SPF vs DKIM vs DMARC: qual è la differenza?

Che cosa fa SPF?

SPF risponde a una sola domanda: il server che ha consegnato questo messaggio è autorizzato a inviare per il dominio? Il titolare del dominio pubblica un record TXT che inizia con v=spf1 ed elenca le sorgenti autorizzate, per esempio include:_spf.protonmail.ch per Proton Mail. Un destinatario confronta l'indirizzo IP che si connette con l'elenco e ottiene un risultato: pass, fail, softfail o neutral, a seconda del qualificatore finale (-all, ~all o ?all).

SPF verifica il mittente della busta (il MAIL FROM) e il nome HELO, non l'indirizzo From che il lettore vede. Questa lacuna è il motivo per cui esiste DMARC. SPF ha anche limiti rigidi: un dominio deve avere un solo record SPF, e la valutazione si interrompe con un errore permanente dopo 10 termini che interrogano il DNS (include, a, mx, ptr, exists, redirect). Il metodo completo è nella guida a creare un record SPF.

Che cosa fa DKIM?

DKIM risponde a una domanda diversa: questo messaggio è stato firmato dal dominio che dichiara ed è arrivato invariato? Il server mittente firma intestazioni selezionate e il corpo con una chiave privata. Il destinatario legge il dominio firmatario (d=) e il selettore (s=) dall'intestazione DKIM-Signature, recupera la chiave pubblica su selector._domainkey.domain nel DNS e verifica la firma.

Poiché la firma viaggia con il messaggio, DKIM sopravvive a un inoltro che lascia il messaggio intatto, cosa che SPF non fa, dato che chi inoltra invia dal proprio indirizzo IP. La RFC 6376 afferma che chi firma deve usare chiavi RSA di almeno 1024 bit per le chiavi di lunga durata, e raccomanda nuovi selettori quando le chiavi cambiano. I provider pubblicano le chiavi per lei: tre record CNAME per Proton Mail e Fastmail, quattro per Mailbox.org. I dettagli sono nella guida a configurare DKIM.

Che cosa fa DMARC?

DMARC lega SPF e DKIM al dominio From visibile e dice ai destinatari che cosa fare quando nessuna delle due verifiche risulta allineata. Un messaggio supera DMARC quando SPF o DKIM viene superato e il dominio autenticato corrisponde al dominio From. L'allineamento è rilassato per impostazione predefinita (stesso dominio organizzativo) e rigoroso quando è impostato con aspf=s o adkim=s.

Il record si trova su _dmarc.yourdomain e contiene una policy: p=none (solo monitoraggio), p=quarantine (trattare come sospetto) o p=reject (rifiutare). Un indirizzo rua riceve i report aggregati, che mostrano chi invia posta a suo nome. La RFC 9989, pubblicata a maggio 2026, è la specifica attuale; rende obsoleta la RFC 7489, rimuove il tag pct e aggiunge un flag di test t. Il percorso dal monitoraggio al rifiuto è descritto nella guida a configurare DMARC.

Mi servono tutti e tre?

Sì: un dominio personalizzato che invia posta dovrebbe pubblicare SPF, DKIM e DMARC, perché i grandi destinatari li richiedono. Le linee guida di Google per i mittenti richiedono SPF, DKIM e un record DMARC (basta la policy none) per i mittenti che superano i 5,000 messaggi al giorno verso account Gmail. Microsoft chiede gli stessi tre ai mittenti di Outlook.com sopra i 5,000 al giorno, dal 5 maggio 2025, e anche Yahoo richiede SPF, DKIM e DMARC ai mittenti di massa.

Una casella personale invia molti meno messaggi, quindi le soglie non la vincolano. I record decidono comunque se la sua posta arriva nella casella in arrivo, e impediscono ad altri di falsificare il suo indirizzo. Secondo il conteggio di Postelva del 12 novembre 2026 dalle pagine di assistenza dei provider, una configurazione completa di Proton Mail richiede 8 record DNS e una configurazione completa di Mailbox.org ne richiede 11, di cui 3 e 4 sono chiavi DKIM. I record MX sono trattati in che cos'è un record MX.

Quali errori rompono i tre record?

Tre errori causano la maggior parte dei guasti: un secondo record SPF, più di 10 ricerche e una policy DMARC impostata troppo severa troppo presto. Un dominio con due record SPF restituisce un errore permanente, quindi aggiunga l'include del nuovo provider al record esistente. Accumulare un host di posta, uno strumento di newsletter e un helpdesk può portare il numero di ricerche oltre 10, e il record allora fallisce per ogni mittente. Mailbox.org e Proton consigliano entrambi di iniziare DMARC a p=none, e Mailbox.org avverte che una policy severa applicata troppo presto può far rimbalzare posta legittima.

Un quarto errore è tenere per mesi le voci DKIM e SPF del provider precedente. Non danneggiano la consegna, ma ampliano l'elenco dei server autorizzati a parlare a suo nome. Le rimuova una volta confermato il passaggio.

Come funzionano insieme i tre su un unico messaggio?

Il destinatario esegue SPF e DKIM, poi DMARC combina i risultati. Prenda un messaggio da [email protected] inviato tramite Proton Mail. SPF passa se il server che si connette è nell'elenco _spf.protonmail.ch. DKIM passa se la firma creata con la chiave sotto yourname.com viene verificata. DMARC chiede allora se almeno uno dei due è passato con yourname.com nell'identificatore allineato. Se sì, il messaggio passa; se no, il destinatario applica la sua policy e registra il risultato nel successivo report aggregato.

La RFC 9989 osserva che un dominio con p=reject non deve basarsi sul solo SPF e dovrebbe firmare con DKIM, perché SPF si rompe con l'inoltro. ARC (RFC 8617), uno standard sperimentale, permette a chi inoltra di registrare i risultati originali, anche se non fa parte della sua configurazione. Dopo aver pubblicato i record, li verifichi con dig prima di rendere più severa qualsiasi policy.

Una definizione citabile: SPF autorizza i server, DKIM autentica i messaggi, e DMARC impone la corrispondenza con il dominio From e riporta l'esito.