Più servizi email su un solo dominio: combinare bene SPF e DKIM

Cosa significa

La maggior parte delle aziende invia email da più posti: un provider di posta (Google Workspace, Microsoft 365), uno strumento di newsletter, un negozio online, un CRM, uno strumento di fatturazione o il modulo di contatto del sito. Ognuno invia email "From" il tuo dominio, quindi ognuno deve essere autorizzato e autenticato.

Le regole sono semplici ma spesso non rispettate:

• SPF: il tuo dominio può avere un solo record SPF. Tutti i mittenti vanno in quella riga.
• DKIM: ogni servizio ha la sua chiave, salvata con il suo nome (il selettore). Le chiavi non si sostituiscono mai a vicenda.
• DMARC: un solo record per tutto il dominio, che copre ogni servizio.

Perché è importante

• Quando si aggiunge un secondo record SPF per un nuovo strumento, entrambi i record diventano non validi e SPF fallisce per tutti i servizi.
• Un servizio non autenticato con il tuo dominio fallisce DMARC, e le sue email finiscono nello spam o vengono rifiutate quando la tua policy è severa.
• I mittenti dimenticati sono il motivo principale per cui molti non osano mai passare DMARC a reject.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record SPF, DMARC e MX senza inviare nulla.

Ripeti il test una volta per ogni servizio che invia email per te.

Come risolvere

1. Fai un inventario. Annota ogni strumento che invia email con il tuo dominio: casella, newsletter, negozio, fatture, helpdesk, sito web. Controlla i tuoi report DMARC per trovare quelli dimenticati.
2. Riunisci SPF in una sola riga. Metti ogni include: o ip4: dopo un solo v=spf1 e chiudi con un solo all:

   v=spf1 include:_spf.google.com include:spf.newsletter-example.com ip4:203.0.113.10 ~all

3. Attenzione al limite di 10 query. Ogni include: conta almeno una query DNS, e SPF ne permette 10 in totale. Togli i servizi che non usi più. Alcuni strumenti non hanno bisogno di nessun include una volta configurato il loro return path personalizzato.
4. Aggiungi un record DKIM per servizio. Ogni strumento ti dà un nome di selettore, per esempio:

   google._domainkey.yourdomain.com     TXT    (Google key)
   s1._domainkey.yourdomain.com         CNAME  (newsletter tool)
   shop._domainkey.yourdomain.com       CNAME  (online shop)

   Se due strumenti chiedono lo stesso nome di selettore, contatta uno dei due: un nome può contenere una sola chiave.
5. Verifica in ogni strumento. Clicca "Verify" o "Authenticate" in ogni servizio quando i record sono pubblicati.
6. Tieni un solo record DMARC. Inizia con p=none e un indirizzo per i report, poi rendilo più severo quando tutti i servizi passano.

Consiglio: sposta i grandi mittenti su un sottodominio

Se hai molti strumenti, invia le newsletter da news.yourdomain.com. Il sottodominio ha il suo record SPF, e il tuo SPF principale resta corto.

Verifica che sia risolto

Avvia lo Scanner di dominio: devi vedere esattamente un record SPF valido e un record DMARC. Poi invia un'email di test da ogni servizio a un nuovo indirizzo di test Delivmail. Ogni report deve mostrare SPF o DKIM che passano per il tuo dominio e DMARC che passa. Con il monitoraggio DMARC di Delivmail nella dashboard a pagamento, ogni mittente dimenticato comparirà nei report giornalieri.