SPF flattening: quando aiuta e cosa può andare storto

Cosa significa

Un record SPF può generare al massimo 10 query DNS. Ogni include: conta, e contano anche gli include nascosti al suo interno. Con diversi servizi arrivi presto a 11 o più, e SPF restituisce un errore (permerror).

Il flattening ("appiattimento") consiste nel sostituire gli include con gli indirizzi IP a cui rimandano. Per esempio:

Before: v=spf1 include:_spf.example-provider.com ~all
After:  v=spf1 ip4:198.51.100.0/24 ip4:203.0.113.0/24 ~all

Le voci ip4: e ip6: non costano nessuna query, quindi il record ora è ben sotto il limite.

Perché è importante

Il flattening risolve il problema delle query, ma porta nuovi rischi:

• I provider cambiano i loro indirizzi IP. Google, Microsoft e gli strumenti di newsletter aggiungono server regolarmente. Una copia appiattita non segue. I nuovi server falliscono SPF senza nessun avviso.
• I record diventano lunghi. I grandi provider hanno decine di intervalli. Un record SPF molto lungo va diviso in più stringhe e può superare i limiti di dimensione del DNS.
• Nessuno se lo ricorda. Un anno dopo, nessuno sa da dove vengono gli indirizzi IP né quale si può togliere.

Come verificare

Delivmail lo verifica per te in due modi:

• Invia un'email di test: nella home page (/) copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report.
• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere i tuoi record SPF, DMARC e MX senza inviare nulla.

La riga SPF del report e lo scanner ti dicono se il tuo record è valido o supera le 10 query.

Come risolvere

1. Prova prima le soluzioni semplici

• Togli gli include dei servizi che non usi più.
• Togli i doppioni, come a e mx quando puntano a server che non inviano email.
• Controlla se uno strumento ha davvero bisogno di un include. Molti strumenti di newsletter usano un proprio dominio di return path, quindi SPF viene verificato lì e non sul tuo dominio principale.
• Sposta gli invii di massa su un sottodominio come news.yourdomain.com, con il suo record SPF.

2. Se ti serve ancora il flattening, appiattisci solo una parte

Tieni gli include dei grandi provider che cambiano spesso (il tuo provider di posta), e appiattisci solo i servizi piccoli e stabili i cui indirizzi cambiano raramente, come il tuo server.

3. Preferisci un servizio automatico

Alcuni servizi DNS o DMARC offrono un flattening "dinamico": controllano ogni giorno gli indirizzi IP dei provider e aggiornano il record per te. Se appiattisci a mano, imposta un promemoria mensile per confrontare la tua lista con quella attuale del provider.

4. Tieni DKIM funzionante

Anche se SPF si rompe dopo una modifica, una firma DKIM valida fa passare comunque DMARC. Assicurati che ogni servizio firmi con DKIM per il tuo dominio.

Verifica che sia risolto

Avvia di nuovo lo Scanner di dominio: il tuo record SPF deve essere valido e sotto le 10 query. Poi invia un'email di test da ogni servizio a un nuovo indirizzo di test Delivmail e verifica che SPF passi. Ripeti questi test ogni qualche mese se hai appiattito a mano.