SPF termina con +all o ?all (troppo permissivo)

Cosa significa

Un record SPF elenca i server autorizzati a inviare email per il tuo dominio, e termina con una regola per tutti gli altri server. Quell'ultima parte è il meccanismo all, e il simbolo che lo precede decide cosa succede:

• -all (fail): gli altri server non sono autorizzati.
• ~all (soft fail): gli altri server sono sospetti.
• ?all (neutral): nessuna opinione sugli altri server.
• +all (pass), o semplicemente all: ogni server al mondo è autorizzato.

Per esempio, questo record a prima vista sembra a posto ma autorizza tutti:

v=spf1 include:_spf.google.com +all

Perché è importante

• Con +all, il server di uno spammer passa SPF per il tuo dominio. Il tuo record non ti protegge più, e i destinatari lo vedono come il segno di una configurazione trascurata.
• Con ?all, SPF non dà alcun risultato utile per i server sconosciuti, quindi non aggiunge nulla contro lo spoofing.
• Alcuni filtri antispam aggiungono punti alle email dei domini con queste parti finali.

Queste parti finali di solito vengono aggiunte "per far funzionare le cose" quando un'email falliva SPF. La vera soluzione è elencare il mittente mancante.

Come verificare

Analizza il tuo dominio su /domain-scanner per vedere il tuo record SPF. Oppure invia un'email di test al tuo indirizzo nella home page (/): la sezione SPF mostra il record usato.

Come risolvere

1. Elenca tutti i servizi che inviano email per te: il tuo provider di posta, lo strumento di newsletter, il negozio online, il CRM, lo strumento di fatturazione, il modulo di contatto del sito, i tuoi server.
2. Assicurati che ciascuno sia nel record, con il valore include: indicato nelle sue pagine di aiuto o un ip4: per il tuo server.
3. Sostituisci la parte finale presso il tuo provider DNS. Modifica il record TXT esistente; non creare un secondo record SPF.

Punto di partenza sicuro:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ~all

Una volta sicuro che l'elenco è completo:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com -all

Quale scegliere?

• ~all è una buona scelta finché stai ancora individuando tutti i tuoi mittenti, e funziona bene con DMARC.
• -all è il più severo. Usalo quando i tuoi report DMARC mostrano che tutti i tuoi mittenti reali passano.
• Per un dominio che non invia mai email: v=spf1 -all.

Attenzione ai problemi dopo la modifica

Se un servizio dimenticato si basava su +all, ora le sue email falliranno SPF. I report aggregati DMARC sono il modo più semplice per accorgersene: mostrano ogni IP che invia con il tuo dominio e se ha passato il controllo. Il monitoraggio DMARC della dashboard a pagamento legge questi report per te.

Verifica che sia risolto

Aspetta che il DNS si aggiorni, di solito da qualche minuto a qualche ora. Usa di nuovo /domain-scanner: il record deve terminare con ~all o -all. Poi invia un test da ciascuno dei tuoi servizi di invio all'indirizzo della home page e controlla che SPF passi ancora per tutti.