L'inoltro delle email rompe SPF: come aiutano DKIM e ARC

Cosa significa

Molte persone inoltrano automaticamente la propria posta: da un vecchio indirizzo a uno nuovo, da un alias universitario o aziendale a Gmail, da un indirizzo di contatto a più membri del team.

Quando succede, l'email viene inviata di nuovo dal server che inoltra. Il destinatario finale verifica SPF sull'indirizzo IP di quel server, che non è nel tuo record SPF. Risultato: SPF fallisce, anche se hai fatto tutto bene.

• DKIM di solito sopravvive all'inoltro: la firma è dentro l'email e resta valida finché il contenuto non viene modificato.
• ARC (Authenticated Received Chain) permette al server che inoltra di registrare "questa email ha superato SPF, DKIM e DMARC quando è arrivata da me", e di firmare questa dichiarazione.

Perché è importante

DMARC viene superato se SPF o DKIM viene superato e corrisponde al tuo dominio. Se ti affidi solo a SPF, ogni email inoltrata fallisce DMARC. Con p=quarantine o p=reject, quelle email finiscono nello spam o vengono rifiutate, e tu non lo vieni mai a sapere.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. Controlla che DKIM sia superato e firmato dal tuo dominio (d=yourdomain.com), non solo dal tuo provider. È questo che protegge le email inoltrate.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per controllare i tuoi record SPF e DMARC.

Nei tuoi report DMARC, l'inoltro compare come fonti che non riconosci (server universitari, provider di posta) con SPF che fallisce ma DKIM superato.

Come risolvere

Se sei tu il mittente

1. Firma ogni email con DKIM per il tuo dominio. Configuralo nel tuo provider di posta e in ogni strumento che invia per te. Questa è la vera soluzione.
2. Evita modifiche dopo la firma. Piè di pagina, tracciamento o disclaimer aggiunti da un gateway dopo la firma possono rompere DKIM. Aggiungili prima della firma, oppure firma all'ultimo passaggio.
3. Non indebolire SPF per "risolvere". Aggiungere gli indirizzi IP di chi inoltra o usare +all non è mai la risposta giusta.

Se sei tu a gestire l'inoltro

• Preferisci servizi di inoltro che supportano ARC o SRS (Sender Rewriting Scheme). SRS riscrive il mittente della busta con il dominio di chi inoltra, così SPF viene superato lì; Gmail, Microsoft 365 e la maggior parte dei grandi provider lo gestiscono.
• Invece di inoltrare tutto, valuta di raccogliere la posta con un'app o via IMAP, che non reinvia il messaggio.
• Non inoltrare lo spam: danneggia la reputazione del server che inoltra.

Mailing list

Anche le liste che aggiungono un tag all'oggetto o un piè di pagina rompono DKIM. Un buon software per mailing list riscrive l'indirizzo From (per esempio "Mario tramite Lista") o aggiunge ARC. Non puoi controllarlo dal tuo lato, ed è un motivo in più per avere un DKIM allineato ovunque altrove.

Verifica che sia risolto

Invia una nuova email di test dalla home page e conferma che DKIM viene superato con il tuo dominio. Con il Monitoraggio DMARC di Delivmail nella dashboard a pagamento, le fonti di inoltro dovrebbero poi mostrare DKIM superato anche quando SPF fallisce: è normale e accettabile.