Per anni l'autenticazione della posta è stata roba da chi manda newsletter a centomila indirizzi. Poi Google e Yahoo hanno introdotto requisiti obbligatori per chi supera i cinquemila messaggi al giorno, Microsoft ha iniziato a rifiutare — non a mettere in spam, a rifiutare con un errore — i messaggi non autenticati diretti agli account Outlook, e la soglia continua a scendere.
Ma il motivo per cui una PMI dovrebbe occuparsene non è la conformità. È che senza questi tre record chiunque può mandare una fattura a nome del tuo dominio, e il cliente non ha modo di accorgersene.
I tre record, in una frase ciascuno
SPF dice quali server hanno il permesso di spedire email per il tuo dominio. È una lista di indirizzi pubblicata nel DNS: il server che riceve la controlla e vede se il mittente era autorizzato.
DKIM firma ogni messaggio con una chiave crittografica. La chiave pubblica sta nel DNS, la privata nel server che spedisce: chi riceve verifica la firma e sa che il contenuto non è stato alterato in viaggio.
DMARC è la regola che lega le prime due a un comportamento. Dice al mondo: "se un messaggio dice di venire dal mio dominio ma non passa né SPF né DKIM allineati, fai questo" — dove questo può essere non fare niente, mettere in quarantena, o rifiutare.
Da soli SPF e DKIM non proteggono nessuno. Sono controlli i cui risultati, senza DMARC, il destinatario è libero di ignorare.
La parola che fa la differenza: allineamento
È il punto dove quasi tutte le configurazioni sbagliano, e vale la pena rallentare.
Un'email ha due mittenti: quello tecnico, usato dai server per parlarsi, e quello che il destinatario vede nel campo "Da". DMARC non guarda il primo, guarda il secondo. Chiede che il dominio visibile al cliente sia lo stesso verificato da SPF o firmato da DKIM.
Ecco perché una configurazione può risultare "SPF: pass" e insieme "DMARC: fail". Succede regolarmente con le piattaforme di newsletter e con i gestionali che spediscono per conto tuo: il messaggio passa SPF sul dominio della piattaforma, mentre nel campo "Da" c'è il tuo. Tecnicamente autenticato, per DMARC estraneo.
L'ordine in cui si fanno le cose
Il modo sbagliato è pubblicare subito una policy severa e vedere cosa succede. Quello che succede è che le fatture smettono di partire, e nessuno collega la causa all'effetto per due settimane.
L'ordine giusto ha quattro passi.
- Censire chi spedisce per te. Quasi sempre sono più sistemi di quanti l'azienda ricordi: la posta aziendale, il gestionale che manda le conferme d'ordine, l'e-commerce, la piattaforma di newsletter, il servizio di fatturazione elettronica, il modulo di contatto del sito, il CRM. Ognuno va autorizzato, o va fatto spedire da un dominio diverso.
- Sistemare SPF e DKIM per ciascuno di quei mittenti, verificando l'allineamento e non solo il "pass".
- Pubblicare DMARC in sola osservazione. Non blocca niente e non rischia niente: chiede soltanto ai destinatari di mandarti un rapporto su quello che vedono.
- Leggere i rapporti per due o tre settimane, e stringere la policy solo quando dicono che ogni mittente legittimo è a posto.
Quel periodo di osservazione non è prudenza eccessiva. È lì che si scopre il servizio dimenticato — e c'è quasi sempre.
Quello che vedi nei rapporti
I rapporti DMARC arrivano come XML quotidiani, illeggibili a occhio nudo e molto istruttivi una volta interpretati. Le tre cose che si trovano più spesso:
- Un mittente legittimo che nessuno ricordava. L'agenzia che manda la newsletter da tre anni, il portale del commercialista, un vecchio server ancora acceso in sede.
- Un servizio che spedisce senza allineamento. Passa i controlli tecnici ma fallisce DMARC, e va corretto configurando il dominio personalizzato sulla piattaforma.
- Qualcuno che finge di essere te. Volumi anomali da indirizzi che non c'entrano niente. È il momento in cui l'esercizio smette di essere burocratico.
Il limite dei dieci lookup
Un dettaglio tecnico che manda in crisi le aziende cresciute per accumulo: SPF ammette al massimo dieci interrogazioni DNS in fase di verifica. Ogni include: di un servizio esterno ne consuma almeno una, a volte di più.
Con Google Workspace, un gestionale, una piattaforma di newsletter, un servizio di fatturazione e il CRM il limite si supera senza accorgersene — e superato il limite SPF non fallisce in modo evidente: restituisce un errore permanente, e a seconda di come il destinatario lo interpreta l'email finisce in spam o viene rifiutata. Si risolve consolidando, non aggiungendo.
Cosa aspettarsi come risultato
Non è marketing: è manutenzione. Fatta bene, la posta smette di essere un'incognita — le email arrivano, e quando non arrivano c'è un rapporto che dice perché. Il dominio smette di essere utilizzabile per fingersi la tua azienda. E i requisiti dei grandi provider risultano soddisfatti prima che diventino un blocco.
Il lavoro tecnico è di poche ore. È l'osservazione che richiede pazienza, e conviene farla adesso, quando nessuno sta aspettando una fattura urgente.