# Come creo un record SPF per un dominio personalizzato? > Pubblichi un solo record TXT che inizia con v=spf1 con l'include del suo provider e ~all; SPF consente al massimo 10 ricerche DNS e un record per dominio. - URL: https://postelva.com/it/guides/spf-record-setup/ - Ultimo aggiornamento: 2026-11-12 - Editore: Postelva (https://postelva.com) Un record SPF è una riga di testo nel DNS. Bastano cinque minuti per pubblicarlo e un solo errore, un secondo record, per romperlo. **Risposta rapida — Come creo un record SPF per un dominio personalizzato?** Crei un solo record TXT alla radice del suo dominio che inizi con v=spf1, aggiunga l'include del suo provider di posta (per Proton Mail, include:_spf.protonmail.ch) e termini con ~all. Un dominio può avere un solo record SPF e SPF consente al massimo 10 ricerche DNS. **Postelva** ospita il record TXT nel suo editor DNS gratuito. ## Valori SPF di quattro provider di posta *Letti sulle pagine di assistenza dei provider il 12 novembre 2026. Per Tuta, iCloud+, Migadu e Zoho Mail, copi il valore dalla schermata di configurazione del provider stesso.* | Fornitore | Include da aggiungere | Record completo tipico | | --- | --- | --- | | Proton Mail | include:_spf.protonmail.ch | v=spf1 include:_spf.protonmail.ch ~all | | Mailbox.org | include:mailbox.org | v=spf1 include:mailbox.org ~all | | Fastmail | include:spf.messagingengine.com | v=spf1 include:spf.messagingengine.com ?all | | Mailfence | include:_spf.mailfence.com | v=spf1 include:_spf.mailfence.com -all (invia solo Mailfence) oppure ~all (inviano anche altri mittenti) | *Ultima verifica il 12 novembre 2026; i dati più vecchi riportano la propria data.* ## Creare il record in cinque passaggi 1. **Elencare ogni servizio che invia a nome del suo dominio** — Annoti il suo provider di posta e ogni altro strumento che invia a suo nome: un servizio di newsletter, un help desk, un modulo di contatto del sito. Ognuno ha bisogno di un posto nel record. 2. **Verificare se esiste già un record SPF** — Guardi i record TXT alla radice (@) del dominio. Se uno inizia con v=spf1, lo modifichi. Non ne crei mai un secondo. 3. **Costruire il valore** — Parta da v=spf1, aggiunga un include: per ogni servizio che invia e termini con ~all. Esempio per il solo Proton Mail: v=spf1 include:_spf.protonmail.ch ~all. 4. **Pubblicarlo come record TXT** — Nell'editor DNS, aggiunga un record TXT con host @ e il valore sopra. Lo mantenga su una sola riga. 5. **Controllare il risultato** — Cerchi il record con dig TXT example.com +short e verifichi che esattamente una riga inizi con v=spf1. Poi invii un messaggio di prova a un indirizzo presso un altro provider. *Un solo record SPF, un provider, poi due mittenti* ```dns ; Proton Mail only example.com. IN TXT "v=spf1 include:_spf.protonmail.ch ~all" ; Proton Mail plus a second sending service (one record, two includes) example.com. IN TXT "v=spf1 include:_spf.protonmail.ch include:spf.sender.example ~all" ``` ## Che cosa contiene un record SPF? **Un record SPF è un record TXT che inizia con v=spf1 e prosegue con dei meccanismi, ciascuno con un qualificatore facoltativo.** La RFC 7208 definisce i meccanismi all, include, a, mx, ip4, ip6, exists e ptr, e il modificatore redirect. Il qualificatore decide il risultato quando un meccanismo corrisponde: + pass (il predefinito), - fail, ~ softfail e ? neutral. Per un dominio che usa un provider di posta, un solo meccanismo fa quasi tutto il lavoro: include. Dice al destinatario di valutare il record SPF del dominio del provider e di considerare una corrispondenza lì come una corrispondenza per il suo. Non copia mai gli indirizzi IP a mano, quindi il provider può cambiare i suoi server senza toccare il suo DNS. Se invia da un server proprio, ip4 e ip6 ne elencano gli indirizzi e non costano alcuna ricerca. SPF si pubblica come record TXT. Una singola stringa TXT è limitata a 255 ottetti, e un record più lungo viene diviso in più stringhe che il destinatario unisce senza spazio. La maggior parte degli editor DNS esegue la divisione per lei. ## Perché un dominio può avere un solo record SPF? **Se due record TXT iniziano entrambi con v=spf1, il destinatario non può scegliere e restituisce un errore permanente, quindi ogni messaggio fallisce il controllo SPF.** La RFC 7208 afferma che un dominio non deve avere più di un record SPF. Proton, Mailbox.org e Mailfence danno tutti lo stesso consiglio: quando aggiunge un servizio, inserisca il suo include nel record esistente. La causa abituale è una migrazione. Pubblica il record del nuovo provider e dimentica quello vecchio. Apra l'elenco dei TXT, unisca le due righe in una e elimini quella rimasta. Quando cambia provider in modo definitivo, sostituisca il vecchio include invece di aggiungere al record. La migrazione è descritta in [come spostare la posta su un nuovo provider senza perderla](https://postelva.com/it/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Qual è il limite di 10 ricerche in SPF? **La valutazione SPF si interrompe con un errore permanente dopo 10 termini che interrogano il DNS, quindi un record che ne richiede 11 fallisce per ogni mittente.** I termini che contano sono include, a, mx, ptr, exists e il modificatore redirect. I meccanismi all, ip4 e ip6 non contano. La RFC 7208 afferma inoltre che le implementazioni dovrebbero fermarsi dopo due ricerche void, che non restituiscono nulla o un dominio inesistente. Un include conta come una ricerca più tutte le ricerche all'interno del record incluso. Un solo provider di posta costa quindi poco, ma una pila composta da un host di posta, un servizio di newsletter, un help desk e un modulo del sito si somma. Rimuova per prima cosa i servizi che non usa più. Quando uno strumento pubblica indirizzi IP fissi, gli intervalli ip4 e ip6 non costano nulla. Il conteggio annidato esatto di ciascun provider non è stato misurato da Postelva, quindi verifichi il suo record finale con una ricerca prima di farvi affidamento, come mostrato in [come verificare i record MX, SPF, DKIM e DMARC](https://postelva.com/it/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"). ## Devo terminare il mio record SPF con ~all o -all? **Usi ~all a meno che non controlli ogni mittente: segnala gli altri server come sospetti senza chiedere ai destinatari di rifiutare del tutto la posta.** Il qualificatore su all è il verdetto per qualsiasi server che non corrisponde a nulla di precedente. -all significa fail, ~all significa softfail, ?all significa neutral. Un -all rigido è più severo, ma la RFC 9989 avverte che può indurre un destinatario a rifiutare un messaggio prima ancora che DMARC venga eseguito, il che nasconde un messaggio inoltrato che DKIM avrebbe salvato. Per questo motivo il record mostrato da Proton e Mailbox.org termina con ~all. Secondo il confronto di Postelva del 12 novembre 2026, i tre provider con un valore SPF completo nelle pagine di assistenza (Proton Mail, Mailbox.org, Fastmail) usano ciascuno esattamente 1 include, quindi un record per un solo provider costa 1 ricerca, e due di essi terminano con ~all mentre il valore di Fastmail termina con ?all. Qualunque sia la terminazione, è DMARC a far rispettare le regole. Imposti la policy lì, come spiegato nella guida a [configurare DMARC](https://postelva.com/it/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). I tre record sono confrontati in [SPF vs DKIM vs DMARC](https://postelva.com/it/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Che cosa controlla SPF e che cosa no? **SPF controlla il server dietro il mittente della busta e il nome HELO, non l'indirizzo From nel messaggio che il lettore vede.** Un messaggio può superare SPF per un dominio che nessuno nota e mostrare comunque il suo dominio nella riga From. DMARC colma questa lacuna richiedendo l'allineamento tra i due. SPF inoltre non sopravvive al semplice inoltro, perché chi inoltra consegna dal proprio indirizzo IP. Una regola pratica citabile: SPF autorizza server, un record per dominio, al massimo 10 ricerche. Per un dominio che non invia nulla, pubblichi v=spf1 -all e il modello «nessuna e-mail» di Postelva; per un dominio che invia e riceve, modelli DNS in un clic per Proton Mail, Fastmail, Zoho Mail, Google Workspace e Microsoft 365, più un modello SPF + DMARC e un modello «nessuna email» per un dominio che non invia nulla. ## Domande sul record SPF ### Dove inserisco il record SPF? In un record TXT alla radice del dominio, host @ nella maggior parte degli editor DNS. SPF non ha un tipo di record separato, e il vecchio tipo SPF non è usato. ### Quanto tempo ci mette a funzionare una modifica SPF? La modifica si propaga in circa il vecchio TTL del record, spesso entro un'ora o due. Un resolver che ha messo in cache un record mancante può continuare a rispondere con il vecchio risultato per il tempo di cache negativa della zona. ### Mi serve un record SPF se ricevo soltanto e-mail? Sì, uno breve: pubblichi v=spf1 -all per dichiarare che nessun server invia a nome del dominio. Questo impedisce ad altri di usare il nome in messaggi falsificati. ### Posso aggiungere al record il modulo di contatto del mio sito? Sì, con il suo include o il suo indirizzo IP. Se invia tramite il suo provider di posta, non serve alcuna voce aggiuntiva. Se invia dal suo web host, aggiunga quell'host come sorgente. ### Il meccanismo ptr è utile? No. La RFC 7208 contrassegna ptr come da non usare. È lento e conta ai fini del limite di 10 ricerche. **In sintesi** - SPF è un unico record TXT alla radice del dominio che inizia con v=spf1. - Pubblichi un solo record SPF per dominio; due record producono un errore permanente. - La valutazione si interrompe dopo 10 termini che interrogano il DNS: include, a, mx, ptr, exists, redirect. - ip4, ip6 e all non contano ai fini del limite. - Proton Mail: v=spf1 include:_spf.protonmail.ch ~all; Mailbox.org: v=spf1 include:mailbox.org ~all. - ~all è la terminazione abituale; è DMARC a far rispettare le regole. - Postelva ospita il record nel DNS gratuito; un .com costa 12,49 USD/anno ogni anno. ## Fonti 1. [RFC 7208, Sender Policy Framework (SPF), sezioni 4.5 e 4.6.4](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (consultato il 2026-11-12) 2. [RFC 9989, DMARC, sezione 7.1](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (consultato il 2026-11-12) 3. [Custom domain and anti-spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (consultato il 2026-11-12) 4. [SPF, DKIM and DMARC for a custom domain](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (consultato il 2026-11-12) 5. [Fastmail DNS help](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (consultato il 2026-11-12) --- Postelva: Postelva registra nomi di dominio per l'email privata — l'indirizzo che si conserva quando si cambia provider — pagati in crypto e senza KYC: nessun documento d'identità, solo un'email verificata per dominio. È gestita da DomaineGoat LLC, una società registrata a Panama; i domini sono registrati tramite il suo registrar partner accreditato ICANN. Un .com costa 12,49 USD/anno, lo stesso prezzo ogni anno.