Verificare SPF, DKIM e DMARC di un dominio
Tre record DNS decidono se le vostre email arrivano in posta in arrivo o nello spam. Questo strumento li legge in diretta: chi può scrivere a vostro nome (SPF), come sono firmati i messaggi (DKIM) e cosa chiedete ai destinatari di fare con gli impostori (DMARC).
Un dominio, un URL o un indirizzo email: il dominio viene estratto.
itCome funziona il controllo
- 1
Si leggono gli MX
Designano i server che ricevono la posta del dominio. La loro assenza significa che il dominio non è configurato per ricevere: prima causa di rimbalzo permanente.
- 2
L'SPF viene analizzato, non solo mostrato
Contiamo i meccanismi che generano una richiesta DNS (la RFC ne consente dieci, non uno di più), leggiamo il qualificatore dell'«all» e segnaliamo i duplicati: due record SPF fanno fallire l'intero controllo.
- 3
DMARC e DKIM completano il quadro
La politica DMARC viene letta con la sua percentuale e gli indirizzi di report. Sul fronte DKIM vengono sondati una ventina di selettori comuni.
I tre record non fanno lo stesso lavoro
SPF dichiara quali server possono inviare per il vostro dominio. DKIM firma crittograficamente ogni messaggio, provando che non è stato alterato in transito. DMARC è l'indicazione: cosa deve fare il destinatario quando né SPF né DKIM si allineano al dominio mostrato a schermo.
Pubblicare SPF e DKIM senza DMARC lascia decidere il destinatario da solo. Pubblicare DMARC con p=none osserva senza proteggere. La configurazione che protegge davvero è p=quarantine o p=reject, una volta verificati i report.
Cosa lo strumento non può vedere
L'assenza di un selettore DKIM non prova nulla: un dominio che firma con un selettore proprio non comparirà nella lista sondata. È un limite di DKIM, non dello strumento.
La reputazione del vostro IP di invio, la presenza su una lista di blocco e il contenuto dei messaggi pesano molto sulla recapitabilità e non si leggono nel DNS.
Domande frequenti
Servono tutti e tre o ne basta uno?
Tutti e tre. Dal 2024 Gmail e Yahoo esigono SPF o DKIM da ogni mittente, e tutti e tre da chi supera i 5.000 messaggi al giorno verso i loro utenti. Un dominio senza DMARC vede filtrata sempre più spesso anche la posta legittima.
Perché il mio SPF fallisce anche se sembra corretto?
La causa più frequente è il limite di dieci richieste DNS. Ogni «include:» ne consuma una, e un include può contenerne altri: bastano tre fornitori di emailing per superare il tetto. Oltre quel limite il controllo restituisce un errore permanente, esattamente come se l'SPF non ci fosse.
Cosa vuol dire ~all e conviene passare a -all?
La tilde chiede di marcare i messaggi non conformi senza rifiutarli; il trattino chiede di rifiutarli. Passate al trattino quando i report DMARC confermano che nessun invio legittimo fallisce, altrimenti taglierete le vostre stesse fatture o notifiche applicative.
Queste richieste passano dai vostri server?
No. Partono dal vostro browser verso i resolver pubblici di Google e Cloudflare, in DNS-over-HTTPS. Non vediamo i domini che testate e la quota consumata è quella della vostra connessione: è ciò che permette di lasciare lo strumento gratuito e senza account.
Lo stesso controllo via API
Questo strumento gira nel vostro browser. Per lo stesso controllo dal vostro codice, in blocco o lato server, l'API risponde in JSON.
Vedi la documentazione