SPF ~all o -all: quale finale scegliere?

Cosa significa

Un record SPF elenca i server autorizzati a inviare email per il tuo dominio. La sua ultima parte, chiamata meccanismo "all", dice cosa fare con tutti gli altri server:

• ~all (soft fail): "gli altri server probabilmente non sono miei, tratta l'email con sospetto".
• -all (hard fail): "gli altri server non sono autorizzati a inviare per me".
• ?all (neutral): "non mi pronuncio". Non dà quasi nessuna protezione.
• +all: "chiunque può inviare per me". Non usarlo mai.

v=spf1 include:_spf.google.com ~all
v=spf1 include:_spf.google.com -all

Perché è importante

• Con DMARC attivo, la differenza è piccola. La maggior parte delle grandi caselle, come Gmail e Outlook, decide in base alla tua policy DMARC, non solo al finale SPF. Un fail o un soft fail SPF contano entrambi come "SPF non superato" per DMARC.
• Senza DMARC, alcuni server rifiutano subito i fallimenti con -all, mentre segnano solo come sospetti quelli con ~all.
• Se hai dimenticato un servizio di invio nella tua lista, -all può far rifiutare le sue email, soprattutto quando vengono inoltrate o non hanno DKIM.
• -all dice chiaramente al mondo che la tua lista è completa, e questo aiuta a proteggere il tuo dominio dallo spoofing.

Come verificare

• Usa lo Scanner di dominio: inserisci il tuo dominio su /domain-scanner per leggere il tuo record SPF e il suo finale.
• Invia un'email di test: nella home page copia il tuo indirizzo di test unico, inviagli una normale email dalla casella o dallo strumento che vuoi verificare, poi apri il report. La riga SPF mostra "pass", "softfail" o "fail" per il server che l'ha inviata.

Come scegliere

Usa ~all quando

• Stai configurando tutto e non sei ancora sicuro che ogni servizio sia elencato.
• Alcune delle tue email non sono firmate con DKIM.
• Le tue email vengono spesso inoltrate (per esempio a indirizzi universitari o di vecchi provider internet) e non hai DKIM per salvarle.

Usa -all quando

• Hai elencato ogni servizio che invia per te, e li hai verificati uno per uno con un'email di test.
• Tutti firmano con DKIM sul tuo dominio.
• Hai DMARC e i suoi report non mostrano nessuna fonte legittima che fallisce.
• Il dominio non invia nessuna email: allora usa v=spf1 -all.

Come passare in sicurezza

1. Inizia con ~all e pubblica un record DMARC con un indirizzo rua per ricevere i report.
2. Leggi i report per due-quattro settimane. La dashboard a pagamento di Delivmail include il Monitoraggio DMARC, che li trasforma in un elenco leggibile di mittenti.
3. Aggiungi ogni servizio mancante a SPF, e configura DKIM per esso.
4. Cambia il finale in -all presso il tuo provider DNS. Modifica il record esistente; non aggiungere un secondo record SPF.
5. Continua a controllare i report per qualche altra settimana.

Ricorda: la vera protezione viene da DMARC con una policy quarantine o reject. Il finale SPF è un dettaglio in confronto.

Verifica che sia risolto

Le modifiche DNS non sono immediate. La maggior parte è visibile in pochi minuti, ma alcuni provider impiegano fino a 24-48 ore.

Avvia di nuovo lo Scanner di dominio per vedere il nuovo finale, poi invia un'email di test da ciascuno dei tuoi servizi di invio. Ogni report dovrebbe mostrare SPF superato.