Record DNS per la posta: MX, SPF, DKIM e DMARC

La posta elettronica dipende da diversi record DNS che svolgono compiti diversi. I record MX dicono ai sistemi di posta mittenti dove consegnare i messaggi in entrata per un dominio. SPF pubblica in un dato TXT una policy su quali sistemi mittenti sono autorizzati. DKIM usa una chiave pubblica pubblicata nel DNS perché i destinatari possano verificare una firma crittografica, mentre DMARC dice ai destinatari come valutare i messaggi che falliscono l'allineamento e dove inviare i report. Questi meccanismi si completano a vicenda: un solo record MX corretto non autentica la posta in uscita, e un record SPF valido non configura la consegna in entrata.

L'instradamento in entrata parte da MX

Un server di posta mittente interroga i record MX del dominio destinatario e riceve uno o più hostname di mail exchanger con i relativi valori di preferenza. Quando ci sono più destinazioni disponibili, si preferiscono i numeri di preferenza più bassi, anche se i sistemi di consegna possono applicare una propria logica di ripetizione e di disponibilità. Gli hostname di destinazione hanno poi bisogno della propria risoluzione degli indirizzi. Se il dominio non ha alcun record MX, il comportamento della posta può ripiegare su altre regole DNS, ma affidarsi a un fallback implicito è di solito meno chiaro che pubblicare la configurazione voluta. Controlla i valori MX con le istruzioni di configurazione attuali del provider di posta e verifica il dominio radice esatto usato per la posta.

SPF viene pubblicato come record TXT nel dominio interessato e viene valutato rispetto al mittente che si connette. Ha limiti sui lookup e regole di sintassi, quindi copiare più stringhe SPF indipendenti in record TXT separati può causare un permerror. I record DKIM sono di solito pubblicati sotto nomi specifici del selettore forniti dal mittente, e un selettore mancante può rendere le firme non verificabili. DMARC usa un nome ben noto sotto _dmarc e può iniziare in modalità di monitoraggio prima che si valuti una policy più severa. Evita di inventare valori: ottienili da ogni piattaforma di posta autorizzata a inviare per conto del dominio.

Perché l'autenticazione della posta richiede l'allineamento

DMARC controlla se il dominio From visibile di un messaggio è allineato con un dominio autenticato tramite SPF o DKIM, secondo la modalità di allineamento configurata. Questo aiuta i destinatari a distinguere l'uso autorizzato di un dominio dai messaggi che si limitano a dichiarare di provenire da lì. Un dominio può superare SPF ma fallire DMARC se il mittente della busta autenticato non è allineato con il dominio From visibile, e una firma DKIM può fallire se la chiave pubblicata manca o è errata. Le piattaforme di posta usano spesso più servizi di invio, quindi prima di irrigidire una policy conviene fare un inventario di tutte le fonti legittime.

• Elenca ogni sistema che invia posta per il dominio prima di modificare SPF.
• Pubblica i selettori DKIM forniti dal provider e verifica il nome esatto del selettore.
• Avvia i report DMARC con una policy adatta al tuo livello di preparazione al monitoraggio.
• Controlla le priorità MX e la risoluzione degli indirizzi di destinazione dopo le migrazioni di provider.
• Esamina i report aggregati e indaga sui mittenti sconosciuti prima di modificare la policy in senso restrittivo.

Verifica i record dopo una migrazione

Quando cambi provider di posta, esporta la vecchia configurazione DNS, poi confronta i nuovi record MX, SPF, DKIM e DMARC con la checklist di configurazione del nuovo provider. Alcuni provider richiedono, oltre ai record di posta, un record TXT di verifica del dominio. Mantieni autorizzati i vecchi sistemi di invio solo finché inviano ancora traffico legittimo e rimuovi con cautela le autorizzazioni obsolete dopo il monitoraggio. A causa della cache del TTL DNS, non tutti i destinatari vedono una modifica nello stesso momento. Conferma le risposte pubbliche e invia messaggi di prova a sistemi destinatari rappresentativi, ma ricorda che i risultati di consegna dipendono anche da reputazione, contenuto e filtri lato destinatario.

Un lookup DNS può mostrare se i record sono pubblicamente visibili; da solo non può dimostrare che un messaggio finirà in una casella di posta in arrivo. La guida ai record MX e la spiegazione di SPF, DKIM e DMARC trattano i singoli meccanismi. Usa un DNS checker per ispezionare nomi e tipi specifici, poi convalida inviando messaggi di prova controllati ed esaminando i log del provider. Tenere separati routing e autenticazione nella tua checklist rende le modifiche alla posta molto più sicure.

Fai un inventario prima di modificare il DNS della posta

Molte organizzazioni hanno più di un mittente legittimo: un provider di caselle di posta, una piattaforma di marketing, un sistema di ticketing, un'applicazione di contabilità e un servizio di monitoraggio possono tutti inviare come lo stesso dominio. Crea un inventario con ogni fornitore, dominio di invio, requisito SPF, selettore DKIM e responsabile. Conferma se ciascun fornitore usa il dominio From visibile o un sottodominio delegato. Questo inventario è la base per una policy DMARC sicura, perché i report spesso rivelano sistemi di cui l'amministratore principale della posta non conosceva l'esistenza. Convalida i fornitori con la loro documentazione attuale e con un vero messaggio di prova, poi rimuovi i mittenti obsoleti solo dopo che il team ha confermato che il loro traffico non serve più.