Vai al contenuto principale
IT Deutsch Español Français Português

Linee guida per i mittenti di email di Google

Nota

Email inviate da Duda segui già le migliori pratiche di autenticazione delle email. I passaggi descritti in questo articolo spiegano come implementare le migliori pratiche di autenticazione e-mail per i tuoi account Gmail personali. Nota che Duda non offre né supporta l'hosting di posta elettronica.

A partire dal 1° febbraio 2024, Google richiede standard di autenticazione e-mail specifici per l'invio di messaggi agli account Gmail personali. Questi standard sono essenziali per evitare che le email vengano contrassegnate come spam o bloccate

  • Tutti i mittenti: implementa SPF (Sender Policy Framework) o DKIM (DomainKeys Identified Mail)

  • Mittenti in blocco (qualsiasi mittente di posta elettronica che invia quasi 5.000 o più messaggi al giorno): implementa SPF, DKIM e DMARC (Autenticazione, segnalazione e conformità dei messaggi basati sul dominio)

Le linee guida si applicano a tutti i mittenti di posta elettronica, indipendentemente dal provider di servizi di posta elettronica utilizzato, purché si inviino e-mail agli account personali di Gmail (account che terminano con @gmail .com o @googlemail .com).

Nota

Per assistenza con le informazioni di accesso, le impostazioni o i record TXT del dominio, contatta il tuo provider di dominio.

Perché l'autenticazione delle e-mail è importante

I requisiti di autenticazione delle email di Google migliorano la sicurezza e impediscono attività dannose come spoofing e phishing. Implementando queste best practice di autenticazione delle email, migliorerai la recapitabilità e l'affidabilità delle tue email verso gli account Gmail, proteggendo al contempo sia l'organizzazione che i destinatari dall'impersonificazione e

Per prestazioni ottimali di consegna delle e-mail:

  1. Configura SPF: Garantisci la consegna della posta e previeni lo spoofing specificando i server autorizzati per il tuo dominio.

  2. Configura DKIM: aumenta la sicurezza delle e-mail in uscita aggiungendo firme digitali crittografate.

  3. Configurare DMARC: Infine, migliora la sicurezza per lo spam contraffatto con DMARC. DMARC indica ai server riceventi cosa fare con le email che non superano SPF o DKIM

Assicurati che SPF, DKIM e DMARC siano configurati per ciascuno dei tuoi domini di invio tramite il tuo provider di dominio. Se utilizzi un provider di servizi e-mail, verifica che autentichi l'email del tuo dominio con SPF e DKIM per evitare problemi di

Standard di autenticazione e-mail

Di seguito sono riportati i principali metodi di autenticazione che devi configurare per soddisfare i requisiti di Google e migliorare la sicurezza delle tue email:

  • SPF (Sender Policy Framework): SPF impedisce lo spoofing delle email specificando quali server di posta sono autorizzati a inviare email per conto del tuo dominio. Funziona pubblicando un record DNS che elenca questi server autorizzati. Quando viene ricevuta un'e-mail, il server di posta del destinatario controlla il record SPF per verificare il mittente. Per le istruzioni di configurazione Configura i record TXT SPF per il tuo dominio.

  • DKIM (DomainKeys Identified Mail): DKIM garantisce l'autenticità e l'integrità delle email aggiungendo una firma digitale all'intestazione dell'email. Ciò si ottiene utilizzando una coppia di chiavi crittografiche, una privata e una pubblica. La chiave privata viene utilizzata per firmare l'e-mail e la chiave pubblica, pubblicata nei record DNS del dominio, viene utilizzata dal server ricevente per verificare la firma. Per le istruzioni di configurazione, consulta Configura i record TXT DKIM per il tuo dominio.

  • DMARC (Domain-based Message Authentication, Reporting and Conformance): DMARC si basa su SPF e DKIM fornendo istruzioni ai server riceventi su come gestire le email che non superano questi controlli. Pubblica una politica nel DNS che indica ai server di posta riceventi cosa fare con le email che non superano la verifica SPF o DKIM, ad esempio rifiutandole o mettendole in quarantena. DMARC fornisce anche un meccanismo per ricevere report sull'attività di autenticazione delle e-mail che puoi utilizzare per monitorare le e-mail inviate dal tuo dominio e identificare i mittenti che potrebbero impersonare il tuo dominio. Per le istruzioni di configurazione, consulta Configura i record TXT DMARC per il tuo dominio.

Configura i record TXT SPF per il tuo dominio

Sender Policy Framework (SPF) è un protocollo di autenticazione e-mail progettato per prevenire lo spoofing delle e-mail e gli attacchi di phishing specificando quali server di posta sono autorizzati a inviare e-mail per conto del tuo dominio. Impostando un record SPF, aiutate i server dei destinatari a verificare che le email che dichiarano di provenire dal vostro dominio siano effettivamente inviate da server autorizzati. Se un'email viene inviata da un server non autorizzato, può essere contrassegnata come spam

Nota

Per assistenza con le informazioni di accesso, le impostazioni o i record TXT del dominio, contatta il tuo provider di dominio.

Prima di configurare l'SPF, assicurati di avere:

  • Accesso al provider di dominio: credenziali per accedere alla console di gestione del provider di dominio. L'SPF è impostato presso il provider di hosting del tuo dominio, non nella tua Console di amministrazione Google

  • (Facoltativo) Record SPF esistente: Controlla se è già impostato un record SPF.

  • Informazioni sul server di posta: un elenco di indirizzi IP o domini per tutti i server di posta che inviano e-mail per conto del tuo dominio.

Per configurare SPF:

  1. Accedi alla console di gestione del tuo provider di dominio: Accedi alla console di gestione fornita dal tuo provider di dominio (ad esempio GoDaddy). Individua la pagina o la dashboard dedicata all'aggiornamento dei record DNS TXT

  2. Controlla il record SPF esistente: potresti già avere un record TXT impostato per SPF con il tuo provider di dominio. Verifica se esiste già un record SPF utilizzando Google Admin Toolbox:

    • Inserisci il tuo nome di dominio e fai clic Esegui Checks!

    • Dopo il test, fai clic su Intervalli di indirizzi SPF effettivi.

    • Esamina i risultati per le voci SPF esistenti, ad esempio:

      • _spf.google.com

      • _netblocks.google.comseguita da diversi indirizzi IP

      • _netblocks2.google.comseguita da diversi indirizzi IP

      • _netblocks3.google.comseguita da diversi indirizzi IP

        Nota

        I risultati contengono un riepilogo contenente flag che mostrano se il flusso di posta è:

        • funziona senza intoppi e non è necessaria alcuna azione,

        • funzionante ma indica problemi che devono essere risolti, oppure

        • deve essere impostato.

  3. Definisci il tuo record SPF: Per definire il tuo record SPF, devi creare un record TXT. Dopo aver effettuato l'accesso alla console di gestione del dominio, trova la pagina in cui puoi aggiornare i record TXT del tuo dominio. Tieni presente che un singolo dominio può avere un solo record TXT per

    • Record SPF: se utilizzi solo Google Workspace. Se tutte le email della tua organizzazione vengono inviate solo tramite Google Workspace, copia questa riga di testo per il tuo record SPF:

      v=spf1 include:_spf.google.com ~all

    • Record SPF: se utilizzi Google Workspace e altri mittenti. Se invii posta in altri modi oltre a Google Workspace, devi creare un record TXT personalizzato per SPF per autorizzare questi mittenti. Il record SPF deve includere un riferimento a Google Workspace e a tutti i server che inviano email per la tua organizzazione o dominio. Questi potrebbero includere servizi che inviano e-mail automatiche, ad esempio moduli «Contattaci» e qualsiasi fornitore o servizio di terze parti che invia email per il tuo dominio

      Per creare un record TXT personalizzato per il tuo record SPF, incluso il riferimento a Google Workspace e ad altri mittenti che utilizzi:

      (Si noti che gli indirizzi IP e i nomi di dominio utilizzati nei passaggi seguenti sono esempi. Sostituiscili con gli indirizzi IP e i domini dei tuoi mittenti. Un record normale conterrà un mix di elementi

      1. Inizia con il record SPF per Google Workplace:

        v=spf1 include:_spf.google.com ~all

      2. Aggiungi indirizzi IP autorizzati: elenca i singoli indirizzi IP (ad esempio, 198.51.100.1 e 2001:db 8:1:1:1:1:1:1) o le sottoreti IP (ad esempio, 198.51.100.0/24 e 2001:db 8:1:1: :/64) autorizzati a inviare e-mail. Usa il ip4: tag per indirizzi IPv4 e ip6: tag per indirizzi IPv6. Ad esempio

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:_spf.google.com ~all

      3. Includi servizi di terze parti: se altri servizi inviano e-mail per tuo conto, utilizza il include: tag per includere un altro dominio o sottodominio. Ad esempio

        v=spf1 ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      4. Specifica i server di posta: se altri server di posta inviano e-mail per tuo conto, usa il a: etichetta. Ad esempio:

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      5. Specifica la policy per i server non autorizzati: Termina con ~all per definire come devono essere trattate le email provenienti da server non autorizzati. Ad esempio, come già specificato dal record SPF utilizzato per Google Workspace

        v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8:1:1:1:1:1:1 include:thirdpartydomain.com include:_spf.google.com ~all

      A partire da un soft fail (~all) è consigliabile monitorare e modificare il record SPF senza interrompere la consegna delle e-mail, assicurandosi che tutte le fonti di posta elettronica legittime siano correttamente autorizzate prima di imporre un hard fail rigoroso (-all). Usando ~all è in genere efficace, in quanto contrassegna i messaggi non corrispondenti come spam.

      • ~all (soft fail): le email provenienti da server non elencati sono accettate ma contrassegnate come sospette.

      • -all (hard fail): le email provenienti da server non elencati vengono rifiutate a titolo definitivo.

    Esempio di record SPF

    Descrizione

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com ~all

    Autorizza le email provenienti da:

    • Server con indirizzi IP compresi tra 198.51.100.0 e 198.51.100.255

    • Google Workspace

    Questo record consente l'invio di email provenienti da un intervallo di indirizzi IPv4 specifico e da Google Workspace, contrassegnando le fonti non elencate come sospette.

    v=spf1 ip4:198.51.100.0/24 include:_spf.google.com include:thirdpartydomain.com ~all

    Autorizza le email provenienti da:

    • Server con indirizzi IP compresi tra 198.51.100.0 e 198.51.100.255

    • Google Workspace

    • Servizio di posta elettronica di terze parti Dominio di terze parti

    Questo record consente l'invio di email provenienti da un intervallo di indirizzi IPv4 specifico, Google Workspace e un servizio di terze parti aggiuntivo, contrassegnando i non elencati come sospetti.

    v=spf1 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autorizza le email provenienti da:

    • Server con indirizzi IP compresi tra 2001:db 8:0000:0000:0000:0000:0000:0000 e 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Google Workspace

    Questo record consente l'invio di e-mail provenienti da un ampio intervallo di indirizzi IPv6 e Google Workspace, contrassegnando le fonti non elencate come sospette.

    v=spf1 a:mail.exampledomain.com ip4:198.51.100.0/24 ip6:2001:db8::/32 include:_spf.google.com ~all

    Autorizza le email provenienti da:

    • Server di posta mail.exampledomain.com

    • Server con indirizzi IP compresi tra 198.51.100.0 e 198.51.100.255

    • Server con indirizzi IP compresi tra 2001:db 8:0000:0000:0000:0000:0000:0000 e 2001:db8:ffff:ffff:ffff:ffff:ffff:ffff

    • Google Workspace

    Questo record copre sia gli intervalli IPv4 che IPv6, Google Workspace e un server di posta specifico, contrassegnando gli altri come sospetti.

  4. Aggiungi record SPF: per attivare SPF per il tuo dominio, aggiungi il tuo record SPF nella console di gestione del tuo provider di dominio:

    1. Accedi alla console di gestione del tuo provider di dominio: accedi alla console di gestione fornita dal tuo provider di dominio. Individua la pagina o la dashboard dedicata all'aggiornamento dei record DNS TXT per

    2. Inserisci questi valori:

      Nome campo

      Valore da inserire

      Tipo

      TXT

      Ospite

      • Per il dominio principale: @

      • Quando si configura un record SPF, utilizzare @ nel campo Host per il tuo dominio principale e consolida tutti gli elementi (ad esempio, includi:, ip4:, ip6:, a:) in un singolo record TXT, poiché un dominio può avere solo un record TXT SPF.

      Valore

      • Se utilizzi solo Google Workspace, inserisci: v=spf1 include:_spf.google.com ~all

      • • Se utilizzi mittenti e-mail aggiuntivi, inserisci il record SPF che hai creato.

      È ora di vivere (TTL)

      1 ora o 3600 secondi

Risolvi i problemi relativi all'SPF

Nota

Per assistenza con le informazioni di accesso, le impostazioni o i record TXT del dominio, contatta il tuo provider di dominio.

Se hai configurato SPF (Sender Policy Framework) ma riscontri problemi come la mancata autenticazione SPF, il rifiuto delle email o l'arrivo di messaggi nelle cartelle spam, segui questi passaggi per la risoluzione dei problemi:

  1. Verifica la configurazione del record SPF

    • Controlla il record SPF esistente: Usa uno strumento come MxToolbox o l'interfaccia di gestione DNS del tuo dominio per confermare l'esistenza di un record SPF per il tuo dominio.

    • Definizione e aggiunta di record SPF: assicurati che il tuo record SPF sia formattato correttamente e includa tutti i server di posta pertinenti. Ad esempio, un record SPF potrebbe v=spf1 ip4:192.168.0.1 include:_spf.example.com -all.

  2. Controlla i risultati dell'autenticazione SPF

    • Intestazioni e-mail: in Gmail, apri un'email, fai clic sui tre punti nell'angolo in alto a destra e seleziona «Mostra originale» per visualizzare i risultati SPF nella sezione «Risultati di autenticazione».

    • Casella degli strumenti di amministrazione di Google: copia le intestazioni delle email e utilizza lo strumento Messageheader di Google Admin Toolbox per analizzare i risultati SPF.

  3. Assicurati che tutti i mittenti siano inclusi nel record SPF

    • Rivedi le voci SPF: assicurati che tutti i server e i servizi di posta che inviano email per il tuo dominio siano inclusi. Ciò include provider di posta elettronica di terze parti e moduli per siti Web.

    • Aggiorna record SPF: aggiungi eventuali indirizzi IP o domini mancanti al tuo record SPF. Ad esempio, se utilizzi un servizio di email marketing, assicurati che gli IP di invio o i meccanismi di inclusione siano aggiunti al tuo record

  4. Indirizzo: problemi di inoltro delle email

    • Controlla i dettagli di inoltro: Usa Email Log Search per verificare se le email inoltrate non rispettano l'SPF. Cerca l'indirizzo del destinatario originale per confermare se è previsto l'inoltro

    • Servizio di inoltro dei contatti: contatta il servizio di inoltro di terze parti per verificare se è in grado di modificare il metodo di inoltro o fornire approfondimenti sui problemi SPF.

  5. Risoluzione avanzata dei problemi SPF

    • Analizza le intestazioni dei messaggi: guarda la sezione «Authentication-Results» per i risultati SPF come «softfail», «fail» o «neutral» e indirizzali in base al risultato. Ad esempio:

      • Nessun ingresso SPF: assicurati che il tuo record SPF sia impostato correttamente.

      • Softfail o Fail: verifica che tutti gli IP di invio legittimi siano inclusi nel tuo record SPF.

      • TempError o PermError: verifica la presenza di problemi DNS o il superamento del limite di 10 ricerche.

  6. Controlla il DNS Ricerche

    • Monitora i conteggi delle ricerche: record SPF sono limitati a 10 ricerche DNS. Pertanto, il tuo record TXT SPF non può includere più di 10 riferimenti ad altri domini. Ognuno di questi meccanismi, incluse le ricerche annidate, nel record SPF generaa, mx, include, ptr. Usa strumenti come Check MX di Google Admin Toolbox per monitorare il numero di ricerche e modificare il record SPF per evitare di superare questo limite.

Configura i record TXT DKIM per il tuo dominio

DKIM, o DomainKeys Identified Mail, è un metodo di autenticazione e-mail essenziale che aiuta a proteggere il dominio dallo spoofing e impedisce che i messaggi in uscita vengano contrassegnati come spam. Lo spoofing è una pratica di posta elettronica ingannevole che falsifica l'indirizzo del mittente per far apparire come se provenisse da un'organizzazione o un dominio legittimo. Il DKIM svolge un ruolo cruciale rilevando qualsiasi modifica non autorizzata al contenuto del messaggio, comprese le modifiche all'indirizzo di provenienza. Senza DKIM, è più probabile che le email inviate dal tuo dominio vengano contrassegnate come spam dai server di posta riceventi. Per garantire che i messaggi vengano recapitati in modo affidabile, in particolare agli utenti di Gmail, è consigliabile configurare DKIM insieme all'autenticazione SPF (Sender Policy Framework) per il dominio. Questo aiuta a soddisfare le linee guida di Google per i mittenti delle email e migliora l'autenticazione delle email della

Nota

Per assistenza con le informazioni di accesso, le impostazioni o i record TXT del dominio, contatta il tuo provider di dominio.

Prima di configurare DKIM, assicurati di avere:

  • Accesso da amministratore di Google: credenziali per accedere alla tua Console di amministrazione Google. Riceverai la tua chiave DKIM dalla tua Console di amministrazione Google

  • Accesso al provider di dominio: credenziali per accedere alla console di gestione del provider di dominio. Aggiungerai le informazioni chiave DKIM dalla tua console di amministrazione Google alle impostazioni del tuo provider di dominio

  • Impostazioni dei gateway in uscita configurate per non alterare le e-mail dopo l'invio: verifica che le impostazioni dei gateway di posta elettronica in uscita non interferiscano con il corretto funzionamento dell'autenticazione DKIM per i messaggi in uscita, poiché modifiche come l'aggiunta di piè di pagina o la riscrittura del contenuto dopo l'invio del messaggio possono far fallire la verifica DKIM dell'email.

    • Configura il gateway in modo che non modifichi i messaggi in uscita oppure configura il gateway per modificare prima il contenuto del messaggio, quindi aggiungi la firma DKIM.

  • (Opzionale) Chiave DKIM esistente: verifica la presenza di una chiave DKIM esistente per il tuo dominio.

Per configurare DKIM:

  1. Accedi alla tua Console di amministrazione Google: accedi alla tua Console di amministrazione Google. Devi accedere come Super Amministratore per ottenere la tua chiave DKIM

  2. Controlla la chiave DKIM esistente: se stai già utilizzando una chiave DKIM per il tuo dominio, potrebbe essere con Google Workspace o con un altro sistema di posta elettronica.

    1. Nella Console di amministrazione Google, vai a Menu e seleziona App, seleziona Google Workspace, e fai clic su Gmail.

    2. Clicca Autentica l'email e seleziona il dominio che desideri archiviare nel Dominio selezionato menu

    3. Individua il Nome host DNS (nome del record TXT) sezione:

      • Se non hai mai configurato DKIM in Google Workspace, questo campo sarà vuoto.

      • Se questo campo ha un valore, annota il testo che precede ._domainkey. Questo è il prefisso del selettore

    4. Naviga fino alla Google Admin Toolbox e inserisci il tuo nome di dominio nel campo Nome di dominio.

    5. Fai clic su Esegui controlli! pulsante e attendi il completamento del test.

    6. Al termine del test, controlla quale di questi messaggi viene visualizzato:

      • Configurazione DNS di autenticazione DKIM: viene impostata una chiave DKIM per il dominio e il selettore.

      • DKIM non è impostato: non esiste una chiave DKIM per il tuo dominio con il selettore di prefisso inserito. Per risolvere questo problema, imposta una nuova chiave utilizzando il selettore fornito (il selettore predefinito google).

  3. Genera chiave DKIM:

    1. Nella Console di amministrazione Google, vai a Menu e seleziona App, seleziona Google Workspacee fai clic su Gmail.

    2. Clicca Autentica l'email e seleziona il dominio in cui desideri configurare il DKIM nel menu Dominio selezionato.

    3. Fai clic suGenera nuovo recordpulsante.

    4. Seleziona le impostazioni della tua chiave DKIM:

      Impostazione

      Opzioni

      Lunghezza in bit della chiave DKIM

      2048. Se il tuo provider di dominio supporta chiavi a 2048 bit, seleziona questa opzione. Le chiavi più lunghe sono più sicure delle chiavi più corte. 1024. Se il tuo host di dominio non supporta le chiavi a 2048 bit,

      1024. Se il tuo host di dominio non supporta le chiavi a 2048 bit, seleziona questa opzione

      Selettore prefisso

      Il prefisso del selettore predefinito è google. Ti consigliamo di utilizzare l'impostazione predefinita. Ma se il tuo dominio utilizza già una chiave DKIM con il prefisso google, inserisci un prefisso diverso

    5. Fai clic su Genera e copia i valori DKIM mostrati nella finestra Autentica email:

      • Nome host DNS (nome record TXT): questo testo è il nome del record TXT DKIM che aggiungerai ai record DNS del tuo provider di dominio.

      • Valore del record TXT: questo testo è la chiave DKIM che aggiungerai al tuo record TXT DKIM.

  4. Aggiungi chiave DKIM: Tieni presente che dopo aver aggiunto una chiave DKIM, possono essere necessarie fino a 48 ore prima che l'autenticazione DKIM inizi a funzionare.

    1. Accedi alla console di gestione del tuo provider di dominio: accedi alla console di gestione fornita dal tuo provider di dominio. Individua la pagina o la dashboard dedicata all'aggiornamento dei record DNS TXT per

    2. Aggiungi un nuovo record TXT per DKIM: inserisci i seguenti valori, quindi salva le modifiche.

      Nome campo

      Valore da inserire

      Nome del record TXT (nel primo campo, sotto il nome host DNS)

      Inserisci il Nome host DNS (nome del record TXT) mostrato nella Console di amministrazione Google.

      Valore del record TXT (nel secondo campo)

      Inserisci il Valore del record TXT (chiave DKIM) mostrato nella Console di amministrazione Google.

  5. Attiva la firma DKIM: Tieni presente che la pagina Authenticate email nella tua Console di amministrazione Google potrebbe continuare a visualizzare questo messaggio per un massimo di 48 ore:» Devi aggiornare i record DNS per questo dominio. Se hai aggiunto correttamente la chiave DKIM al tuo provider di dominio, puoi ignorare il

    1. Nella Console di amministrazione Google, vai a Menu e seleziona App, seleziona Google Workspacee fai clic su Gmail.

    2. Clicca Autentica l'email e seleziona il dominio in cui desideri configurare il DKIM nel Dominio selezionato menu

    3. Fai clic su Avvia l'autenticazione pulsante.

  6. Verifica l'autenticazione DKIM:

    1. Invia un messaggio email a qualcuno che utilizza Gmail o Google Workspace. (Non puoi verificare che il DKIM sia attivo inviandoti un messaggio di prova

    2. Apri il messaggio nella casella di posta del destinatario e trova l'intera intestazione del messaggio. (I passaggi per visualizzare l'intestazione del messaggio sono diversi per le diverse applicazioni di posta elettronica. Per mostrare le intestazioni dei messaggi in Gmail, accanto a Rispondi, fai clic su Altro Mostra originale

    3. Nell'intestazione del messaggio, cerca Authentication-Results. I servizi di ricezione utilizzano formati diversi per le intestazioni dei messaggi in arrivo, tuttavia iDKIM=PASSoDKIM=OK. Se l'intestazione del messaggio non include una riga relativa al DKIM, i messaggi inviati dal tuo dominio non vengono firmati con

Risolvere i problemi relativi al DKIM

Nota

Per assistenza con le informazioni di accesso, le impostazioni o i record TXT del dominio, contatta il tuo provider di dominio.

Se le email del tuo dominio non superano l'autenticazione DKIM o vengono rifiutate o contrassegnate come spam, segui questi passaggi per risolvere i problemi relativi al DKIM:

  1. Verifica la configurazione DKIM

    1. Ottieni la chiave DKIM: nella tua Console di amministrazione, ottieni la chiave DKIM richiesta per il tuo dominio.

    2. Aggiungi chiave DKIM: aggiungi la chiave DKIM come record TXT nelle impostazioni DNS del tuo provider di dominio. Assicurati che la chiave sia stata inserita e completata correttamente.

    3. Attiva DKIM: nella Console di amministrazione, abilita la firma DKIM per il tuo dominio.

  2. Controlla i risultati dell'autenticazione DKIM

    1. Verifica messaggi: invia un'email di prova a un account di posta elettronica personale (ad esempio, Gmail) per escludere problemi con server di ricezione specifici.

    2. Controlla le intestazioni delle email: in Gmail, fai clic su «Mostra originale» per visualizzare lo stato del DKIM sotto l'intestazione «Authentication-Results».

    3. Usa Google Admin Toolbox: analizza le intestazioni dei messaggi con Google Admin Toolbox, strumento per l'intestazione dei messaggi per controllare i risultati del DKIM.

  3. Conferma l'integrità della chiave DKIM

    1. Controlla il record TXT DKIM: assicurati che il tuo record TXT DKIM non sia troncato e sia formattato correttamente. Le chiavi DKIM più grandi di 255 caratteri possono essere suddivise in più record

    2. Confronta i record: utilizza lo strumento Google Admin Toolbox Dig per verificare che il valore del record TXT corrisponda alla chiave nella tua Console di amministrazione. Inserisci il tuo record DKIM (ad esempio, google. _domainkey) seguito dal tuo dominio per confrontare i risultati

  4. Risoluzione dei problemi di inoltro dei messaggi

    1. Verifica eventuali modifiche: controlla l'intestazione «Authentication-Results» per eventuali messaggi «body hash did not verify», indicanti che l'email è stata alterata durante l'inoltro.

    2. Gateway in uscita: assicurati che i gateway in uscita non modifichino il contenuto dei messaggi in uscita, poiché ciò può causare errori DKIM.

    3. Verifica l'inoltro: utilizza Email Log Search per verificare se i messaggi inoltrati sono la causa dei problemi DKIM. Se necessario, contatta il servizio di inoltro.

  5. Contatta gli amministratori per i messaggi rifiutati firmati da DKIM

    1. Contatta: se il DKIM è impostato correttamente ma i messaggi vengono comunque rifiutati o inviati come spam, contatta l'amministratore del server di posta elettronica che ha rifiutato per ulteriore assistenza.

  6. Controlla i limiti di caratteri dei record TXT

    • Limiti di revisione: assicurati che i tuoi record DKIM TXT rispettino i limiti di caratteri del tuo provider di dominio. La maggior parte dei record TXT può contenere fino a 255 caratteri. Per i record TXT che includono più di 255 caratteri, il DNS aggiunge più stringhe in

      Se utilizzi una chiave DKIM a 2048 bit, non puoi inserirla come singola stringa di testo in un record DNS con un limite di 255 caratteri. Segui invece

      1. Dividi i caratteri chiave in più stringhe di testo.

      2. Inserisci ogni stringa tra virgolette.

      3. Inserisci le stringhe una dopo l'altra nel campo Valore del record TXT del tuo provider di dominio.

Configura i record TXT DMARC per il tuo dominio

Domain-based Message Authentication, Reporting and Conformance (DMARC) è un protocollo di autenticazione e-mail che si basa su SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) per prevenire lo spoofing delle e-mail e gli attacchi di phishing. Con DMARC, i proprietari di domini possono istruire i server di posta riceventi su come gestire le e-mail

I componenti chiave di DMARC sono:

  • Politica (p): Specifica l'azione da intraprendere quando un'email non supera i controlli di autenticazione. Le opzioni politiche sono nessuna (solo monitor), quarantena (contrassegna come spam), o rifiutare (non consegnare).

  • Segnalazione (rua=mailto:): Specifica dove devono essere inviati i report DMARC. Questi report forniscono informazioni dettagliate sulle e-mail che superano e non superano i controlli

Prima di configurare DMARC, assicurati di avere:

  • Accesso al provider di dominio: Credenziali per accedere alla console di gestione del provider di dominio. DMARC è abilitato presso il provider host del tuo dominio, non nella tua

  • SPF e DKIM sono già configurati: Prima di implementare DMARC, assicurati che Sender Policy Framework (SPF) e DomainKeys Identified Mail (DKIM) siano attivati per il tuo dominio. Questa autenticazione è essenziale per la funzionalità DMARC in quanto DMARC dice ai server di posta riceventi cosa fare quando ricevono un messaggio che sembra provenire dalla vostra organizzazione, ma il messaggio non supera i controlli

    Avvertimento

    • Se non configuri SPF e DKIM prima di abilitare DMARC, è probabile che i messaggi inviati dal tuo dominio presentino problemi di consegna.

    • Attendi 48 ore dopo aver impostato SPF e DKIM prima di configurare DMARC.

  • (Facoltativo) Record DMARC esistente: Verifica la presenza di un record DMARC esistente per il tuo dominio.

  • Autenticazione e-mail di terze parti: Assicurati che i messaggi inviati da fornitori di terze parti siano autenticati per rispettare le politiche DMARC. Per migliorare l'autenticazione per i messaggi inviati da fornitori terzi

    • Verifica con il tuo provider terzo che DKIM sia configurato correttamente.

    • Assicurati che il dominio del mittente della busta utilizzato dal provider corrisponda al tuo dominio.

    • Aggiungete gli indirizzi IP dei server di posta di invio del provider al record SPF del vostro dominio.

Configura DMARC

Per configurare DMARC:

  1. Accedi alla console di gestione del tuo provider di dominio: Accedi alla piattaforma del tuo provider di dominio e vai alla sezione di gestione dei record DNS TXT.

  2. Controlla il record DMARC esistente: Prima di configurare DMARC, verificate se il vostro dominio ha già un record TXT DNS DMARC. Se presenti, esaminate i report DMARC per confermare l'avvenuta autenticazione e consegna dei messaggi. Per verificare presso il provider di dominio la presenza di un record TXT per

    1. Accedi alla console di gestione fornita dal tuo provider di dominio.

    2. Individua la pagina o la dashboard dedicata all'aggiornamento dei record DNS TXT per il tuo dominio.

    3. Controlla i record DNS TXT associati al tuo dominio. Se esiste un record DMARC, in genere inizia con v=DMARC.

  3. Definisci il tuo record DMARC: Per definire il record DMARC, è necessario creare un record TXT che definisca in che misura DMARC deve controllare i messaggi e le azioni consigliate per i server di ricezione.

    iniziate a implementare DMARC, vi suggeriamo di iniziare con una politica di applicazione rilassata impostata su «nessuna». «Man mano che acquisite informazioni su come i messaggi provenienti dal vostro dominio vengono autenticati dai server riceventi, modificate gradualmente la vostra politica da «nessuno» a «quarantena» e infine a «rifiuto». »

    Il record DMARC ha la forma di una riga di testo semplice costituita da un elenco di valori dei tag DMARC, separati da punto e virgola. Alcuni tag sono obbligatori e altri sono opzionali. Esempio: v=DMARC1; p=rifiuto; rua=mailto: mailbox@example.com, mailto: dmarc@example.com; pct=10; adkim=r; aspf=r

    Etichetta

    Richiesto?

    Descrizione

    Valori

    v

    Requo

    Specifica la versione DMARC.

    Deve essere DMARC1.

    p

    Richiesto

    Indica al server di posta ricevente le azioni per i messaggi che non superano l'autenticazione.

    none — Non eseguire alcuna azione, recapita il messaggio e registralo. I report vengono inviati all'indirizzo email specificato nel tag rua

    quarantine — Contrassegna il messaggio come spam e invialo nella cartella spam. I destinatari possono verificarne la legittimità

    reject — Rifiuta il messaggio e di solito invia un messaggio di rimbalzo al mittente.

    pct

    Richiesto

    Definisce la percentuale di messaggi soggetti alla politica DMARC.

    Deve essere un numero intero compreso tra1a100. Se non specificato, la politica si applica al 100% dei messaggi.

    rua

    Facoltativo

    Ricevi i report DMARC inviati a un indirizzo email. L'indirizzo email deve includereinviare una mail a:.

    Per inviare report DMARC a più email, separa ogni indirizzo email con una virgola e aggiungi il prefisso mailto: prima di ogni indirizzo.

    Esempio: mailto: dmarc-reports@example.com, mailto: dmarc-admin@example.com (sostituisci example.com con il tuo dominio).

    sp

    Facoltativo

    Imposta la policy per i sottodomini del tuo dominio principale.

    none — Non eseguire alcuna azione, recapita il messaggio e registralo. I report vengono inviati all'indirizzo email specificato nel tag rua

    quarantine — Contrassegna il messaggio come spam e invialo nella cartella spam. I destinatari possono verificarne la legittimità

    reject — Rifiuta il messaggio e di solito invia un messaggio di rimbalzo al mittente.

    Se non specificato, i sottodomini ereditano la policy del dominio principale.

    admin

    Facoltativo

    Specifica la politica di allineamento per DKIM, indicando in che misura il dominio del mittente deve corrispondere al d=domainname nelle firme DKIM.

    s-Allineamento rigoroso. Il nome di dominio del mittente deve corrispondere esattamente al corrispondente d=domainname nelle intestazioni di posta DKIM

    R: allineamento rilassato (predefinito). Consente corrispondenze parziali. È accettato qualsiasi sottodominio valido di d=domain nelle intestazioni di posta DKIM

    adspf

    Facoltativo

    Specifica la politica di allineamento per SPF, indicando in che misura il dominio del mittente deve corrispondere al dominio nel comando SMTP MAIL FROM.

    s-Allineamento rigoroso. Il dominio del mittente deve corrispondere esattamente al dominio nel comando SMTP MAIL

    R: allineamento rilassato (predefinito). Consente corrispondenze parziali. È accettato qualsiasi sottodominio valido del nome di dominio

  4. Aggiungi record DMARC: Nota che DKIM e SPF devono autenticare i messaggi per almeno 48 ore prima di attivare DMARC.

    1. Accedi alla console di gestione del tuo provider di dominio: accedi alla console di gestione fornita dal tuo provider di dominio. Individua la pagina o la dashboard dedicata all'aggiornamento dei record DNS TXT per il tuo dominio

    2. Aggiungi un nuovo record TXT per DMARC. Inserisci i seguenti valori, quindi salva

      Nome campo

      Valore da inserire

      Nome del record TXT (nel primo campo, sotto il nome host DNS)

      Entra _dmarc.exampledomain.com (sostituire exampledomain.com con il tuo dominio)

      Valore del record TXT (nel secondo campo)

      Inserisci il testo della tua politica DMARC.

      Ad esempio, inserisci v=DMARC1; p=none; rua=mailto:dmarc-reports@exampledomain.com (sostituire exampledomain.com con il tuo dominio).

  5. Estendi a sottodomini e domini aggiuntivi (se applicabile). Se hai più domini o sottodomini, ogni dominio, quindi ogni dominio può avere una politica diversa e diverse opzioni di report (definite nel record). Per definire una politica DMARC per i sottodomini, utilizzate il tag sp policy nel record DMARC per il dominio principale. Se non crei politiche DMARC per i sottodomini, ereditano la politica DMARC del dominio principale

Monitora i rapporti DMARC

Monitora regolarmente i report sull'attività DMARC per il tuo dominio. Questi report, inviati all'indirizzo email specificato nella politica DMARC (tag rua), forniscono informazioni sull'attività del server di posta elettronica. Modificate la vostra politica DMARC secondo necessità sulla base di questi

Consulta i report per scoprire:

  • Quali server o mittenti di terze parti inviano posta per il tuo dominio

  • Quale percentuale di messaggi dal tuo dominio supera il DMARC

Cerca eventuali tendenze problematiche, come ad esempio:

  • Messaggi validi contrassegnati come spam

  • Messaggi di errore o di errore inviati dai destinatari

Metti in quarantena una piccola percentuale di messaggi

Inizialmente, iniziate con una politica DMARC rilassata con applicazione non impostata su nessuno. Ciò ti consente di iniziare a ricevere report senza rischiare che i messaggi del tuo dominio vengano rifiutati o contrassegnati come spam dai server riceventi. Dopo aver osservato i report DMARC per almeno una settimana, modificate la vostra politica in «quarantena» e aggiungete il tag pct per applicare la politica a una piccola percentuale della

Per mettere in quarantena una piccola percentuale di messaggi:

  1. Accedi alla console di gestione fornita dal tuo provider di hosting di dominio per aggiornare il record TXT DNS DMARC.

  2. Aggiungi una policy che influenzi una piccola percentuale di messaggi e imponga la quarantena. Ad esempio, una politica che si applica solo al 5% delle email in arrivo e indirizza i messaggi che non superano i controlli DMARC

    v=DMARC1; p=quarantine; pct=5; rua=mailto:dmarc-reports@exampledomain.com

Suggerimento

Le grandi organizzazioni dovrebbero aumentare gradualmente la percentuale di messaggi interessati per ridurre al minimo il rischio di rifiuti o contrassegni di spam. Ad esempio, una piccola organizzazione potrebbe iniziare con la messa in quarantena del 10%, mentre un'azienda più grande potrebbe iniziare

Risolvere i problemi relativi al DMARC

Se le email del tuo dominio non superano l'autenticazione DMARC, vengono rifiutate dai server di ricezione o finiscono nelle cartelle spam dei destinatari, segui questi passaggi per risolvere i problemi DMARC:

  1. Verifica il record DMARC

    • Verifica configurazione: Assicurati che il tuo record DMARC sia configurato correttamente. Verifica che il record DMARC sia impostato correttamente con il tuo provider di dominio e sia presente nelle tue

  2. Assicurati che SPF e DKIM siano abilitati

    • Abilita SPF e DKIM: conferma che SPF e DKIM siano abilitati e configurati correttamente per il tuo dominio. Entrambi dovrebbero essere attivi per almeno 48 ore prima di abilitare

    • Configurazione dettagliata: Segui le istruzioni di configurazione per SPF e DKIM per assicurarti che siano implementate correttamente.

  3. Controlla i risultati dell'autenticazione

    • Intestazioni delle recensioni: Ispeziona le intestazioni delle email per verificare i risultati SPF, DKIM e DMARC. In Gmail, fai clic su «Mostra originale» per visualizzare questi risultati

    • Usa strumenti diagnostici: Inserisci le intestazioni dei messaggi nel Google Admin Toolbox: strumento per l'intestazione dei messaggi per verificare gli stati di autenticazione.

  4. Controlla i rapporti DMARC

    • Controlla i report: Controllate i vostri report DMARC per assicurarvi che i messaggi superino i controlli SPF, DKIM e DMARC. Puoi utilizzare uno strumento o un servizio di analisi dei report DMARC

  5. Risolvere gli errori DMARC

    • Risolvi i guasti: Se i messaggi in uscita non superano il DMARC, controllate le impostazioni SPF e DKIM. Assicuratevi che i messaggi superino almeno uno di questi controlli per essere conformi alle

    • Rivedi la politica DMARC: Verifica la tua politica DMARC e le impostazioni di allineamento. Una politica rigorosa può portare a un aumento dei tassi di rifiuto o al

    • Controlla i report giornalieri: Esamina i report giornalieri DMARC per identificare quali messaggi in uscita non superano SPF, DKIM o DMARC.

  6. Valuta le pratiche di invio della posta

    • Segui le best practice: Garantisci la conformità alle migliori pratiche per l'invio di e-mail, in particolare se invii grandi volumi. Consulta le linee guida per l'invio di email agli utenti di Gmail

  7. Usa la ricerca nei registri di posta elettronica per approfondimenti

    • Ricerca dettagliata: Utilizza Email Log Search per informazioni dettagliate su messaggi specifici inviati tramite Google Workspace. Cerca per indirizzo IP del mittente e rivedi i dettagli dei messaggi per

Was this article helpful?

Torna in alto