Cos'è SPF (Sender Policy Framework)?

Definizione

Sender Policy Framework è uno dei tre standard fondamentali di autenticazione email, insieme a DKIM e DMARC. Affronta una debolezza di base dell'email: per impostazione predefinita, chiunque può inviare un messaggio che dichiara di provenire da qualsiasi dominio, perché i protocolli di posta originali non hanno mai integrato un modo per dimostrare chi sia il vero mittente. SPF colma parte di quella lacuna dando al proprietario di un dominio un modo per dichiarare, pubblicamente e in una forma leggibile dalle macchine, esattamente quali server sono autorizzati a inviare posta per conto del dominio.

Quella dichiarazione risiede nel Domain Name System, la stessa directory globale che traduce i nomi di dominio in indirizzi di rete. Il proprietario del dominio pubblica uno speciale record DNS che indica i mittenti autorizzati. Quando un messaggio arriva, il mail server ricevente consulta quel record e lo confronta con il server che ha effettivamente consegnato il messaggio. Se il server mittente è nell'elenco, il messaggio supera SPF. Se non lo è, il messaggio fallisce SPF, il che è un forte indizio che la posta possa essere falsificata. SPF non cifra nulla e non controlla il contenuto del messaggio. Risponde a una sola domanda mirata: questo messaggio è stato inviato da un server che il proprietario del dominio ha approvato?

Come funziona

Una policy SPF viene pubblicata come un singolo record DNS TXT sul dominio. Il record inizia sempre con il tag di versione v=spf1, seguito da una serie di meccanismi che descrivono i mittenti autorizzati, e di norma termina con un meccanismo all che definisce l'esito predefinito. Un record semplice potrebbe essere v=spf1 include:_spf.google.com -all, che autorizza i mail server di Google Workspace e rifiuta tutto il resto.

I meccanismi sono i mattoni costitutivi. I meccanismi ip4 e ip6 autorizzano direttamente indirizzi specifici o intervalli di indirizzi. Il meccanismo a autorizza i server trovati nei record di indirizzo del dominio, e mx autorizza i server elencati come mail exchanger del dominio. Il meccanismo include è il più comune in pratica, poiché richiama la policy SPF di un altro provider, ed è così che un dominio delega l'invio a servizi come Google, Microsoft o una piattaforma email. Ogni meccanismo può portare un qualificatore che imposta il risultato quando corrisponde. Un segno più, che è il valore predefinito, significa pass. Un segno meno significa fail, una tilde significa softfail, ovvero un avviso debole, e un punto interrogativo significa neutral. Il meccanismo all alla fine cattura ogni server che non ha trovato corrispondenza, quindi -all è un rifiuto netto di qualsiasi elemento non elencato mentre ~all è un segnale più morbido.

Quando un server ricevente valuta SPF, controlla l'indirizzo envelope-from, ovvero il return-path dichiarato durante lo scambio SMTP, e per i messaggi di bounce con un return-path vuoto controlla invece l'identità HELO. Lo standard impone un vincolo importante: la valutazione di un record non può usare più di dieci lookup DNS, e meccanismi come include, a, mx ed exists ne consumano ciascuno uno. Se un record ne richiede più di dieci, produce un PermError, che i destinatari possono trattare come un fallimento, quindi i record SPF devono restare compatti. SPF ha anche limiti strutturali. Si rompe quando la posta viene inoltrata, perché il server di inoltro non è nell'elenco del dominio originale, e soprattutto valida solo l'indirizzo envelope-from, non l'indirizzo From visibile che un destinatario vede davvero.

Perché è importante per la deliverability delle email

SPF è ormai un requisito di base anziché un extra opzionale. I mailbox provider trattano un controllo SPF superato come un segnale di fiducia positivo e trattano un record assente o fallito come un motivo di sospetto, il che influisce direttamente sul fatto che la posta raggiunga la casella di posta o la cartella spam. Dai requisiti per i mittenti introdotti nel 2024 da Google e Yahoo, ci si aspetta che i mittenti di massa si autentichino con SPF, e un dominio senza un record SPF valido può vedere la propria posta limitata o rifiutata del tutto.

SPF è importante anche perché è un prerequisito per DMARC, lo strato di policy che lega l'autenticazione all'indirizzo From visibile. DMARC funziona controllando se SPF o DKIM siano stati superati e se il risultato si allinei con il dominio From. Senza un record SPF configurato correttamente, un dominio non può ottenere l'allineamento DMARC tramite SPF, il che indebolisce la sua protezione complessiva. Allo stesso tempo, è importante essere realistici su ciò che SPF non può fare. Poiché ignora l'intestazione From visibile e si rompe con l'inoltro, SPF da solo non può fermare uno spoofer determinato. È uno strato necessario di una difesa a tre strati, e dà il suo pieno valore solo quando DKIM e DMARC sono presenti al suo fianco.

Come la gestisce VeriMails

SPF e verifica email risolvono due metà diverse dello stesso problema di deliverability. SPF autentica la posta che invii così i server riceventi si fidano che provenga davvero da te. La verifica email ripulisce la lista a cui invii, così scrivi soltanto a indirizzi reali e raggiungibili. Un forte inbox placement ha bisogno che entrambi lavorino insieme, e nessuno dei due sostituisce l'altro.

VeriMails si concentra sul lato destinatario. Ogni indirizzo che invii viene controllato tramite la validazione della sintassi, una ricerca MX e DNS, un handshake SMTP dal vivo, il rilevamento catch-all, il rilevamento degli indirizzi usa e getta e il rilevamento degli indirizzi basati su ruolo, così gli indirizzi non validi vengono rimossi prima che possano generare bounce e trascinare in basso una reputazione che buoni record SPF, DKIM e DMARC esistono per proteggere. Per dare una mano anche sul lato autenticazione, VeriMails offre un generatore SPF gratuito che costruisce un record sintatticamente corretto per il tuo dominio e i tuoi servizi di invio, mantenendolo entro il limite di dieci lookup. Puoi verificare una lista tramite la REST API o un caricamento CSV in blocco, con categorie di deliverability chiare per le decisioni di campagna. La verifica parte da $0.0019 per email, con 10.000 crediti a $19 e piani annuali da $12.50/mese con fatturazione annuale, e ogni account inizia con 100 crediti gratuiti, senza bisogno di carta di credito, che non scadono mai.

Domande frequenti