Guida alla configurazione di Twikey SPF, DKIM e DMARC

Se invii promemoria di pagamento, conferme di mandato o e-mail di fatturazione tramite Twikey e non hai ancora autenticato il tuo dominio di invio, questa guida ti illustrerà l'intera procedura.

Twikey ti permette di inviare queste e-mail dal tuo dominio personale anziché da un indirizzo generico di Twikey, ma questa comodità funziona solo se i server di posta dei destinatari si fidano di esso. SPF, DKIM e DMARC sono i tre record che garantiscono tale fiducia. Insieme confermano che Twikey è autorizzato a inviare messaggi per tuo conto, dimostrano che il contenuto del messaggio non è stato alterato durante il transito e indicano ai provider di posta elettronica come gestire i messaggi che non superano entrambi i controlli.

Perché autenticare il proprio dominio su Twikey

Twikey è una piattaforma dedicata alla fatturazione ricorrente e alle autorizzazioni digitali utilizzata dalle aziende per riscuotere i pagamenti, gestire le autorizzazioni SEPA e di altro tipo e inviare ai propri clienti comunicazioni relative alle transazioni, quali link di pagamento e fatture. Poiché queste e-mail contengono spesso richieste di natura finanziaria, rappresentano un bersaglio naturale per gli attacchi di spoofing, rendendo l’autenticazione non tanto una formalità tecnica quanto piuttosto una misura di prevenzione delle frodi.

Configurare correttamente SPF, DKIM e DMARC offre alcuni vantaggi concreti:

• Riduzione del rischio di spoofing: in assenza di un record SPF che indichi Twikey come mittente autorizzato, nulla impedisce a terzi di falsificare e-mail che sembrano provenire dal tuo dominio di fatturazione.
• Migliore posizionamento nella posta in arrivo: i provider di posta elettronica come Gmail e Outlook considerano sempre più spesso come sospette le e-mail di massa e transazionali non autenticate, spingendola così nella cartella dello spam.
• Visibilità sul flusso di posta: un record DMARC configurato correttamente con la funzione di segnalazione abilitata ti mostra chi invia messaggi utilizzando il tuo dominio, compresi i servizi di cui potresti esserti dimenticato.
• Una base per politiche più rigorose: una volta che i mittenti legittimi vengono autenticati correttamente, è possibile passare dalla fase di monitoraggio a quella di applicazione delle regole DMARC e bloccare effettivamente i messaggi contraffatti prima che raggiungano la casella di posta in arrivo.

Scegliere il metodo di invio

Twikey offre due modi per inviare e-mail e la procedura di configurazione varia leggermente a seconda dell'opzione scelta.

1. Server SMTP Twikey

Twikey si occupa della consegna al posto tuo. Le e-mail vengono inserite in una coda di invio, quindi nei periodi di traffico intenso, come all'inizio del mese quando il volume delle fatture raggiunge picchi elevati, la consegna potrebbe subire un ritardo di qualche minuto.

2. Server SMTP personalizzato

È possibile collegare il proprio provider, come SendGrid o Combell, ottenendo così il pieno controllo sull’invio dei messaggi e aggirando completamente la coda di Twikey. Si noti che Gmail e Office 365 non sono supportati come provider SMTP personalizzati, poiché entrambi richiedono che l’indirizzo “Da” corrisponda al nome utente dell’account ed entrambi limitano il volume dei messaggi in uscita.

Qualunque opzione tu scelga, la configurazione di SPF e DKIM descritta di seguito si applica allo stesso modo, poiché entrambe si basano sui record DNS piuttosto che sul metodo di invio in sé.

Passaggio 1: Configurare il record SPF

L'SPF indica ai server di posta in ricezione quali server sono autorizzati a inviare messaggi per conto del proprio dominio. Se arriva un messaggio che dichiara di provenire dal proprio dominio ma che in realtà proviene da un server non elencato nel proprio record SPF, il server ricevente ha motivo di segnalarlo o rifiutarlo.

Se disponi già di un record SPF, aggiungi ad esso il meccanismo di inclusione di Twikey, anziché crearne un secondo. Un dominio dovrebbe avere sempre e solo un record TXT SPF; la presenza di più record causa errori di convalida.

Ad esempio, se il tuo record attuale recita:

v=spf1 include:_spf.google.com ~all

Aggiornalo come segue:

v=spf1 include:_spf.google.com include:_spf.twikey.com ~all

Se non disponi ancora di un record SPF, aggiungi un nuovo record TXT:

Un dettaglio che vale la pena segnalare al vostro team IT: Twikey non risolve gli include annidati durante il proprio controllo di validità, quindi se la vostra configurazione SPF presenta già una catena complessa di include, effettuate un test accurato dopo aver aggiunto questo.

Se stai raggiungendo il limite delle ricerche DNS, la specifica alla base dell’SPF limita a dieci il numero di meccanismi che attivano una ricerca DNS per ogni record, e ogni inclusione conta in genere come una. Se sei vicino a tale limite, Twikey supporta due meccanismi alternativi che evitano una ricerca aggiuntiva:

• v=spf1 a:mail.twikey.com ~all, che punta direttamente al server di posta di Twikey e si aggiorna automaticamente se l'IP sottostante cambia.
• v=spf1 ip4:52.29.184.146 ~all, che autorizza direttamente l'indirizzo IP di Twikey. Questo IP è attualmente statico, anche se Twikey precisa che potrebbe cambiare; pertanto, il meccanismo "a:" rappresenta la scelta più sicura nel lungo termine.

Se il tuo record SPF ha già superato il limite su più servizi, iscriviti oggi stesso alla nostra soluzione SPF in hosting per risolvere in modo dinamico gli errori e le limitazioni relativi all'SPF.

Passo 2: Configurare DKIM

Il protocollo DKIM appone una firma digitale ai messaggi in uscita, consentendo al server ricevente di verificare che l’e-mail provenga effettivamente dall’infrastruttura di Twikey e non sia stata modificata durante il percorso. Twikey non lo rende obbligatorio, ma si tratta del fattore più importante per garantire la recapitabilità, poiché il superamento del controllo DKIM è solitamente ciò che garantisce la conformità DMARC anche quando l’allineamento SPF non è perfetto.

La configurazione DKIM di Twikey utilizza due record CNAME anziché uno solo, poiché separa l'ambiente di produzione da quello di test:

Il selettore dell'app riguarda l'invio in produzione, mentre quello di test riguarda l'ambiente beta di Twikey. Entrambi devono essere presenti affinché DKIM possa effettuare correttamente la convalida, anche se non stai ancora utilizzando attivamente l'ambiente di test.

Passaggio 3: Configurare l'integrazione in Twikey

Una volta che i record DNS saranno attivi, vai su Impostazioni > Integrazioni > Email nella tua dashboard Twikey e scegli il metodo di invio.

For either method, enter a FROM address with a friendly display name, for example Twikey Support <[email protected]>, so the recipient sees a recognizable name rather than a raw email address. If you added the DKIM records in Step 2, enable the DKIM checkbox before running the test.

Per un server SMTP personalizzato, ti serviranno inoltre l'host, la porta e le credenziali fornite dal tuo provider. Se lasci il campo della porta vuoto, Twikey imposta come valore predefinito la porta 25, oppure la 587 se è abilitato il protocollo SSL.

Fai clic su "Test", verifica che l'e-mail di prova sia stata ricevuta, quindi salva. Se il test non va a buon fine, il problema è quasi sempre uno dei seguenti tre: il DNS non si è ancora propagato, c'è un errore di battitura in uno dei record oppure il dominio inserito non corrisponde a quello presente nel DNS. Uno strumento di verifica della propagazione DNS può confermare se i record sono già attivi.

Fase 4: Configurazione di DMARC

Questa è la parte che la documentazione di Twikey non tratta, poiché DMARC opera a livello di dominio piuttosto che all’interno delle impostazioni di una singola piattaforma di invio. Funziona insieme ai record SPF e DKIM che hai appena configurato, ma va pubblicato una sola volta per l’intero dominio e si applica a tutti i servizi che inviano e-mail a tuo nome, non solo a Twikey.

Anziché cercare di indovinare la sintassi, utilizza il generatore gratuito di record DMARC di PowerDMARC per creare il record:

1. Imposta la politica su p=none se sei alle prime armi con l'autenticazione delle e-mail. In questo modo i server di ricezione continueranno a consegnare la posta come di consueto, generando comunque dei report su ciò che viene accettato e ciò che viene rifiutato: è esattamente ciò che ti serve prima di aver verificato che tutti i mittenti legittimi vengano autenticati correttamente. Assicurati di aggiornare la politica impostandola su p=reject/quarantine una volta che avrai acquisito sicurezza nella tua configurazione.
2. Aggiungi un indirizzo di riferimento nel campo "rua", in modo che i rapporti aggregati vengano inviati in un luogo che controlli effettivamente.
3. Copia il valore TXT generato e aggiungilo come nuovo record DNS:

Dopo aver esaminato i rapporti relativi a un paio di settimane e aver verificato che Twikey e gli altri mittenti effettuino correttamente l'autenticazione, potrai impostare la politica su p=quarantine e, successivamente, su p=reject per garantire la piena applicazione del DMARC. Passare direttamente a p=reject senza quel periodo di monitoraggio comporta il rischio di bloccare le tue stesse fatture e i tuoi solleciti di pagamento, il che vanificherebbe lo scopo stesso della misura.

Per ulteriori informazioni, puoi consultare la guida ufficiale di Twikey alla configurazione dell'autenticazione tramite e-mail.

Verifica della configurazione

Oltre al test integrato in Twikey, vale la pena verificare separatamente l'aspetto relativo al DNS:

• Esegui un controllo SPF sul tuo dominio e verifica che _spf.twikey.com (o il meccanismo alternativo da te scelto) compaia nel risultato.

• Verifica entrambi i selettori DKIM, "app" e "test", utilizzando uno strumento di ricerca DKIM. Entrambi dovrebbero restituire una chiave valida senza errori.

• Verifica che il tuo record DMARC sia pubblicato e leggibile utilizzando il nostro strumento di verifica dei record DMARC e tieni d'occhio la tua prima serie di report aggregati per individuare eventuali mittenti che ti sono sfuggiti.

Se uno di questi restituisce un risultato vuoto subito dopo la pubblicazione, aspetta un giorno. La propagazione DNS dei nuovi record può richiedere da pochi minuti fino a 48 ore, a seconda del tuo registrar e delle impostazioni TTL esistenti.

Parole finali

SPF e DKIM garantiscono che le tue e-mail arrivino a destinazione, mentre DMARC indica ai server di destinazione come gestire i messaggi non autorizzati. La configurazione di Twikey gestisce bene i primi due aspetti, ma spetta a te configurare e monitorare il record DMARC a livello di dominio; vale la pena farlo correttamente, vista la quantità di posta finanziaria e normativa che transita su una piattaforma come questa.

Se desideri ricevere assistenza per passare da una politica DMARC di solo monitoraggio a una di piena applicazione, oppure se vuoi avere una visibilità costante su chi invia email a nome del tuo dominio, contatta il team di PowerDMARC o prenota una demo per vedere la piattaforma in azione.

• Informazioni su
• Ultimi messaggi

Yunes Tarada

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Yunes è un Operations Team Lead di PowerDMARC, esperto di autenticazione e sicurezza delle e-mail. Yunes è un Azure Administrator Associate certificato da Microsoft con certificazioni in CompTIA A+ e molte altre.

Ultimi messaggi di Yunes Tarada (vedi tutti)

• Guida alla configurazione di Twikey SPF, DKIM e DMARC - 11 agosto 2026
• Che cos’è il “whaling” nel campo della sicurezza informatica? - 7 agosto 2026
• Che cos’è un filtro antispam e come protegge la posta elettronica aziendale - 6 agosto 2026