Cos'è l'autenticazione email?

Definizione

L'autenticazione email è un gruppo di standard tecnici, pubblicati come record nel DNS del tuo dominio, che verificano l'origine e l'integrità di un messaggio email. L'email non è stata concepita pensando alla verifica del mittente, quindi per impostazione predefinita chiunque può inserire qualsiasi indirizzo nel campo From. L'autenticazione chiude questa lacuna dando ai server riceventi un modo per controllare se un messaggio che dichiara di provenire dal tuo dominio è stato effettivamente autorizzato da esso.

Sono tre i protocolli a svolgere il lavoro. SPF, il Sender Policy Framework, dichiara quali mail server sono autorizzati a inviare per conto del tuo dominio. DKIM, DomainKeys Identified Mail, allega una firma crittografica a ciascun messaggio così il destinatario può confermare che non è stato manomesso e che ha avuto origine dal tuo dominio. DMARC, Domain-based Message Authentication, Reporting and Conformance, lega quei controlli all'indirizzo che i destinatari vedono davvero e dice ai destinatari come gestire la posta che fallisce. Uno standard collegato, BIMI, può mostrare un logo del marchio verificato una volta che DMARC è applicato, ma si basa su questo stack anziché sostituirlo.

L'autenticazione è una proprietà del dominio mittente, configurata dal proprietario del dominio nel DNS. Non è qualcosa che imposta un destinatario, ed è separata dalla questione se i destinatari nella tua lista siano reali. Quella seconda questione è il compito della verifica email, ed è per questo che le due vengono spesso trattate fianco a fianco.

Come funziona

Ciascun protocollo entra in azione nel momento in cui un server ricevente accetta un messaggio. SPF funziona tramite un record DNS che elenca gli indirizzi IP e i server autorizzati a inviare posta per il tuo dominio. Quando arriva un messaggio, il server ricevente guarda l'indirizzo IP del server mittente e lo confronta con il tuo record SPF pubblicato. Se l'IP è elencato, SPF supera la verifica; in caso contrario, fallisce.

DKIM funziona tramite la crittografia a chiave pubblica. Il tuo sistema di invio firma i messaggi in uscita con una chiave privata, allegando una firma nell'header del messaggio, e pubblica la corrispondente chiave pubblica nel DNS. Il server ricevente recupera la chiave pubblica, valida la firma e conferma due cose in una volta: il messaggio è stato firmato dal tuo dominio e le parti firmate del messaggio non sono state alterate durante il transito.

DMARC sta sopra e aggiunge il concetto di allineamento. SPF e DKIM autenticano ciascuno un dominio, ma quel dominio non è sempre quello che una persona vede nella riga From. DMARC richiede che il dominio autenticato si allinei con il dominio From visibile, ed è questo che impedisce a un attaccante di superare l'autenticazione su un dominio che controlla mentre spoofa il tuo nell'indirizzo visibile. Un record DMARC pubblica anche una policy: p=none chiede ai destinatari solo di monitorare e fare report, p=quarantine chiede loro di trattare con sospetto la posta che fallisce, e p=reject chiede loro di bloccarla. DMARC genera inoltre report aggregati che ti mostrano chi sta inviando posta sotto il tuo dominio, il che è preziosissimo per individuare configurazioni errate e abusi.

Perché è importante per la deliverability delle email

L'autenticazione email è passata da best practice a requisito obbligatorio. Gmail e Yahoo applicano requisiti per i mittenti che rendono l'autenticazione una precondizione per il recapito. Ogni mittente ha bisogno di SPF o DKIM attivo, insieme a un reverse DNS valido, un record PTR configurato correttamente e una trasmissione cifrata in TLS. Chi invia in massa, ovvero chi invia circa 5.000 o più messaggi al giorno a indirizzi Gmail, ha obblighi aggiuntivi: deve pubblicare un record DMARC, superare l'allineamento del dominio e offrire la disiscrizione con un clic sulla posta di marketing. Yahoo applica regole molto simili e si aspetta che chi invia in massa mantenga i tassi di reclamo spam sotto lo 0,30 percento. Una policy DMARC p=none soddisfa attualmente il requisito DMARC, anche se muoversi verso l'applicazione offre una protezione più forte contro lo spoofing.

Il motivo per cui i provider insistono sull'autenticazione è la fiducia. L'autenticazione permette a un destinatario di essere certo che la posta che dichiara di provenire dal tuo dominio lo faccia davvero, il che blocca lo spoofing del dominio esatto usato nel phishing e nella business email compromise. La posta che fallisce l'autenticazione, o che proviene da un dominio del tutto privo di autenticazione, è molto più probabile che venga filtrata nello spam o rifiutata del tutto.

È importante essere precisi su cosa l'autenticazione fa e cosa non fa. Prova l'identità; non garantisce il contenuto. Uno spammer può autenticare un dominio che possiede. Quindi l'autenticazione è necessaria per una buona deliverability ma non sufficiente da sola. I provider di posta la combinano con la reputazione del mittente, il coinvolgimento del destinatario e l'analisi del contenuto. L'autenticazione ti fa varcare la porta; la reputazione e il coinvolgimento determinano in quale cartella atterri.

Come la gestisce VeriMails

L'autenticazione email e la verifica email sono le due metà di un invio affidabile, e coprono i due estremi opposti della pipeline. L'autenticazione riguarda il dominio da cui invii ed è configurata nel DNS. La verifica riguarda gli indirizzi a cui invii ed è la parte che VeriMails gestisce direttamente. Entrambe devono essere a posto: un dominio perfettamente autenticato perde comunque posizionamento in inbox se invia a una lista piena di indirizzi morti, perché i bounce e i reclami che ne derivano distruggono la reputazione di mittente che i provider valutano insieme all'autenticazione.

VeriMails verifica la tua lista di destinatari così l'autenticazione non viene minata da una scarsa qualità della lista. Ogni indirizzo passa attraverso un controllo completo a più livelli: validazione della sintassi, conferma MX e DNS, un handshake SMTP dal vivo con il mail server ricevente e il rilevamento di domini catch-all, indirizzi usa e getta e indirizzi role-based. Rimuovere gli indirizzi non validi tiene basso il tuo tasso di hard bounce, e un tasso di bounce basso è uno dei segnali di reputazione che decide se la tua posta autenticata raggiunge la inbox o la cartella spam. Puoi verificare un'intera lista con un caricamento CSV oppure controllare gli indirizzi uno alla volta tramite la REST API. VeriMails restituisce categorie di deliverability chiare per i flussi via API e in blocco.

VeriMails fornisce anche strumenti gratuiti che aiutano sul lato autenticazione vero e proprio, tra cui un generatore SPF, un generatore DKIM e un generatore DMARC, così puoi produrre i record DNS corretti per il tuo dominio. Usate insieme, l'autenticazione stabilisce che sei un mittente legittimo e la verifica mantiene la tua lista abbastanza pulita da conservare quella posizione. I nuovi account ricevono 100 crediti gratuiti all'iscrizione senza bisogno di carta di credito e crediti che non scadono mai, con la verifica a partire da 0,0019 dollari per email, ovvero 19 dollari per 10.000 crediti, e piani annuali da $12.50/mese con fatturazione annuale.

Domande frequenti