Guida all'autenticazione delle e-mail di Attendance on Demand: SPF, DKIM e DMARC

Quando la tua organizzazione utilizza Attendance on Demand per inviare messaggi automatici (come avvisi relativi alla registrazione delle ore lavorative, notifiche di eccezioni o turni di lavoro) utilizzando il dominio aziendale (ad esempio, [email protected]), tali e-mail provengono dall’infrastruttura del fornitore, non dai tuoi server di posta interni.

Senza un’autenticazione DNS crittografica, i provider di posta in arrivo rischiano di segnalare questo comportamento come spoofing del dominio. L’implementazione di SPF, DKIM e DMARC colma questa lacuna di fiducia, riducendo significativamente i tassi di rimbalzo e proteggendo l’identità del vostro marchio.

(Nota: se i messaggi automatici vengono inviati utilizzando l'indirizzo predefinito del fornitore, ad esempio [email protected], è il fornitore stesso a gestire l'autenticazione. I passaggi riportati di seguito si applicano solo se si desidera utilizzare un indirizzo "Da" personalizzato, allineato al proprio dominio).

Passaggio 1: Richiedi i tuoi valori DNS personalizzati

La documentazione pubblica per sviluppatori relativa ad Attendance on Demand si concentra esclusivamente sui servizi web e sulle API, non sull'autenticazione tramite e-mail. Poiché la piattaforma assegna identificatori univoci a ciascun cliente, non è possibile utilizzare istruzioni di configurazione generiche né copiare i record da un altro tenant.

1. Apri una richiesta di assistenza: contatta il tuo partner di canale Attendance on Demand o il referente dell'assistenza. Richiedi l'attivazione della funzione “invio con dominio personalizzato” per il tuo tenant.

2. Richiedere i valori DNS espliciti: richiedere tutti i parametri di autenticazione necessari:

• Per SPF: il nome host/destinazione esatto del Return-Path (envelope-from) oppure la specifica istruzione "include:" generata per il tuo tenant.
• Per DKIM: il nome del selettore DKIM, il dominio di firma previsto (valore d=), il tipo di record DNS (CNAME o TXT) e la chiave pubblica/di destinazione.

3. Non apportare modifiche al DNS: attendi di ricevere questi valori esatti. Indovinare i meccanismi di autenticazione o pubblicare record non autorizzati comporta rischi per la sicurezza e causerà errori DMARC.

Fase 2: Configurazione di Attendance on Demand SPF

SPF verifica l'infrastruttura autorizzata a inviare email per conto tuo. Per superare il controllo DMARC tramite SPF, il dominio contenuto nell'intestazione nascosta “Return-Path” deve corrispondere al tuo indirizzo “Da” visibile.

Warning: Attendance on Demand publishes a list of IP addresses online for firewall configurations (HTTP/HTTPS/SMTP). Do not use these IP ranges to build your own SPF record. Outbound mail may utilize entirely different routing. Only use the specific SPF mechanism provided by your support partner.

Opzione A: Utilizzo di un sottodominio Return-Path (consigliato)

Se il tuo partner mette a disposizione un sottodominio dedicato per gestire il Return-Path (ad es., notify.yourdomain.com), pubblica il record CNAME o TXT seguendo esattamente le istruzioni. In questo modo si isola il percorso di autenticazione senza interferire con la tua posta elettronica aziendale standard.
(Esempio puramente strutturale; sostituisci i segnaposto con i valori che ti sono stati forniti):

• Tipo: CNAME
• Host: notify (o il sottodominio delegato)
• Value: <return-path-target-from-aod>

Opzione B: Unire un'istruzione "Include"

Se il tuo partner emette un meccanismo "include:" specifico per il tuo dominio principale, devi integrarlo nel tuo record SPF esistente. Non creare mai più record SPF.

• Prima:

v=spf1 include:spf.protection.outlook.com ~all

• Dopo (Esempio):

v=spf1 include:spf.protection.outlook.com include: ~all

Consiglio da esperto: tieni d’occhio il limite di 10 query SPF. Se l’aggiunta di questo provider ti fa superare il limite, valuta la possibilità di utilizzare l’Hosted SPF di PowerDMARC per semplificare automaticamente i tuoi record. Puoi anche verificare la tua configurazione attuale con lo strumento di verifica SPF di PowerDMARC.

Fase 3: Configurazione del DKIM personalizzato

Il DKIM rappresenta spesso il livello di autenticazione più importante per Attendance on Demand, soprattutto se per determinati tipi di avvisi automatici non è disponibile un instradamento personalizzato del Return-Path. Esso applica una firma crittografica che verifica che il contenuto dell'e-mail non sia stato manomesso.

Accedi alla tua console di gestione DNS e crea il record seguendo esattamente le indicazioni fornite dal tuo partner.

(Esempio puramente strutturale; sostituire i segnaposto con i valori assegnati):

• Tipo: CNAME (o TXT)
• Host Record / Name: <selector-provided>._domainkey
• Value: <tenant-dkim-target-from-aod>

Prossimo passo fondamentale: la pubblicazione del record DNS non avvia immediatamente il processo di firma. È necessario contattare il proprio partner Attendance on Demand per attivare la firma DKIM da parte loro. Inoltre, è necessario inviare un messaggio completamente nuovo per testare il funzionamento; le e-mail inviate in precedenza non possono acquisire retroattivamente la nuova firma. A questo punto è possibile verificare se le chiavi sono già attive utilizzando lo strumento di verifica DKIM di PowerDMARC.

Passaggio 4: Configurare il record DMARC

DMARC stabilisce come i server di ricezione debbano gestire i messaggi che non superano l’autenticazione. Affinché il DMARC risulti positivo, un messaggio deve avere almeno un “pass” allineato, il che significa che SPF o DKIM devono superare l’autenticazione utilizzando un dominio che corrisponda al tuo indirizzo “Da” visibile.
Utilizza il generatore gratuito di record DMARC di PowerDMARC per creare in tutta sicurezza la tua politica.

1. Accedi alle impostazioni DNS e crea un nuovo record.

2. Avviare il sistema in modalità “solo monitoraggio” per ottenere visibilità senza bloccare la posta legittima:

• Tipo: TXT
• Host/Nome: _dmarc
• Valore: v=DMARC1; p=none; rua=mailto:[email protected];

3. Salva il tuo nuovo record TXT.

Fase 5: Verifica, risoluzione dei problemi e applicazione

Per verificare che la configurazione stia effettivamente proteggendo il tuo traffico, devi eseguire un test in tempo reale.

Attivazione di un messaggio di prova

A seconda dei tuoi permessi, potrebbe essere necessario che sia il tuo partner di canale a eseguire questa operazione. Se disponi di accesso amministrativo, vai su Configurazione globale > Processi, crea o seleziona un processo di report via e-mail ed esegui un report operatore (ad esempio, impostando una pianificazione su “Esegui ora” con invio a una casella di posta che controlli).

Analisi delle intestazioni

Una volta ricevuto il messaggio di prova, visualizza le intestazioni dell'e-mail in formato grezzo manualmente oppure utilizzando il nostro strumento gratuito " Email Header Analyzer " per ottenere immediatamente informazioni di facile comprensione.

1. Controlla l'SPF: verifica che l'SPF sia "pass". Assicurati che il dominio smtp.mailfrom (Return-Path) corrisponda al tuo indirizzo "Da" visibile.
2. Controlla DKIM: verifica che sia presente dkim=pass. Assicurati che il tag d= (dominio di firma) corrisponda al dominio della tua organizzazione.
3. Verifica DMARC: controlla che nell'intestazione "Authentication-Results" sia presente "dmarc=pass". Per risolvere eventuali errori nel tuo record DMARC, utilizza lo strumento gratuito " DMARC Record Checker " di PowerDMARC per ottenere informazioni dettagliate sugli errori.

Se il test fallisce: quando segnali un problema al tuo partner, non limitarti a dire che “DMARC ha dato esito negativo”. Forniscigli le intestazioni complete e non elaborate dell’e-mail, l’ora di invio (UTC), l’indirizzo del destinatario e la riga esatta di “Authentication-Results” che ha dato esito negativo, in modo che possa individuare con precisione il problema di instradamento.

Passaggio alla fase di esecuzione (p = rigetto)

Non affrettatevi ad adottare una politica di “p=reject”. Raccomandiamo vivamente di mantenere l’impostazione “p=none” per almeno due cicli economici completi. Questo periodo di attesa garantisce che i messaggi automatici sporadici, come i riepiloghi delle buste paga di fine mese o gli avvisi di sistema trimestrali, abbiano il tempo di essere generati, consentendovi di verificarne lo stato di autenticazione nei vostri report aggregati prima di applicare rigide regole di blocco.

Parole finali

Sei pronto a ottimizzare la sicurezza della tua posta elettronica? Il team di PowerDMARC può aiutarti a monitorare con tranquillità il traffico di Attendance on Demand tramite report aggregati XML dettagliati, a passare in tutta sicurezza attraverso le fasi di implementazione del DMARC e a semplificare la sicurezza del tuo dominio.

Contatta il nostro team o prenota oggi stesso una demo di PowerDMARC per proteggere le comunicazioni della tua azienda!

• Informazioni su
• Ultimi messaggi

Yunes Tarada

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.

Ultimi messaggi di Yunes Tarada (vedi tutti)

• Guida alla configurazione di DKIM, DMARC e SPF su Stripe - 11 settembre 2026
• Guida all’autenticazione delle e-mail di Attendance on Demand: SPF, DKIM e DMARC - 11 settembre 2026
• Guida all'autenticazione delle e-mail di Greatmail: SPF, DKIM e DMARC - 11 settembre 2026