Sono tre sigle che compaiono in ogni conversazione sulla sicurezza email, spesso senza spiegazione. Non servono per proteggere la tua casella dagli attacchi in entrata: servono a impedire che qualcun altro invii email fingendo di essere te.

Il problema che risolvono

Il protocollo email di base non verifica chi sta realmente inviando un messaggio: il campo "Da" può essere scritto liberamente, come l'indirizzo del mittente su una busta di carta. Senza controlli aggiuntivi, chiunque può scrivere "info@tuaazienda.it" nel campo mittente e inviare un'email che sembra provenire da te, a un tuo cliente o fornitore.

SPF — chi può inviare per il tuo dominio

SPF (Sender Policy Framework) è un elenco pubblico, pubblicato nel DNS del tuo dominio, dei server autorizzati a inviare email a tuo nome. Quando arriva un messaggio, il server ricevente controlla se il server mittente è nella lista. Se non lo è, è un segnale forte di contraffazione.

DKIM — una firma digitale sul messaggio

DKIM (DomainKeys Identified Mail) aggiunge una firma digitale crittografica a ogni email inviata, verificabile con una chiave pubblicata nel DNS. Se il contenuto del messaggio viene alterato in transito, o se non proviene davvero dal server autorizzato, la firma non è valida.

DMARC — la policy che li mette insieme

DMARC (Domain-based Message Authentication, Reporting and Conformance) dice ai server riceventi cosa fare quando un messaggio fallisce i controlli SPF o DKIM: metterlo in quarantena, rifiutarlo, o semplicemente segnalarlo. Fornisce anche report periodici su chi sta inviando email a nome del tuo dominio — spesso il primo modo per scoprire un tentativo di spoofing in corso.

Senza SPF, DKIM e DMARC configurati correttamente: chiunque può inviare phishing a nome della tua azienda verso i tuoi clienti, con conseguenze reputazionali difficili da quantificare. Inoltre le tue email legittime rischiano più facilmente di finire in spam presso i destinatari.

Perché non basta configurarli una volta

Ogni volta che la tua azienda inizia a usare un nuovo servizio che invia email a tuo nome — un CRM, una piattaforma di marketing, un gestionale in cloud — quel servizio va aggiunto alla configurazione SPF, altrimenti le sue email rischiano di essere respinte. Dimenticare di aggiornare la configurazione è una delle cause più comuni di email legittime che smettono di arrivare a destinazione.

Il collegamento con le linee guida ACN

Le linee guida ACN sulla configurazione della posta elettronica indicano esplicitamente l'autenticazione del mittente come requisito. Non è quindi solo una buona pratica tecnica: per gli enti pubblici e i fornitori collegati sta diventando un requisito di conformità.

Su MailGestITA e su Microsoft 365 gestito, la configurazione e il monitoraggio continuativo di SPF, DKIM e DMARC sono inclusi: quando aggiungi un nuovo servizio che invia email per te, ce ne occupiamo noi.