SPF, DKIM e DMARC: come funziona l’autenticazione email

SPF, DKIM e DMARC sono meccanismi di autenticazione email complementari pubblicati tramite DNS. Aiutano il sistema di posta ricevente a valutare se un messaggio è associato al dominio che dichiara di utilizzare. Possono ridurre lo spoofing riuscito e fornire prove migliori per le decisioni di filtraggio, ma non rendono sicuro ogni messaggio o garantiscono il posizionamento nella casella di posta.

I tre controlli risolvono diverse parti del problema: SPF autorizza l'invio dell'infrastruttura, DKIM aggiunge una firma crittografica e DMARC controlla l'allineamento con il dominio Da visibile mentre definisce policy e report.

SPF: quali server possono inviare per il dominio?

Sender Policy Framework è un record TXT che descrive le fonti di invio autorizzate. Durante la consegna, il destinatario controlla il server di connessione e valuta la politica SPF per il relativo dominio della busta. Un risultato può passare, fallire o essere inconcludente a seconda del record e della ricerca.

SPF ha limiti importanti. Non firma il corpo del messaggio e il normale inoltro può modificare il server di connessione in modo che SPF non passi più. I limiti di ricerca DNS sono importanti anche quando vengono utilizzati molti meccanismi di inclusione. Un nome host non dovrebbe pubblicare più record SPF indipendenti; le fonti autorizzate devono essere combinate in un'unica policy valida.

DKIM: una firma digitale verificabile

DomainKeys Identified Mail utilizza una chiave privata sul sistema di invio per firmare intestazioni selezionate e un hash del corpo. La chiave pubblica corrispondente viene pubblicata nel DNS sotto un selettore, che consente a un dominio di ruotare le chiavi o supportare più di una piattaforma di invio.

Il server ricevente recupera quella chiave pubblica e verifica la firma. Un risultato valido fornisce la prova che il contenuto firmato non è stato modificato dopo la firma e che il firmatario controllava la chiave privata associata al dominio. DKIM non crittografa il messaggio e non dimostra che il suo contenuto sia onesto.

DMARC: allineamento, policy e reporting

Autenticazione, reporting e conformità dei messaggi basati sul dominio collega l'autenticazione al dominio visibile nell'intestazione Da. Un messaggio supera DMARC quando passa un risultato SPF allineato o DKIM allineato. L'allineamento significa che il dominio autenticato è correlato in modo appropriato al dominio Da visibile.

• p=none richiede il monitoraggio senza chiedere ai destinatari di mettere in quarantena o rifiutare esclusivamente a causa di DMARC.
• p=quarantine chiede ai destinatari di considerare sospetti i messaggi non riusciti.
• p=reject chiede ai destinatari di rifiutare i messaggi non riusciti.

I rapporti aggregati possono rivelare servizi di invio legittimi e attività non autorizzata. Possono contenere identificatori tecnici e devono essere gestiti in modo appropriato. Passare direttamente al rifiuto senza inventario e monitoraggio può bloccare mittenti validi.

Come funzionano insieme i tre meccanismi

Supponiamo che un'azienda invii fatture dalla sua piattaforma di posta e newsletter da un servizio separato. Entrambi devono essere rappresentati nel progetto di autenticazione. SPF può autorizzare la propria infrastruttura di invio, ciascuna piattaforma può firmare con DKIM e DMARC valuta se almeno un metodo di passaggio è allineato al dominio visibile.

L'inoltro illustra perché è utile più di un metodo. Il server di inoltro potrebbe non essere autorizzato dalla policy SPF originale, mentre una firma DKIM può sopravvivere se il messaggio non viene modificato. Le mailing list e i gateway possono alterare i messaggi, quindi i risultati devono essere valutati da report e traffico reali.

Errori comuni di configurazione

• Pubblicare due record SPF con lo stesso nome host invece di un record combinato.
• Copiare un include SPF, una chiave DKIM o un selettore da un altro provider.
• Lasciare un vecchio servizio di invio autorizzato dopo che è stato ritirato.
• Pubblicare DKIM nel nome host sbagliato o con una chiave troncata.
• Applicare il rifiuto DMARC prima di identificare tutti i mittenti legittimi.
• Presupporre che l'autenticazione risolva elenchi scadenti, contenuti indesiderati, account compromessi o reputazione danneggiata.

I valori devono provenire dal provider di posta elettronica effettivo e dall'attuale architettura di invio. Un record corretto per un account o fornitore non è un modello universale.

Una sequenza di implementazione sicura

1. Inventaria ogni fonte legittima che invia utilizzando il dominio.
2. Pubblica una policy SPF valida e abilita DKIM per ciascun mittente supportato.
3. Testa i messaggi reali e controlla i risultati dell'autenticazione.
4. Pubblica DMARC in modalità di monitoraggio con report adeguati.
5. Esamina i report, correggi quelli dimenticati. mittenti e quindi aumentare gradualmente l'applicazione quando le prove lo supportano.

Per il contesto aziendale, vedere perché le organizzazioni utilizzano la posta elettronica professionale sul proprio dominio. L'autenticazione supporta tale identità; non sostituisce la sicurezza della casella di posta, la formazione degli utenti, i filtri o le pratiche di invio attente.

Domande frequenti

Ho bisogno di tutte e tre?

Per una configurazione e-mail di dominio matura, forniscono una copertura più forte insieme che separatamente. Il supporto esatto e le fasi di implementazione dipendono dal fornitore reale.

DMARC fermerà ogni messaggio di phishing?

No. Aiuta a proteggere l'utilizzo del tuo dominio, ma gli aggressori possono utilizzare domini simili, account compromessi o contenuti che non rappresentano direttamente il tuo indirizzo.