifiutate o finiscono nello spam, comprese fatture e conferme d'ordine.
Il limite delle dieci ricerche
Ogni include:, a, mx o redirect= del tuo SPF richiede una ricerca DNS, e ogni include ne richiama spesso altri. Oltre dieci, lo standard dice che lo SPF è in errore: per tutti i tuoi invii, senza che nulla si rompa in modo visibile. È il guasto più frequente, e il più invisibile. Questo strumento segue la catena fino in fondo e conta.
DMARC, in ordine
Parti da p=none con un indirizzo rua per ricevere i rapporti, correggi i servizi di invio che falliscono, passa a p=quarantine, poi a p=reject. Restare in p=none significa osservare senza mai proteggere.
Cosa questo strumento non fa
- Non invia alcuna email: legge il DNS. Per vedere il risultato reale di un invio, guarda l'intestazione Authentication-Results di un'email ricevuta.
- Non può provare l'assenza di DKIM: solo trovarlo con i selettori comuni.
- Non verifica BIMI né MTA-STS, che vengono dopo una configurazione DMARC rigorosa.
Domande frequenti
Le mie email finiscono nello spam anche se lo SPF è valido. Perché?
Perché lo SPF da solo non basta più: Gmail e Yahoo chiedono anche DKIM e DMARC, e l'allineamento tra il dominio del mittente e quello che firma. Un servizio di invio (newsletter, fatturazione) che firma con il proprio dominio spesso fallisce l'allineamento.
Che differenza c'è tra ~all e -all?
~all segna come sospette le email provenienti da altrove, -all chiede di rifiutarle. ~all è l'impostazione comune: poi decide DMARC. -all è più severo, e rompe gli inoltri di posta.
Conviene passare subito DMARC a reject?
No. Passa prima da p=none con i rapporti (rua) per qualche settimana, correggi i servizi di invio che falliscono, poi quarantine, poi reject. Passare a reject troppo presto fa sparire email legittime.
Gli altri strumenti
Verificare un certificato SSL
Data di scadenza del certificato, emittente e nomi realmente coperti.
Verificare gli header di sicurezza
HSTS, CSP, X-Frame-Options e gli altri: un voto su 100, con la griglia e gli header grezzi.
La mia pagina può essere indicizzata?
Noindex, robots.txt, canonical, codice HTTP: cosa impedisce a Google e Bing di indicizzare una pagina, motore per motore.
Il tuo sito e il tuo dominio, sorvegliati
Expansel verifica il tuo sito e il suo certificato a intervalli regolari e ti avvisa prima della scadenza del dominio: i tre guasti che interrompono anche la posta.