Deliverability email: checklist SPF, DKIM e DMARC per SaaS

Puoi scrivere l’email di benvenuto perfetta, inviarla in pochi millisecondi e vederla comunque finire nello spam. Provider di posta come Gmail, Outlook e Yahoo decidono dove arriva un messaggio molto prima che qualcuno lo legga, e la prima cosa che controllano è se il mittente è davvero chi dice di essere.

Tre record DNS rispondono a questa domanda: SPF, DKIM e DMARC. Questa checklist spiega ciascuno in termini semplici e mostra come configurarli per il dominio da cui invii.

Perché oggi conta più che mai

A febbraio 2024 Google e Yahoo hanno iniziato ad applicare regole più severe a chiunque invii email ai loro utenti:

• Tutti i mittenti devono autenticarsi con SPF o DKIM, inviare tramite TLS e mantenere basso il tasso di segnalazioni di spam (Google chiede di restare sotto lo 0,3%).
• I mittenti massivi, indicativamente 5.000 o più messaggi al giorno verso Gmail, devono avere SPF e DKIM e una policy DMARC, con il dominio visibile nel From allineato a essi. Le email di marketing richiedono anche la disiscrizione con un clic.

Altri provider hanno seguito l’esempio. I messaggi che non superano questi controlli vengono sempre più spesso rifiutati del tutto, non solo spostati nello spam.

Il ruolo di Inbixio

Con Inbixio, le tue email vengono recapitate dal tuo server SMTP: la casella che hai collegato in Email Servers (server email). Questo significa che i tuoi record di autenticazione descrivono il tuo provider di posta (Google Workspace, Microsoft 365, Zoho, il tuo hosting), non Inbixio. Configurali una volta per il tuo dominio e ogni email inviata tramite l’API ne trarrà vantaggio.

Gli esempi seguenti usano yourco.com. Sostituiscilo con il tuo dominio.

1. SPF: chi può inviare per il tuo dominio

SPF (Sender Policy Framework) è un record TXT che elenca i server autorizzati a inviare email per il tuo dominio. I destinatari confrontano il server che ha consegnato un messaggio con questo elenco.

Aggiungi un record TXT alla radice del dominio:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

La parte include: dipende dal provider:

Regole su cui si inciampa spesso:

• Un solo record SPF per dominio. Se usi due servizi, combinali: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Due record SPF separati rendono entrambi non validi.
• Al massimo 10 lookup DNS. Ogni include: conta, e contano anche gli include al suo interno. Rimuovi i servizi che non usi più.
• Termina con ~all (soft fail) durante la configurazione. Passa a -all (hard fail) quando sei sicuro che l’elenco sia completo.

2. DKIM: una firma su ogni messaggio

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni email. Il tuo provider di posta firma con una chiave privata, e tu pubblichi la chiave pubblica corrispondente nel DNS, così i destinatari possono verificare che il messaggio non sia stato alterato e provenga davvero dal tuo dominio.

Non devi scrivere questo record a mano. Lo genera il tuo provider:

• Google Workspace: Console di amministrazione → App → Google Workspace → Gmail → Autentica email.
• Microsoft 365: portale Microsoft Defender → Impostazioni di autenticazione email → DKIM.
• Zoho Mail: Console di amministrazione → Domini → il tuo dominio → Configurazione email → DKIM.

Ognuno ti fornisce un record da pubblicare, di solito un TXT o un CNAME con un nome come google._domainkey.yourco.com. Aggiungilo al DNS, attendi la propagazione, poi fai clic su Avvia autenticazione (o l’equivalente) nella console del provider. Se puoi scegliere, usa una chiave a 2048 bit.

3. DMARC: la policy che unisce tutto

DMARC indica ai destinatari cosa fare quando un messaggio non supera SPF e DKIM, e chiede loro di inviarti dei report. Verifica anche l’allineamento: il dominio nell’indirizzo From visibile deve corrispondere al dominio che ha superato SPF o DKIM.

Inizia in modalità di monitoraggio:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none si limita a monitorare. Nulla viene bloccato mentre controlli i report.
• rua= è la destinazione dei report aggregati giornalieri. Sono file XML, quindi un visualizzatore gratuito di report DMARC li rende leggibili.

Dopo due-quattro settimane di report puliti, rendi la policy più restrittiva un passo alla volta: p=quarantine (le email che non superano i controlli vanno nello spam), poi p=reject (le email che non superano i controlli vengono rifiutate). Quest’ultimo passo è ciò che impedisce ad altri di inviare phishing a tuo nome.

4. Mantieni coerente l’indirizzo mittente

Con Inbixio, le email vengono inviate dall’indirizzo del nome utente SMTP che hai collegato, ad esempio notifications@yourco.com. Per mantenere semplice l’allineamento:

• invia da un indirizzo sullo stesso dominio per cui hai configurato SPF, DKIM e DMARC,
• usa un insieme ridotto e stabile di indirizzi mittente (notifications@, security@, billing@), e
• se servizi diversi devono usare indirizzi diversi, collega un server per indirizzo e associa ogni chiave API al suo server.

5. Abitudini che proteggono la reputazione

L’autenticazione dimostra chi sei; il tuo comportamento decide se i destinatari si fidano di te:

• Scrivi solo a chi se lo aspetta. Le email transazionali (ricevute, reimpostazioni, codici) hanno tassi di segnalazione molto bassi. Tieni separato il marketing e basalo sul consenso esplicito.
• Rimuovi gli indirizzi che generano bounce. Inviare ripetutamente a caselle non valide fa sembrare la tua lista quella di uno spammer. Gli avvisi di bounce arrivano nella casella da cui invii (quella collegata a Inbixio), quindi controllala e rimuovi quegli indirizzi dalle tue liste.
• Scrivi come una persona. Un oggetto chiaro, un layout che funzioni anche in solo testo, un indirizzo mittente che accetta risposte e nessun accorciatore di link.
• Aumenta il volume gradualmente. Un dominio nuovo che all’improvviso invia 50.000 email appare sospetto. Aumenta il volume nell’arco di qualche settimana.

Come verificare la configurazione

1. Invia una prova tramite Inbixio a un indirizzo Gmail che controlli.
2. In Gmail apri il messaggio, fai clic su ⋮ → Mostra originale e cerca SPF: PASS, DKIM: PASS e DMARC: PASS.
3. Per il monitoraggio continuo, registra il tuo dominio in Google Postmaster Tools per vedere il tasso di spam e la reputazione.

La checklist

• Un solo record SPF che include il tuo provider di posta, sotto i 10 lookup
• DKIM abilitato nel provider, con il record DNS pubblicato e verificato
• DMARC a p=none con i report inviati a un indirizzo monitorato
• Indirizzi mittente sullo stesso dominio dei record SPF, DKIM e DMARC
• “Mostra originale” di Gmail indica PASS per tutti e tre
• Un promemoria per portare DMARC a quarantine e poi a reject

Poi mettilo in pratica sulle email che gli utenti aspettano di più: codici OTP e di verifica e reimpostazione della password.