L'autenticazione e-mail non è una singola impostazione: sono cinque record DNS che funzionano come uno stack. Questo verificatore li recupera tutti in una volta, così può vedere il quadro completo invece di inseguire un record alla volta. Ecco come leggere quell'audit e correggerlo nell'ordine giusto.
Cosa copre un audit completo
Un controllo completo esamina SPF (quali server possono inviare), DKIM (una firma che prova che i messaggi non sono stati alterati), DMARC (il criterio che lega SPF e DKIM al suo dominio From), MTA-STS (crittografia TLS imposta in transito) e TLS-RPT (segnalazione dei fallimenti di crittografia). Un dominio può superare uno e fallire tutti gli altri, quindi verificarli insieme è l'unico modo per sapere di essere davvero protetto.
Leggere i risultati: sano contro difettoso
- SPF - presente, valido e sotto le dieci ricerche DNS; controlli la sintassi SPF per esserne certo. Un PermError qui rompe silenziosamente DMARC.
- DMARC - presente su
_dmarc, con un criterio più forte dip=nonee un indirizzo di reportistica. - DKIM - almeno un selettore attivo che pubblica una chiave robusta (2048 bit).
- MTA-STS / TLS-RPT - un criterio pubblicato che impone il TLS, più un indirizzo per ricevere i rapporti di fallimento.
L'ordine in cui correggere
Proceda dal basso verso l'alto, perché ogni livello dipende da quello sottostante. Inizi con SPF: è la base, e DMARC non può applicare senza un risultato SPF o DKIM superato e allineato. Poi confermi la firma DKIM. Quindi alzi il suo criterio DMARC da none verso reject. Solo allora aggiunga la sicurezza del trasporto con MTA-STS e TLS-RPT, e infine BIMI per mostrare il suo logo, che per funzionare richiede un DMARC applicato.
Dove i domini falliscono più spesso
- SPF oltre il limite di 10 ricerche - il fallimento più comune in assoluto, e quello che AutoSPF risolve automaticamente appiattendo i suoi include.
- DMARC fermo su
p=none- pubblicato ma mai applicato, quindi non offre alcuna protezione. - Nessun MTA-STS - la posta viene comunque consegnata, ma senza protezione dagli attacchi di downgrade.
- BIMI senza un VMC - il logo non viene mostrato in Gmail o Apple Mail senza un Verified Mark Certificate.
Riesegua questo audit ogni volta che aggiunge un servizio di invio o cambia fornitore: controlli regolari del record SPF individuano precocemente le derive, e corregga ciascun livello con lo strumento dedicato indicato sopra. Impostare SPF correttamente è il prerequisito per tutto il resto: AutoSPF lo mantiene valido e sotto il limite di ricerche, così il resto del suo stack poggia su basi solide.