Configurare SPF, DKIM e DMARC per Google Workspace

Cosa significa

Quando usi Google Workspace, è Gmail a inviare le tue email, ma il tuo dominio deve dimostrare che si fida di Google. Lo fanno tre record DNS:

• SPF dice che i server di Google possono inviare per il tuo dominio.
• DKIM aggiunge una firma digitale a ogni email, creata con una chiave che solo Google possiede per il tuo dominio.
• DMARC dice ai destinatari cosa fare quando un'email fallisce entrambi i controlli, e ti invia dei report.

Per molti domini Workspace DKIM non è attivo di default: finché non lo attivi, Google firma con un dominio Google generico, che non conta per il tuo DMARC.

Perché è importante

Gmail, Yahoo e Outlook si aspettano che i mittenti abbiano SPF e DKIM, e che chi invia grandi volumi abbia anche DMARC. Ogni pezzo mancante significa più email nello spam, e la vita più facile per chi falsifica il tuo indirizzo.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella che vuoi verificare, poi apri il report. Le righe SPF, DKIM e DMARC dovrebbero essere tutte superate, e DKIM dovrebbe mostrare il tuo dominio (d=yourdomain.com).
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record SPF e DMARC senza inviare nulla.

Come risolvere

1. SPF

1. Accedi al tuo provider DNS (dove hai comprato il dominio).
2. Cerca un record TXT esistente che inizia con v=spf1. Devi averne uno solo.
3. Se non esiste, aggiungi un record TXT su @:

v=spf1 include:_spf.google.com ~all

Se ne hai già uno per altri strumenti, aggiungi include:_spf.google.com al suo interno invece di creare una seconda riga.

2. DKIM

1. Apri la Console di amministrazione Google e vai su Apps, Google Workspace, Gmail, Authenticate email.
2. Seleziona il tuo dominio e clicca su Generate new record. Scegli una chiave a 2048 bit se il tuo provider DNS accetta valori lunghi.
3. Copia il record: il nome è google._domainkey e il valore inizia con v=DKIM1; k=rsa; p=.
4. Aggiungilo come record TXT presso il tuo provider DNS.
5. Aspetta che sia visibile (da pochi minuti a 48 ore), poi torna indietro e clicca su Start authentication.

3. DMARC

Aggiungi un record TXT chiamato _dmarc. Inizia in modalità di monitoraggio:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

L'indirizzo rua riceve report giornalieri da Gmail, Yahoo, Microsoft e altri. Quando tutte le fonti legittime superano i controlli, passa a p=quarantine, poi a p=reject.

4. Altri strumenti che inviano per te

Google Workspace copre solo le email inviate da Gmail. Il tuo strumento di newsletter, il negozio online, il CRM o il modulo del sito hanno bisogno ciascuno del proprio include SPF e dei propri record DKIM, altrimenti DMARC fallirà per loro.

Verifica che sia risolto

• Avvia di nuovo lo Scanner di dominio: un solo record SPF, un solo record DMARC.
• Invia una nuova email di test dal tuo account Gmail: SPF, DKIM e DMARC dovrebbero essere tutti superati, con DKIM firmato dal tuo dominio.
• Con il Monitoraggio DMARC di Delivmail nella dashboard a pagamento, puoi leggere i report giornalieri e individuare le fonti che falliscono ancora prima di rendere più severa la tua policy.

Aiuto ufficiale: SPF, DKIM e DMARC per Google Workspace.