Come configurare l'autenticazione e-mail per un dominio appena registrato
di
Ultimo aggiornamento:
10 10 minuti di lettura
I punti chiave da prendere in considerazione
- Un dominio appena registrato non dispone di SPF, DKIM o DMARC, il che lo rende un bersaglio di spoofing fin dal primo giorno
- Imposta i record nell'ordine corretto: prima SPF, poi DKIM e infine DMARC
- Inizia sempre impostando p=none in DMARC per effettuare un monitoraggio prima di applicare le regole
- Verifica tutti e tre i record dopo la propagazione del DNS utilizzando gli strumenti di controllo gratuiti di PowerDMARC
- Esaminare i rapporti aggregati DMARC prima di passare a un'applicazione più rigorosa delle politiche
Nel momento stesso in cui un dominio viene registrato, diventa un bersaglio di spoofing, anche prima che venga inviata una sola email. Senza SPF, DKIM o DMARC, chiunque può inviare email che sembrano provenire dal tuo dominio, e i server di ricezione non hanno gli strumenti tecnici per individuarle. Questa guida spiega come configurare l'autenticazione delle email nella sequenza corretta, con esempi concreti di record DNS, passaggi di verifica e indicazioni su cosa monitorare una volta che il sistema è operativo.
Perché i nuovi domini sono particolarmente vulnerabili
Un nuovo dominio non solo è privo di record di autenticazione, ma è privo di tutto: non ha una cronologia degli invii, né una reputazione, né una configurazione preesistente su cui basarsi. Questa combinazione comporta rischi specifici e richiede un approccio di configurazione diverso rispetto a quello utilizzato per un dominio già consolidato.
1. Reputazione del mittente non ancora disponibile
I provider di posta in arrivo utilizzano la cronologia degli invii per decidere come gestire i messaggi in arrivo. Un dominio che non ha mai inviato nulla non ha una cronologia, il che significa che i server di ricezione non sono in grado di distinguere un nuovo mittente legittimo da uno che si spaccia per qualcun altro basandosi esclusivamente sulla reputazione.
L'autenticazione delle e-mail colma questa lacuna. SPF, DKIM e DMARC forniscono ai provider di posta elettronica un segnale tecnico che attesta che sei tu a gestire il dominio e che lo hai configurato per autorizzare i mittenti legittimi, anche prima che si sia accumulata una reputazione. Le e-mail correttamente autenticate provenienti da un nuovo dominio potrebbero comunque finire inizialmente nella cartella dello spam, ma senza l'autenticazione avrai eliminato l'ultimo segnale di credibilità che i provider possono utilizzare a tuo favore.
2. I nuovi domini sono un bersaglio privilegiato per gli attacchi di spoofing
Gli hacker prendono di mira in particolare i domini nuovi e quelli registrati di recente, poiché quasi mai dispongono di record di autenticazione. Senza SPF, DKIM e DMARC, qualsiasi server può fingere di inviare messaggi dal tuo dominio e riuscirci.
L'esposizione riguarda diversi tipi di minaccia. Gli attacchi di usurpazione del marchio utilizzano il vostro dominio per contattare clienti o partner prima ancora che abbiate instaurato un rapporto con loro. Le campagne di phishing sfruttano il fatto che un nuovo dominio parte da zero: l'assenza di reputazione negativa comporta un minor numero di attivazioni dei filtri antispam. Il Business Email Compromise (BEC) può prendere di mira i tuoi fornitori o il tuo team interno utilizzando una versione contraffatta del tuo indirizzo. Qualsiasi azienda che invii aggiornamenti sui progetti, fatture o e-mail ai clienti, come una società di sviluppo software personalizzato ad Austin, è esposta al rischio finché non viene implementata l'autenticazione.
3. Nessun record preesistente da aggirare
È proprio qui che i domini nuovi presentano un vantaggio concreto rispetto a quelli già consolidati. I domini più vecchi accumulano nel tempo problemi relativi al DNS: un record SPF duplicato proveniente da una piattaforma sostituita anni fa, un selettore DKIM associato a un provider di posta elettronica che non invia più messaggi per loro conto, una politica DMARC bloccata su p=none che non è mai stata rivista.
Partire da zero significa configurare tutto correttamente sin dall'inizio. Nessuna verifica dei vecchi dati, nessun rischio di interrompere un flusso di posta elettronica esistente, nessuna configurazione errata ereditata da risolvere. La configurazione è più pulita, più veloce e più facile da verificare.
4. Considerazioni relative all'avvio a freddo
L'autenticazione e il warm-up del dominio sono processi correlati ma distinti. I record di autenticazione indicano ai server destinatari che la tua email è autorizzata. Il warm-up è il processo che consiste nel creare una cronologia di invio positiva, iniziando con volumi ridotti e aumentandoli gradualmente nel tempo.
L'autenticazione viene prima di tutto: non è possibile "riscaldare" un dominio che non supera i controlli di autenticazione. Una volta che SPF, DKIM e DMARC sono attivi e verificati, inizia con volumi di invio controllati e lascia che i rapporti DMARC si accumulino prima di inasprire le politiche o aumentare il volume degli invii in uscita.
Come autenticare l'e-mail?
Cosa ti serve prima di iniziare
-
Accesso al pannello DNS del tuo dominio
I record SPF, DKIM e DMARC vengono tutti pubblicati come record TXT nel DNS. Il pannello di controllo del DNS potrebbe trovarsi presso il tuo registrar di domini (Namecheap, GoDaddy, Cloudflare, ecc.) o presso il tuo provider di hosting. Per aggiungere nuovi record è necessario disporre dei diritti di scrittura: l'accesso in sola lettura non è sufficiente.
-
La tua piattaforma di invio e-mail
Le chiavi DKIM vengono generate dalla piattaforma di invio e-mail utilizzata, non inserite manualmente. Prima di poter pubblicare un record DKIM, è necessario completare la procedura di configurazione DKIM all'interno della piattaforma (Google Workspace, Microsoft 365, un servizio SMTP personalizzato o simili). La piattaforma genera la coppia di chiavi e fornisce il nome e il valore esatti del record da pubblicare nel DNS. Non è possibile creare un record DKIM valido indipendentemente dalla piattaforma di invio.
Se più di una piattaforma invia e-mail dal tuo dominio, individuale tutte fin da ora. Ciascuna dovrà essere inclusa nel tuo record SPF e potrebbe richiedere un proprio selettore DKIM.
-
Un indirizzo e-mail per i rapporti DMARC
I report aggregati DMARC vengono inviati all'indirizzo specificato nel tag "rua" del record DMARC. Può trattarsi di qualsiasi casella di posta monitorata: un indirizzo dedicato come [email protected], una casella di posta condivisa del team o un indirizzo fornito da una piattaforma di reportistica DMARC. È sufficiente che esista e venga controllato regolarmente. Senza un indirizzo "rua" funzionante, la fase di monitoraggio della configurazione DMARC non produce alcun risultato utilizzabile.
Passaggio 1 – Configurare il record SPF
L'SPF (Sender Policy Framework) indica ai server di posta in ricezione quali indirizzi IP sono autorizzati a inviare e-mail per conto del tuo dominio. Configura prima l'SPF: è la base su cui si fondano DKIM e DMARC.
L'SPF funziona tramite un unico record DNS TXT che elenca le fonti di invio autorizzate. Quando un server ricevente riceve un messaggio dal tuo dominio, verifica l'IP mittente confrontandolo con il tuo record SPF. Se l'IP è presente nell'elenco, il controllo ha esito positivo; in caso contrario, ha esito negativo.
v=spf1 include:_spf.google.com ~all
v=spf1 → indica che si tratta di un record SPF
include:… → autorizza tutti gli indirizzi IP all'interno dell'infrastruttura di posta di Google
~tutti → rifiuta in modo non rigido qualsiasi mittente non espressamente indicato
Come aggiungere il proprio record SPF
- Accedi al tuo provider DNS
- Crea un nuovo record TXT
- Imposta il campo " Host / Nome " su @ (che rappresenta il tuo dominio principale)
- Inserisci il valore SPF fornito dalla tua piattaforma di posta elettronica
- Salva il record
Se invii messaggi da più di una piattaforma, raggruppa tutti i mittenti in un unico record SPF. La pubblicazione di due record SPF TXT sul dominio principale compromette la convalida SPF: ne viene valutato solo uno e il risultato è imprevedibile.
v=spf1 include:_spf.google.com include:sendgrid.net ~all
Errori comuni relativi all'SPF sui domini nuovi
- Due record SPF: per ogni dominio è valido un solo record SPF TXT. La pubblicazione di due record invalida entrambi. Unisci tutte le fonti di invio in un unico record.
- Utilizzo di -all troppo precoce: l'opzione "hard-fail" respinge immediatamente i messaggi provenienti da qualsiasi mittente non presente nell'elenco. Utilizza prima l'opzione ~all (soft-fail) finché non avrai verificato l'elenco completo dei mittenti.
- Mancanza di una piattaforma di invio – Qualsiasi piattaforma che invii messaggi dal tuo dominio e non sia presente nell'SPF non supererà l'autenticazione. Assicurati di includere tutti i mittenti prima di salvare il record.
Passaggio 2 – Genera e pubblica il tuo record DKIM
Il protocollo DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica alle e-mail in uscita. I server di ricezione utilizzano una chiave pubblica presente nel tuo DNS per verificare che il messaggio provenga dal tuo dominio e non sia stato alterato durante il trasferimento.
Le chiavi DKIM vengono generate all'interno della piattaforma di invio e-mail: non è necessario inserirle manualmente. Accedi alla sezione dedicata a DKIM, all'autenticazione del dominio o alla configurazione della posta elettronica della tua piattaforma e segui le istruzioni fornite. La piattaforma genera una coppia di chiavi: una chiave privata (utilizzata per firmare i messaggi in uscita) e una chiave pubblica (pubblicata nel DNS in modo che i server di destinazione possano verificare le firme).
Ogni piattaforma assegna un selettore, ovvero un'etichetta nel nome del record che consente la coesistenza di più chiavi DKIM sullo stesso dominio. Se si utilizzano due piattaforme di invio, ciascuna avrà il proprio selettore e il proprio record DNS. Esempio di nome di record che utilizza il selettore google:
google._domainkey.tuodominio.com
Come pubblicare il proprio record DKIM
- Apri la sezione DKIM nella tua piattaforma di posta elettronica
- Copia il nome del record TXT (ad es. google._domainkey)
- Copia il valore del record TXT (la stringa della chiave pubblica)
- Apri il pannello DNS e crea un nuovo record TXT
- Inserisci il nome e il valore esattamente come indicati
- Salva, quindi torna alla tua piattaforma per avviare la verifica
Alcune piattaforme possono pubblicare automaticamente il record DKIM se gestiscono anche il tuo DNS: consulta la guida alla configurazione della tua piattaforma prima di aggiungerlo manualmente.
Come verificare se DKIM è attivo
Controllore DKIM PowerDMARC
Inserisci il tuo dominio e il selettore per verificare immediatamente che il tuo record DKIM sia attivo, formattato correttamente e superi la convalida.
La propagazione del DNS richiede in genere poche ore, ma può arrivare a durare fino a 48 ore. Se la verifica non va a buon fine dopo tale periodo, controlla che non vi siano spazi superflui nel valore, un nome host errato o una chiave troncata.
Passaggio 3 – Crea il tuo record DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) costituisce il livello delle politiche. Mentre SPF e DKIM gestiscono i controlli di autenticazione, DMARC indica ai server destinatari come comportarsi con i messaggi che non superano tali controlli e fornisce report aggregati che consentono di vedere esattamente chi sta inviando e-mail utilizzando il proprio dominio.
La politica DMARC più adatta per un nuovo dominio
Inizia sempre con p=none.
Una politica di solo monitoraggio implica che i messaggi non riusciti vengano comunque recapitati: nulla viene bloccato. Questo è il punto di partenza corretto per un nuovo dominio, poiché non si è ancora verificato che tutte le fonti di invio legittime siano correttamente autenticate. Passare direttamente alla modalità "p=reject" prima di esaminare i rapporti può comportare il blocco silenzioso di messaggi legittimi provenienti da un mittente che si è dimenticato di includere.
Avanzate attraverso questi livelli in base a quanto emerge dai vostri rapporti, non seguendo un calendario prestabilito.
Come creare e pubblicare il proprio record DMARC
Generatore di record DMARC di PowerDMARC
Crea un record DMARC correttamente formattato in pochi secondi. Seleziona la tua politica, aggiungi il tuo indirizzo RUA e copia il record TXT pronto per la pubblicazione.
Pubblica il record come record TXT su _dmarc.tuodominio.com.
Risultato minimo iniziale:
v=DMARC1; p=nessuno; rua=mailto:[email protected]
v=DMARC1 → indica che si tratta di un record DMARC
p=nessuno → modalità di monitoraggio (nessun messaggio bloccato)
rua=mailto: → indirizzo a cui vengono inviati i rapporti aggregati
Cosa fa il tag rua
Il tag rua è il punto in cui vengono recapitati i rapporti aggregati DMARC. Questi rapporti – inviati quotidianamente dai server di posta riceventi – elencano quali indirizzi IP hanno inviato e-mail utilizzando il tuo dominio, se tali messaggi hanno superato i controlli SPF e DKIM e se vi sono mittenti non riconosciuti che inviano messaggi a tuo nome. Senza il tag rua, il tuo record DMARC applica una politica ma non genera dati. Quando p=none, i rapporti sono l'unico risultato: omettere il tag rende l'intera fase di monitoraggio inutile.
Passaggio 4 – Verifica che i tuoi dati siano attivi
Dopo aver pubblicato tutti e tre i record, attendere il completamento della propagazione del DNS prima di eseguire la verifica. La maggior parte dei record viene propagata nel giro di poche ore; attendere fino a 48 ore prima di considerare un controllo non superato come un problema reale piuttosto che come un ritardo nella propagazione.
Strumenti per verificare SPF, DKIM e DMARC
- PowerDMARC SPF Checker – verifica che il tuo record SPF esista, abbia una sintassi corretta e includa i mittenti giusti
- PowerDMARC DKIM Checker – verifica che il record DKIM sia attivo con il selettore e il dominio corretti
- PowerDMARC DMARC Checker – verifica che il tuo record DMARC sia presente in _dmarc e che contenga tag di policy validi
- PowerDMARC DNS Propagation Checker – indica se i tuoi record sono stati propagati sui server DNS globali; utile quando uno strumento di verifica restituisce il messaggio "non trovato" poco dopo la pubblicazione
- PowerDMARC Domain Analyzer – esegue una scansione completa del dominio su SPF, DKIM, DMARC, BIMI, MTA-STS e TLS-RPT in un'unica schermata, consentendoti di verificare lo stato complessivo dell'autenticazione delle tue e-mail prima della messa in produzione
Cosa fare se un record non supera la verifica
Inizia dalle basi. Verifica che il tipo di record sia TXT, e non A, CNAME o MX. Controlla che il nome host corrisponda a quanto previsto dallo strumento: @ per SPF, _dmarc per DMARC e selector._domainkey per DKIM. Verifica la presenza di errori comuni dovuti al copia-incolla: spazi in eccesso, punti e virgola mancanti, virgolette riportate dall'interfaccia del pannello DNS o un punto finale nel nome del record.
Se nel DNS tutto sembra a posto, usa lo strumento di verifica della propagazione DNS per verificare se il record si è propagato completamente prima di supporre che ci sia un errore di configurazione.
Fase 5 – Monitorare i rapporti e i progressi compiuti verso l'applicazione delle misure
La pubblicazione dei record di autenticazione è solo l'inizio del processo, non la sua conclusione. La fase "p=none" serve al monitoraggio attivo: fornisce i dati necessari per verificare che la posta legittima superi l'autenticazione prima di applicare eventuali restrizioni.
I report aggregati DMARC grezzi vengono forniti in formato XML e non sono pensati per essere letti manualmente. PowerDMARC li converte in dashboard che mostrano, per ogni fonte di invio:
- Quali indirizzi IP hanno inviato e-mail a nome del tuo dominio
- Se i messaggi hanno superato o meno il controllo SPF
- Se i messaggi hanno superato o meno il controllo DKIM
- Se dal tuo dominio vengono inviati messaggi da mittenti non riconosciuti
Questi dati confermano se la tua configurazione funziona come previsto e mettono in evidenza eventuali piattaforme di invio che potresti aver tralasciato durante la configurazione di SPF o DKIM.
Quando passare da p=none a p=reject
Lascia che siano i tuoi report a dettare i tempi. Quando questi mostreranno in modo costante che tutte le fonti di invio legittime superano la verifica SPF o DKIM, passa a p=quarantine. Monitora la situazione per diverse settimane. Una volta che avrai la certezza che nessuna email legittima venga respinta, passa a p=reject. Non esiste un numero standard di giorni: il momento giusto per inasprire i controlli è quando i tuoi report ti indicano che sei pronto.
Errori comuni nell'autenticazione di un nuovo dominio
- Pubblicare due record SPF invece di uno solo compromette completamente la convalida SPF; raggruppare tutti i mittenti in un unico record
- Escludere DKIM – L'SPF da solo non è sufficiente per l'allineamento DMARC, e DKIM è l'unico controllo che resiste all'inoltro delle e-mail
- Impostare DMARC su p=reject prima di avviare il monitoraggio comporta il rischio di bloccare messaggi legittimi provenienti da un mittente che non è stato ancora autenticato
- Omettendo il tag "rua= " si elimina completamente la visibilità durante la fase di monitoraggio; i report aggregati non verranno inviati
- Non verificare i record dopo la propagazione: un record che sembra corretto nel pannello DNS potrebbe comunque contenere un errore di formattazione che solo uno strumento di convalida è in grado di rilevare
Conclusione
L'ordine è importante: prima l'SPF, poi il DKIM e infine il DMARC. Per un nuovo dominio, iniziare con p=none ti permette di verificare che la configurazione funzioni correttamente prima di applicare le misure di applicazione, proteggendo così la reputazione del tuo dominio prima ancora che tu abbia avuto modo di costruirla.
Per controllare i tuoi dati, eseguire una scansione completa del dominio o consultare i report aggregati in una dashboard intuitiva, prova PowerDMARC gratuitamente e attiva l'autenticazione prima di inviare la tua prima email su larga scala.
Domande frequenti
Devo effettuare l'autenticazione dell'e-mail se il mio dominio è appena stato creato?
Sì, configuralo prima ancora di inviare una sola e-mail. Un nuovo dominio privo di record di autenticazione è il bersaglio più facile per lo spoofing, e i primi rapporti DMARC potrebbero indicare che sono già in corso attività non autorizzate prima ancora che tu abbia inviato qualcosa.
Qual è l'ordine corretto per configurare SPF, DKIM e DMARC?
Prima SPF, poi DKIM, infine DMARC. DMARC valuta i risultati dei controlli SPF e DKIM, quindi entrambi devono funzionare correttamente affinché l'applicazione di DMARC abbia senso.
Quanto tempo occorre per la propagazione del DNS dopo l'aggiunta dei record di autenticazione?
La maggior parte delle modifiche viene propagata nel giro di poche ore. Si consiglia di attendere fino a 48 ore e di utilizzare lo strumento di verifica della propagazione DNS per confermare che la propagazione sia effettivamente completata, anziché darla per scontata.
Quale politica DMARC dovrei adottare per un nuovo dominio?
Inizia con p=none. Esamina i rapporti aggregati per verificare che tutti i mittenti legittimi superino l'autenticazione, quindi passa a p=quarantine e infine a p=reject. La progressione dovrebbe essere determinata dai dati dei rapporti, non da una tempistica prestabilita.
Posso configurare DMARC prima di iniziare a inviare e-mail?
Sì, e ne vale la pena. I rapporti DMARC mostreranno tutte le attività pre-invio sul tuo dominio, compreso l'uso non autorizzato che potrebbe già essere in atto. Utilizza il Domain Analyzer per eseguire una scansione completa dello stato di autenticazione del tuo dominio prima del primo invio.
Devo effettuare l'autenticazione se ricevo solo e-mail e non ne invio?
SPF e DKIM sono importanti soprattutto per le e-mail in uscita, ma si consiglia comunque di configurare un record DMARC anche per i domini utilizzati esclusivamente in ricezione. In assenza di tale record, chiunque potrebbe falsificare l'indirizzo del tuo dominio per inviare e-mail di phishing ai tuoi contatti, clienti o partner.
Specialista dei contenuti presso PowerDMARC
Milena è un'abile scrittrice e creatrice di contenuti con oltre 7 anni di esperienza nella creazione di contenuti coinvolgenti su IT, cybersicurezza, eventi virtuali e altro. Ha una comprovata esperienza nella realizzazione di lavori di alta qualità per riviste internazionali e si è laureata in istituzioni prestigiose come la New York University Abu Dhabi, l'UWC China e il College of Europe.
Ultimi messaggi di Milena Baghdasaryan (vedi tutti)
