Come verifico i miei record MX, SPF, DKIM e DMARC?

Come verifico un record MX?

Esegui dig MX con il tuo dominio e +short e confronta le priorità e i nomi host con i valori forniti dal tuo provider. La risposta stampa una riga per record: la priorità, uno spazio e l'host. Per Proton Mail ti aspetti 10 mail.protonmail.ch. e 20 mailsec.protonmail.ch.; per Fastmail 10 in1-smtp.messagingengine.com. e 20 in2-smtp.messagingengine.com.; per Mailbox.org quattro host mxext.

Qui emergono due problemi. Un record del provider precedente ancora presente nell'elenco rende la consegna imprevedibile, quindi eliminalo. E una risposta vuota significa nessun MX: i mittenti ripiegano allora sul record di indirizzo del dominio, come descrive la RFC 5321. Che cosa significa ogni riga è spiegato in che cos'è un record MX.

Come verifico un record SPF?

Richiedi i record TXT alla radice del dominio e conferma che esattamente una riga inizi con v=spf1. La radice contiene anche altri record TXT, come la prova di proprietà del tuo provider di posta, quindi leggi l'intero elenco. Due righe che iniziano con v=spf1 sono un errore: la RFC 7208 restituisce un errore permanente quando un dominio ha più di un record SPF.

Poi conta le ricerche. Ogni include, a, mx, ptr ed exists, più il modificatore redirect, conta ai fini del limite di 10, e un include conta anche ciò che vi è annidato. Un record oltre il limite fallisce per ogni mittente. La creazione del record è descritta in come creare un record SPF.

Come verifico il DKIM quando non conosco il selector?

Usa il selector del tuo provider: non è possibile elencare i selector dal DNS, quindi prendili dalla schermata DKIM del provider. Il DNS non consente di elencare i nomi sotto _domainkey. I selector sono protonmail, protonmail2 e protonmail3 su Proton Mail, fm1, fm2 e fm3 su Fastmail, e da MBO0001 a MBO0004 su Mailbox.org.

Il nome da interrogare è selector._domainkey.tuodominio. Un provider che usa record CNAME, come questi tre, risponde con un CNAME verso il proprio host. Un provider che pubblica direttamente la chiave risponde con un record TXT che contiene v=DKIM1 e p= seguito dalla chiave pubblica. Un p= vuoto significa che la chiave è revocata. Il test più solido è un messaggio reale, perché un record esistente può comunque essere inutilizzato: invia una mail a un altro provider e leggi dkim=pass nelle intestazioni complete.

Come verifico un record DMARC?

Richiedi il record TXT su _dmarc.tuodominio e conferma una riga che inizi con v=DMARC1 e contenga una policy p=. Se manca p, i destinatari trattano la policy come none. Se la riga non ha rua, non vengono prodotti report aggregati e la fase di monitoraggio del piano di adozione di DMARC non ti dice nulla. I record scritti nel vecchio stile possono ancora contenere un tag pct, che la RFC 9989 ha eliminato.

Un sottodominio senza un proprio record ricade nella policy del dominio padre attraverso la ricerca lungo l'albero DNS, con al massimo otto interrogazioni. L'interrogazione di un nome che non ha alcun record non restituisce nulla, il che equivale a nessun DMARC.

Perché la mia interrogazione mostra ancora il vecchio valore?

Una cache conserva la vecchia risposta finché il suo TTL non scade e anche un record mancante può essere messo in cache. Il tempo che una modifica impiega a diffondersi è circa il vecchio TTL del record nel momento in cui lo hai cambiato. Le indicazioni dei fornitori indicano per una normale modifica MX da una a quattro ore e, nel caso peggiore, da 24 a 48 ore. La RFC 2308 aggiunge che le risposte negative vengono messe in cache con il TTL del record SOA della zona, quindi un record appena creato può sembrare assente su alcuni resolver.

Per saltare le cache, interroga il nameserver autorevole: trovalo con dig NS, poi ripeti la query con @ e il suo nome, come nel blocco di codice qui sopra. Se il server autorevole mostra il nuovo valore e il tuo resolver no, attendi. Se nessuno dei due lo mostra, il record non è stato salvato o il nome host è sbagliato, più spesso perché l'editor DNS ha aggiunto il dominio una seconda volta.

Se la posta continua a non arrivare anche quando i record sembrano corretti, vai a perché l'email non arriva a un dominio personalizzato.

Quali strumenti online possono verificare i record email?

Qualsiasi strumento online di interrogazione DNS o di verifica dell'autenticazione email che interroga il DNS pubblico dà la stessa risposta di dig, con una visualizzazione più comoda. Usane uno che mostri il testo grezzo del record, così puoi confrontarlo carattere per carattere con il valore del tuo provider. Non incollarvi dati privati: gli serve solo il nome del dominio.

Secondo il conteggio di Postelva del 12 novembre 2026, una configurazione completa di Proton Mail richiede 8 record (1 TXT di verifica, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) e 6 interrogazioni, perché i due record MX condividono una sola query e i record di verifica e SPF condividono la query TXT della radice. Salva una volta i sei comandi e rieseguili dopo ogni modifica. Gli stessi record sono confrontati in SPF, DKIM e DMARC a confronto.

Una regola citabile: dopo ogni modifica DNS, interroga i quattro tipi di record e invia un messaggio di prova; un record è corretto solo quando l'interrogazione e il messaggio concordano.