Aggiungere un record SPF presso il tuo gestore DNS

Un record SPF si aggiunge come record TXT sul nome del tuo dominio, nella gestione DNS del fornitore presso cui si trovano i nameserver del dominio. Un dominio può avere un solo record SPF: se ne esiste già uno, inserisci il riferimento include di 2Mail in quel record, prima del ~all o -all finale. Il valore esatto sta nel pannello di 2Mail, nel tuo dominio d'invio; qui sotto trovi dove inserirlo presso i gestori DNS più diffusi.

Che cosa preparare

• L'indicazione SPF di 2Mail. Apri nel pannello il tuo dominio d'invio. Nella sezione dell'autenticazione vedi un breve riferimento include a 2Mail. Copialo alla lettera.
• L'accesso alla gestione DNS giusta. Non conta dove hai comprato il dominio, conta a chi puntano i nameserver. Se puntano a Cloudflare, una modifica nel pannello del tuo registrar non ha alcun effetto.
• Il record attuale. Inserisci il tuo dominio nel controllo gratuito di SPF, DKIM e DMARC: vedi subito se c'è già un record SPF e che cosa contiene.

Aggiungere il record in cinque passi

1. Apri la gestione DNS e cerca sul tuo dominio un record TXT che cominci con v=spf1.
2. Se non c'è: crea un nuovo record di tipo TXT. Come nome vale il dominio stesso; nella maggior parte dei pannelli è una chiocciola (@) o un campo vuoto. Il valore comincia con v=spf1, prosegue con il riferimento include dal tuo pannello di 2Mail e finisce con ~all.
3. Se c'è già: modifica quel record e aggiungi il riferimento include di 2Mail, con uno spazio prima e uno dopo, davanti all'all finale. Il resto non lo tocchi.
4. Salva e lascia stare il TTL.
5. Torna al tuo dominio d'invio nel pannello e fa' controllare il record a 2Mail.

Un solo record: come si unisce

I server destinatari accettano esattamente un record SPF per dominio. Se ne trovano due, il controllo fallisce per tutti i mittenti, anche per il servizio che funzionava bene da anni. Ogni servizio che invia a tuo nome trova quindi posto nello stesso record. Se per esempio usi Microsoft 365 per la posta dell'ufficio, ora probabilmente c'è v=spf1 include:spf.protection.outlook.com -all. Dopo la modifica diventa: v=spf1, poi include:spf.protection.outlook.com, poi il riferimento include dal tuo pannello di 2Mail, e per ultimo -all. L'ordine dei riferimenti include non conta; la parte all deve però stare proprio in fondo.

Dove aggiungere il record, gestore per gestore

I pannelli vengono ridisegnati spesso, quindi da te i pulsanti possono chiamarsi in modo un po' diverso. La strada resta la stessa.

• Cloudflare — scegli il dominio, apri la sezione DNS e lì i record. Aggiungi un record con tipo TXT, nome @ e il valore nel campo del contenuto. L'interruttore del proxy (la nuvoletta arancione) non esiste per i record TXT; non devi farci nulla.
• Combell — nel pannello di controllo apri il tuo nome a dominio e vai alla gestione DNS; i record TXT hanno lì una sezione propria. Per il dominio stesso lascia vuoto il campo del nome oppure inserisci @, come indica il pannello.
• one.com — nel pannello di controllo vai alle impostazioni DNS e lì ai record DNS. Crea un record di tipo TXT. Il pannello mostra già il tuo dominio dopo il campo del nome: per il dominio stesso quel campo di norma resta vuoto.
• TransIP — nel pannello di controllo apri il dominio e scorri fino alla parte DNS. Aggiungi una riga con nome @, tipo TXT e il valore. Poi clicca in fondo su salva: senza quel clic la riga va persa.
• OVHcloud — nel Manager apri il tuo nome a dominio e scegli la scheda della zona DNS. Aggiungi un record di tipo TXT e lascia vuoto il campo del sottodominio. Nello stesso elenco c'è anche un aiuto alla compilazione per SPF; con TXT incolli semplicemente il valore così com'è. Con OVHcloud metti in conto da qualche ora a un giorno prima che la modifica sia visibile ovunque.
• GoDaddy — nell'elenco dei tuoi prodotti apri il dominio e scegli la gestione DNS. Aggiungi un nuovo record con tipo TXT, nome @ e il valore.
• Microsoft 365 — vale solo se il DNS del tuo dominio sta presso Microsoft stessa, per esempio perché hai comprato il dominio tramite Microsoft. Nell'interfaccia di amministrazione trovi i domini sotto le impostazioni; scegli il tuo dominio, apri i record DNS e aggiungi un record personalizzato. Se il tuo DNS sta altrove, quella schermata mostra soltanto quali record Microsoft si aspetta, e li modifichi presso il tuo vero gestore DNS. In entrambi i casi c'è già un record SPF per Microsoft: quindi si unisce.

Il limite di dieci interrogazioni DNS

Nel leggere il tuo record SPF un server destinatario può fare al massimo dieci interrogazioni DNS. Ogni include conta, come le parti a, mx, exists e redirect, e contano anche le interrogazioni annidate dentro un riferimento include. Le parti ip4, ip6 e all non costano nulla. Se superi le dieci, fallisce l'intero record, anche per i mittenti che stanno all'inizio. Elimina perciò i riferimenti ai servizi che non usi più: il vecchio strumento per le newsletter, l'hosting precedente, il CRM di tre anni fa. Il controllo gratuito conta le interrogazioni al posto tuo.

~all o -all?

L'ultima parte dice che cosa deve pensare un destinatario dei server che non stanno nel record. Con ~all (softfail) sono sospetti, con -all (fail) sono espressamente non ammessi. Se nel tuo record c'è già una chiusura, lasciala com'è. Se parti da zero, scegli ~all finché non sei certo che ogni servizio che invia a tuo nome sia nel record; poi puoi passare a -all. Non usare mai +all, perché approva qualsiasi server al mondo, ed evita ?all, perché nessun destinatario ne trae una conclusione.

Controllare e aspettare

Il controllo nel pannello è il riferimento: non appena è verde, la posta che passa dal nostro relay esce con un esito SPF positivo. Un record nuovo è di norma visibile entro un'ora. Un record modificato continua a dare la vecchia risposta per tutto il tempo indicato dal TTL precedente. Anche il tuo computer e il tuo provider Internet ricordano quella vecchia risposta; non provare quindi dieci volte di fila dal tuo dispositivo, ma usa il controllo gratuito o il controllo nel pannello.

Errori frequenti

• Un secondo record — l'errore più frequente. Unisci tutto in un solo record ed elimina l'altro.
• Le virgolette — alcuni pannelli mettono da sé le virgolette attorno al valore, altri si aspettano che tu le ometta. Segui il pannello e non aggiungerne. Se copi il valore da una e-mail o da un documento Word, controlla che non siano arrivate virgolette tipografiche: con quelle il record non è valido.
• Il campo del nome — se nel nome scrivi il dominio completo mentre il pannello lo aggiunge già da sé, il record finisce su tuodominio.it.tuodominio.it e nessuno lo trova.
• Il dominio sbagliato — SPF va sul dominio del tuo indirizzo mittente, non su quello del tuo sito web se sono diversi.
• Il tipo di record SPF — alcuni pannelli offrono ancora un tipo SPF a parte. Quel tipo è stato abolito; i destinatari guardano solo il TXT.
• Il pannello sbagliato — il record sta presso il tuo registrar, ma i nameserver puntano a un altro fornitore.

SPF da solo non basta. Attiva poi anche DKIM con attivare una chiave DKIM e prepara una politica DMARC con il generatore di record DMARC. Come lavorano insieme i tre record lo leggi su SPF, DKIM e DMARC.

Domande frequenti

Posso avere due record SPF se servono ciascuno a un servizio diverso?

No. Per quanti servizi inviino a tuo nome, stanno tutti in un solo record. Due record producono un errore permanente e i destinatari li ignorano entrambi.

Un sottodominio ha bisogno di un record SPF proprio?

Sì. SPF non si eredita dal dominio principale. Se invii da un sottodominio, per esempio un dominio separato per le newsletter, quel sottodominio riceve un record TXT proprio con un valore v=spf1 proprio.

Il mio record sta diventando troppo lungo. E adesso?

Una singola stringa in un record TXT può contare al massimo 255 caratteri. La maggior parte dei pannelli spezza da sé un valore più lungo in più parti dentro lo stesso record, ed è consentito. Se il tuo record diventa così lungo, probabilmente sei anche vicino al limite di dieci interrogazioni: fare pulizia aiuta più che spezzare.

Perché SPF fallisce con la posta inoltrata?

Se un destinatario inoltra automaticamente il tuo messaggio a un altro indirizzo, il messaggio riparte da un server che non sta nel tuo record. È normale e non si risolve con SPF. La firma DKIM invece resta valida anche dopo l'inoltro, ed è proprio per questo che imposti entrambi.

Non ci riesci?

Mandaci tramite contatto il tuo nome a dominio e uno screenshot del record come appare nel tuo pannello. Ti diciamo che cosa cambiare.