Un server che riceve pone tre domande sulla sua posta: è stata mandata da una macchina autorizzata a spedire per questo dominio, è stata alterata per strada, e che cosa si deve fare se le risposte sono no. SPF, DKIM e DMARC sono quelle tre risposte, e sono tutti record DNS.

SPF - chi può spedire

v=spf1 ip4:203.0.113.10 include:_spf.google.com -all
  • Un solo record SPF per dominio. Due sono un errore permanente e non una fusione - ed è il guasto più comune dei tre.
  • Al massimo dieci risoluzioni DNS. Ogni include conta, e contano anche gli include che stanno dentro. Oltre dieci è un fallimento.
  • -all vuol dire rifiuta; ~all vuol dire trattalo come sospetto. Cominci con ~all e stringa quando i rapporti sono puliti.

DKIM - è stata alterata

dig +short selector1._domainkey.yourdomain.com TXT

Il suo server firma ogni messaggio; la chiave pubblica sta nel DNS sotto un selettore. Se il record manca o è troncato - le chiavi lunghe vengono spesso incollate male e finiscono tagliate - ogni messaggio non supera il controllo.

DMARC - che fare dei fallimenti

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; pct=100

Parta da p=none. Non cambia nulla del recapito e fa arrivare i rapporti, che le dicono chi sta spedendo a suo nome. Passi a quarantine e poi a reject quando i rapporti sono puliti.

Verifichi che cosa ha davvero

dig +short yourdomain.com TXT | grep spf1
dig +short _dmarc.yourdomain.com TXT
# then send a message to a checker and read the headers it returns

L'allineamento: la parte che frega tutti

DMARC pretende che il dominio visibile del From corrisponda al dominio che ha superato SPF o DKIM. Spedire attraverso un terzo con il loro dominio di rimbalzo supera SPF e fallisce comunque DMARC, perché l'allineamento è sbagliato. Configuri il mittente con il suo dominio, oppure si appoggi a un DKIM firmato con il suo.

Se la posta finisce nello spam nonostante tutti e tre superati, veda la posta finisce nello spam e il DNS inverso per un server di posta.