Come verificare SPF, DKIM e DMARC con LearnDMARC

Configurare un record DMARC nel DNS è solo il primo passo. Il controllo realmente utile consiste nel verificare come viene autenticato un messaggio inviato dal proprio sistema di posta.

Per farlo possiamo utilizzare LearnDMARC, uno strumento online che permette di inviare un messaggio di prova e osservare in modo chiaro il comportamento di SPF, DKIM e DMARC.

Perché non basta controllare il record DNS

Un controllo DNS può confermare che un record DMARC esiste, ad esempio:

v=DMARC1; p=quarantine;

Questo però non significa automaticamente che tutti i messaggi inviati dal dominio superino correttamente i controlli DMARC.

Un messaggio può, per esempio:

• superare SPF ma non essere allineato con il dominio visibile nel campo From:;
• avere una firma DKIM valida ma utilizzare il dominio di un provider esterno;
• essere autenticato correttamente da Microsoft 365 ma fallire quando viene inviato da un CRM, un gestionale o un’applicazione web;
• avere SPF e DKIM corretti, ma una policy DMARC non ancora adeguata.

Per questo è utile eseguire il controllo utilizzando un messaggio reale generato dal sistema che vogliamo verificare.

1. Aprire LearnDMARC

Accediamo a learndmarc.com.

Il sito mette a disposizione un indirizzo email temporaneo a cui inviare il messaggio di prova. Apriamo quindi il nostro client di posta oppure il sistema che vogliamo verificare e inviamo una normale email a quell’indirizzo.

È importante che il messaggio venga inviato attraverso il servizio che vogliamo realmente testare.

Se vogliamo verificare Microsoft 365, dovremo quindi inviare il messaggio da Microsoft 365. Se vogliamo verificare un CRM, un gestionale, un sistema di ticketing o un’applicazione web, il test dovrà essere eseguito direttamente da quel sistema.

2. Verificare SPF

Una delle prime verifiche riguarda SPF.

SPF permette al destinatario di controllare se il server che ha inviato il messaggio è autorizzato a spedire posta per quel dominio.

Nel risultato dobbiamo osservare soprattutto due valori:

Auth Result: PASS
DMARC Alignment: PASS

Auth Result: PASS indica che il server mittente è autorizzato dal record SPF.

DMARC Alignment: PASS indica invece che il dominio utilizzato durante la verifica SPF è compatibile con il dominio visibile nel campo From:.

Questo secondo controllo è fondamentale perché DMARC non verifica soltanto se SPF è valido, ma anche se il dominio autenticato è correttamente allineato con il mittente visibile all’utente.

3. Verificare DKIM

La seconda verifica riguarda DKIM.

DKIM aggiunge al messaggio una firma crittografica che permette al destinatario di verificare che il contenuto non sia stato modificato durante il trasporto e che la firma appartenga al dominio dichiarato.

Anche in questo caso il risultato desiderato è:

Auth Result: PASS
DMARC Alignment: PASS

È utile controllare anche il dominio utilizzato dalla firma DKIM.

Potremmo infatti trovarci in una situazione come questa:

DKIM Auth Result: PASS
DMARC Alignment: FAIL

La firma sarebbe tecnicamente valida, ma il dominio che ha firmato il messaggio non sarebbe allineato con quello utilizzato nel campo From:.

È una situazione che può verificarsi soprattutto quando vengono utilizzati servizi esterni come piattaforme newsletter, CRM, software gestionali, servizi SaaS o server SMTP di terze parti.

4. Verificare il risultato DMARC

La parte più importante del test è il risultato finale di DMARC.

Il valore che vogliamo ottenere è:

DMARC Result: PASS

Un risultato ideale potrebbe quindi essere:

SPF
Auth Result: PASS
DMARC Alignment: PASS

DKIM
Auth Result: PASS
DMARC Alignment: PASS

DMARC
DMARC Result: PASS

Questo indica che il messaggio viene autenticato correttamente e che i domini coinvolti sono coerenti con il dominio del mittente.

SPF e DKIM devono passare entrambi?

No. Perché DMARC venga superato è sufficiente che almeno uno tra SPF e DKIM superi sia l’autenticazione sia l’allineamento DMARC.

Per esempio:

SPF: FAIL
DKIM: PASS
DMARC: PASS

può essere un risultato perfettamente valido se DKIM è correttamente allineato.

Quando possibile, avere sia SPF sia DKIM correttamente configurati rende comunque il flusso di posta più robusto e più semplice da diagnosticare.

5. Controllare la policy DMARC

È utile verificare anche la policy pubblicata dal dominio.

I valori principali sono:

p=none
p=quarantine
p=reject

p=none viene normalmente utilizzato per monitorare il comportamento della posta senza richiedere un’azione specifica sui messaggi che non superano DMARC.

p=quarantine indica ai destinatari di trattare con maggiore cautela i messaggi che falliscono DMARC.

p=reject indica invece che i messaggi che non superano la verifica dovrebbero essere rifiutati.

Un dominio può quindi ottenere:

DMARC Result: PASS
Policy: p=none

In questo caso l’autenticazione del messaggio funziona, ma la policy è ancora impostata in modalità di monitoraggio.

Il punto più importante: DMARC Alignment

L’allineamento è uno degli aspetti che più facilmente genera configurazioni apparentemente corrette ma non realmente efficaci.

Immaginiamo di inviare un messaggio da:

ut****@*****da.it

ma che un servizio esterno firmi il messaggio con:

provider-mail.com

Potremmo ottenere:

DKIM Auth Result: PASS
DMARC Alignment: FAIL

La firma DKIM è valida, ma appartiene a un dominio diverso da quello utilizzato dal mittente.

LearnDMARC è particolarmente utile proprio perché rende visibile questo tipo di problema senza dover analizzare manualmente tutti gli header del messaggio.

Non testare soltanto la casella principale

Un errore abbastanza comune consiste nel testare soltanto il proprio sistema di posta principale, ottenere un risultato positivo e considerare conclusa la configurazione.

In realtà è opportuno individuare tutti i sistemi autorizzati a inviare email utilizzando il dominio aziendale.

Per esempio:

• Microsoft 365;
• Google Workspace;
• server SMTP;
• sito WordPress;
• CRM;
• gestionali;
• sistemi di ticketing;
• piattaforme newsletter;
• software di fatturazione;
• applicazioni cloud.

Quando possibile, il test dovrebbe essere ripetuto da ciascuno di questi sistemi.

Checklist rapida

Controllo	Risultato desiderato
SPF Auth Result	PASS
SPF Alignment	PASS
DKIM Auth Result	PASS
DKIM Alignment	PASS
DMARC Result	PASS
DMARC Policy	Coerente con la policy definita

Un test DMARC non è un test di deliverability

Superare SPF, DKIM e DMARC non garantisce automaticamente che un messaggio venga recapitato nella Inbox.

I provider di posta possono utilizzare molti altri segnali, tra cui reputazione del dominio, reputazione dell’indirizzo IP, volumi di invio, contenuto del messaggio, segnalazioni spam e comportamento storico del mittente.

LearnDMARC serve quindi principalmente a rispondere a questa domanda:

Il mio sistema sta autenticando correttamente i messaggi attraverso SPF, DKIM e DMARC?

Conclusione

Controllare semplicemente la presenza dei record DNS non è sufficiente per avere la certezza che DMARC stia funzionando correttamente.

Un test con un messaggio reale permette di verificare contemporaneamente:

• SPF;
• DKIM;
• DMARC;
• allineamento dei domini;
• policy applicata.

Per questo LearnDMARC è uno strumento particolarmente utile dopo una nuova configurazione o dopo una modifica ai sistemi che inviano posta per conto del dominio.