Generatore di record SPF e DMARC
Due righe brevi nella tua zona DNS decidono quali server possono inviare e-mail a nome del tuo dominio e cosa succede a chiunque altro ci provi. Rispondi a qualche domanda e il generatore scrive entrambe le righe man mano.
SPF
Tick everything that puts your domain in a From line: the mailbox service, the newsletter platform, the billing or help desk app, the web server behind your contact form.
Per un mittente non elencato qui sopra: incolla i termini ip4:, ip6: o include: che ti ha fornito, separati da uno spazio.
Mailchimp is absent on purpose. It passes DMARC through DKIM, which you switch on in its domain settings, and needs no SPF term.
DMARC
Your instruction to receivers for mail that uses your domain and passes neither check, plus the mailbox where they report what they saw.
Use a mailbox made for this: each large receiver sends one XML file a day. No address, no reports.
DNS changes take from a few minutes to a few hours to spread. After that, confirm both records with the SPF, DKIM and DMARC checkup.
Cosa c’è dentro i due record
Sono entrambi record TXT, il tipo di voce DNS a testo libero. Un record SPF si legge da sinistra a destra, e vince il primo termine che corrisponde al server mittente:
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.5 ~all
v=spf1- Indica che il record è SPF. Deve venire per primo.
include:- Importa l’elenco dei server che un provider tiene aggiornato per i suoi clienti. Non devi mai conoscerne gli indirizzi IP.
ip4:,ip6:- Un indirizzo o un intervallo, per un server che gestisci tu.
mx,a- Le macchine a cui puntano in quel momento i tuoi record MX o l’indirizzo del tuo sito.
~allo-all- Il verdetto per tutti gli altri server: soft fail (accetta con sospetto) o fail.
Un record DMARC è un elenco di tag separati da punto e virgola, pubblicato sotto il nome _dmarc:
v=DMARC1; p=none; rua=mailto:dmarc@example.com;
p= è la policy per le e-mail che non superano il controllo, e rua= è dove i destinatari inviano il loro riepilogo giornaliero.
Come il generatore li compone
Ogni casella che spunti aggiunge un termine. L’elenco contiene quindici mittenti comuni, da Google Workspace e Microsoft 365 a SendGrid, Amazon SES e Shopify, ciascuno con l’include pubblicato nella sua documentazione. Il campo libero accetta termini ip4:, ip6: e include:, e se scrivi un semplice nome host viene trasformato in un include.
Il generatore conta una ricerca DNS per ogni include, mx e a, e inizia ad avvisarti a sette. SPF ne consente dieci in tutto, e la maggior parte degli include contiene a sua volta altri include che il generatore non può vedere dal tuo browser.
Se non spunti nulla, ottieni v=spf1 -all, e la policy DMARC sale da none a reject. Questa coppia è la configurazione giusta per un dominio che non invia alcuna e-mail.
Il dominio che scrivi serve solo a mostrare i nomi dei record e a preparare il link al controllo. Non esce mai dalla pagina.
Inserire i record presso il tuo provider DNS
Apri la zona DNS dove si trovano i tuoi name server, che può essere il registrar, Cloudflare o la società di hosting. Aggiungi due record TXT.
| Record | Campo nome o host | Valore |
|---|---|---|
| SPF | @, oppure vuoto, oppure il dominio stesso | La riga che inizia con v=spf1 |
| DMARC | _dmarc | La riga che inizia con v=DMARC1 |
La maggior parte dei pannelli di controllo aggiunge il dominio al posto tuo, quindi scrivere _dmarc.example.com creerebbe _dmarc.example.com.example.com. Ometti le virgolette a meno che il pannello non le richieda.
Se esiste già un record TXT che inizia con v=spf1, modifica quello. Un secondo record li rende entrambi non validi. Lo stesso vale per _dmarc.
Cosa il generatore lascia a te
Qui non trovi DKIM, perché ogni servizio di invio crea la propria coppia di chiavi. Cerca «autenticazione del dominio» nelle sue impostazioni, dove ti fornisce da uno a tre record CNAME o TXT da aggiungere. È importante per DMARC, che passa quando SPF o DKIM riesce sotto il tuo dominio. Le piattaforme di newsletter spesso inviano con un proprio indirizzo di bounce, quindi SPF non le copre e il lavoro tocca a DKIM.
Inizia con p=none. Dopo due-quattro settimane di report, aperti con il lettore di report DMARC, conoscerai ogni fonte. Poi passa a quarantine e più tardi a reject, e da ~all a -all se vuoi.
Il generatore non legge il tuo DNS attuale, quindi non può dirti cosa è già pubblicato né quante ricerche costano davvero i tuoi include. Una volta che i record sono attivi, lancia il controllo SPF, DKIM e DMARC, che segue ogni include e li conta.
Domande frequenti
Come creo un record SPF per Google Workspace o Microsoft 365?
Solo per Google Workspace: v=spf1 include:_spf.google.com ~all. Solo per Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all. Aggiungi un include: per ogni altro servizio che invia a nome del tuo dominio, tutto nello stesso record.
Che indirizzo mettere in rua nel record DMARC?
Una casella creata apposta, come dmarc@yourdomain, oppure l’indirizzo che ti fornisce un servizio di analisi dei report. Aspettati un allegato XML al giorno da ogni grande provider. Un indirizzo su un altro dominio funziona solo se quel dominio pubblica un record che accetta i tuoi report.
Quanto ci mette un nuovo record SPF o DMARC a funzionare?
Un record nuovo di solito compare nel giro di pochi minuti. Un record modificato può continuare a essere servito dalle cache per tutta la durata del TTL precedente, spesso un’ora e a volte un giorno. Puoi seguirlo con il controllo di propagazione DNS.
Mi serve SPF se ho già DKIM?
Uno dei due basta per DMARC, ma Gmail e Yahoo li chiedono entrambi ai mittenti di massa, e alcuni destinatari ti penalizzano se manca il record SPF. Pubblicali entrambi.
Perché Mailchimp non è nell’elenco?
Mailchimp invia con un proprio indirizzo di ritorno, quindi un termine SPF sul tuo dominio non viene mai valutato per le sue e-mail. Supera DMARC tramite DKIM, una volta aggiunti i record CNAME mostrati nella sua pagina di autenticazione del dominio.
Posso avere record SPF separati per i sottodomini?
Sì. SPF viene cercato sul dominio esatto dell’indirizzo di ritorno, quindi news.example.com ha il proprio record e le proprie dieci ricerche. Spostare un mittente pesante su un sottodominio è un modo classico per restare sotto il limite.