Le e-mail aziendali devono soddisfare in modo affidabile due requisiti: devono arrivare al destinatario e quest'ultimo deve poter verificare se un messaggio proviene effettivamente dal dominio specificato.
Proprio in questo contesto, tre procedimenti tecnici giocano un ruolo centrale: SPF, DKIM e DMARC.
I termini sembrano complessi a prima vista. Il principio di base alla loro spalle è tuttavia relativamente semplice: SPF stabilisce quali server possono inviare email per un dominio, DKIM appone ai messaggi una firma digitale verificabile e DMARC definisce come gestire i messaggi che non superano tali controlli.
Questo articolo spiega in modo comprensibile SPF, DKIM e DMARC, mostra perché i tre procedimenti sono collegati e perché una corretta configurazione fa oggi parte dell'infrastruttura di posta elettronica fondamentale per le aziende.
Perché un'email deve essere autenticata?
Un indirizzo mittente in un'email è fondamentalmente più facile da falsificare di quanto molti utenti sospettino.
Gli attaccanti possono, ad esempio, cercare di far sembrare che un messaggio provenga da rechnung@ihre-firma.ch, sebbene l'e-mail sia stata effettivamente inviata tramite un sistema esterno.
Questo fingersi un mittente diverso viene spesso definito come Spoofing di email viene designato. Svolge un ruolo importante, tra l'altro, nei tentativi di phishing e di frode.
SPF, DKIM e DMARC aiutano i server di posta in arrivo a valutare tecnicamente meglio questi messaggi.
Cos'è l'SPF?
SPF significa Sender Policy Framework.
Tramite una voce nel DNS di un dominio viene stabilito quali mail server o sistemi sono autorizzati a inviare e-mail per conto di questo dominio.
In parole semplici, SPF risponde alla domanda:
„Questo server è autorizzato a inviare e-mail per questo dominio?“
Un semplice esempio
Supponendo che un'azienda invii le proprie e-mail esclusivamente tramite un determinato mail server.
Nell'indicatore SPF si può stabilire che questo server è autorizzato all'invio. Se un server di posta esterno riceve successivamente un messaggio, può verificare la regola SPF del dominio del mittente.
Se il messaggio proviene da un sistema autorizzato, supera questo controllo.
Se invece viene inviata tramite un server non previsto, ciò può essere preso in considerazione nella valutazione del messaggio.
Perché l'SPF da solo non basta
L'SPF è importante, ma da solo non risolve il problema dell'autenticazione delle e-mail.
Tra l'altro, i reindirizzamenti e le strutture di invio più complesse possono influenzare la verifica SPF. Inoltre, l'SPF non autentica semplicemente il mittente visibile così come viene percepito da un utente nel proprio programma di posta elettronica.
Ecco perché in una configurazione di posta elettronica pulita, il protocollo SPF viene combinato con altre procedure.
Cos'è il DKIM?
DKIM significa DomainKeys Identified Mail.
Mentre SPF verifica il server mittente, DKIM lavora con una firma crittografica.
Il server di posta mittente appone una firma digitale a un'email. La chiave pubblica corrispondente viene resa disponibile tramite il DNS del dominio.
In questo modo il server di posta ricevente può verificare se la firma DKIM è valida.
In parole semplici, DKIM risponde quindi alla domanda:
„Questa messaggio è dotato di una firma valida del dominio in questione?“
Perché il DKIM è importante per la recapitabilità
I provider di posta elettronica devono distinguere quotidianamente enormi quantità di messaggi legittimi, indesiderati e fraudolenti.
Una firma DKIM correttamente configurata fornisce in questo modo un ulteriore segnale di fiducia tecnico.
Da solo il DKIM non garantisce che un messaggio arrivi nella casella di posta in arrivo. Tuttavia, insieme a una configurazione di invio pulita, SPF, DMARC e a una buona reputazione del mittente, contribuisce a creare un'infrastruttura di posta elettronica professionale.
Cos'è DMARC?
DMARC significa Domain-based Message Authentication, Reporting and Conformance.
DMARC si basa su SPF e DKIM e li integra con regole e funzionalità di reportistica.
Tramite un record DMARC, il titolare del dominio può stabilire come i sistemi riceventi debbano gestire i messaggi in cui i controlli di autenticazione previsti e la necessaria associazione al dominio del mittente non sono soddisfatti.
DMARC risponde così in modo semplificato alla domanda:
„Cosa deve succedere se un messaggio non supera correttamente i controlli previsti?“
Le tre possibili policy DMARC
DMARC prevede essenzialmente tre criteri:
- p=nessuno – monitorare, senza richiedere alcuna azione sul messaggio in base ai criteri DMARC
- p=quarantena – i messaggi non riusciti dovrebbero, ad esempio, essere trattati come sospetti
- p=rifiuta – I messaggi che non superano il controllo DMARC devono essere rifiutati
Soprattutto con DMARC, è importante non attivare semplicemente l'impostazione più severa senza prima fare delle verifiche.
Un'azienda potrebbe inviare email non solo tramite il proprio normale server di posta, ma anche attraverso:
- Sistemi di newsletter
- Software CRM
- Negozio online
- Moduli di contatto
- Sistemi di supporto
- servizi cloud esterni
Se queste fonti di invio legittime non vengono prese in considerazione, le proprie e-mail potrebbero riscontrare problemi di autenticazione.
SPF, DKIM e DMARC in sinergia
I tre procedimenti assolvono a compiti diversi e non dovrebbero quindi essere considerati come alternative.
- SPF: Quali sistemi sono autorizzati a inviare e-mail per il dominio?
- DKIM: Il messaggio è dotato di una firma digitale verificabile?
- DMARC: Corrispondono l'autenticazione e il dominio del mittente secondo le regole DMARC e come si deve procedere in caso di errori?
Solo l'interazione crea una base nettamente migliore per distinguere le notizie legittime dalle e-mail inviate in modo abusivo a nome di un dominio.
Cosa significa allineamento DMARC?
Un componente importante di DMARC è il cosiddetto Allineamento.
In questo modo viene verificato in modo semplificato se i domini utilizzati per SPF o DKIM corrispondono al dominio che il destinatario vede come mittente.
Questo è importante perché un messaggio può superare tecnicamente un controllo SPF o DKIM senza che tale autenticazione appartenga effettivamente al dominio del mittente visibile.
DMARC collega quindi le verifiche tecniche al dominio che appare al destinatario come mittente.
Report DMARC: vedi chi invia email a nome del tuo dominio
Una componente particolarmente interessante di DMARC è rappresentata dalle opzioni di reportistica.
I proprietari di domini possono ricevere i cosiddetti rapporti DMARC aggregati. Questi forniscono informazioni su quali sistemi inviano e-mail utilizzando il dominio e sull'esito dei controlli SPF e DKIM.
Questo può aiutare:
- scoprire servizi di spedizione legittimi dimenticati
- Rilevare configurazioni errate
- rendere visibili le fonti di spedizione sconosciute
- prepararsi in modo controllato a una policy DMARC più rigida
DMARC dovrebbe quindi idealmente non essere semplicemente configurato e poi dimenticato.
SPF, DKIM e DMARC migliorano la deliverability delle email?
Un'autenticazione corretta è una componente importante della deliverability professionale delle e-mail. Tuttavia, non è una garanzia che ogni messaggio arrivi nella posta in arrivo.
I provider di posta elettronica tengono conto di numerosi altri fattori, ad esempio:
- Reputazione del server mittente
- Reputazione del dominio
- Comportamento di spedizione e volume
- Contenuto del messaggio
- Reazioni dei destinatari
SPF, DKIM e DMARC creano quindi un'importante base tecnica, ma non sostituiscono un'infrastruttura di posta elettronica complessivamente pulita.
Spiegheremo di più nell'articolo Sicurezza e deliverability delle email per le PMI .
SPF, DKIM e DMARC proteggono dallo spam e dal phishing?
Qui è necessaria un'importante distinzione.
SPF, DKIM e DMARC aiutano in particolare a rendere più difficile l'abuso di un dominio come identità del mittente falsificata e a fornire ai sistemi riceventi informazioni aggiuntive per la valutazione di un messaggio.
Tuttavia, non prevengono ogni forma di phishing.
Un attaccante può ad esempio registrare un proprio dominio dall'aspetto simile e inviare da esso e-mail tecnicamente autenticate in modo corretto.
Perciò sono necessari ulteriori meccanismi di protezione. Un filtro antispam professionale analizza i messaggi in arrivo in base a ulteriori criteri.
Spieghiamo come funziona questo ulteriore livello di protezione nella nostra guida SpamExperts: Come funzionano la protezione professionale da spam e phishing .
Il dominio è la fondazione della sicurezza delle e-mail
SPF, DKIM e DMARC vengono configurati tramite i record DNS del proprio dominio.
Ciò dimostra ancora una volta quanto strettamente il dominio e l'e-mail siano tecnicamente collegati.
Impostazioni DNS errate possono non solo compromettere un sito web, ma avere anche un impatto diretto sulla comunicazione via e-mail.
Trovate le basi per questo nell'articolo Dominio e-mail: perché sono indissolubilmente legati .
Errori tipici di SPF, DKIM e DMARC
Nella pratica si verificano continuamente errori di configurazione simili.
- diversi record SPF indipendenti l'uno dall'altro
- servizi di spedizione esterni dimenticati
- i sistemi non più necessari rimangono inclusi nel record SPF
- DKIM è stato attivato presso il provider, ma non è stato configurato correttamente nel DNS.
- DMARC viene impostato su una policy rigida troppo rapidamente
- I rapporti DMARC vengono configurati ma non analizzati
- Le modifiche ai server di posta vengono effettuate senza l'adeguamento dei record DNS
Soprattutto per le aziende che utilizzano più sistemi per l'invio di e-mail, è opportuno effettuare una ricognizione prima di apportare modifiche.
Perché la gestione centralizzata semplifica le cose
I problemi sorgono spesso quando dominio, DNS, hosting e posta elettronica sono gestiti da provider diversi.
In caso di errore, inizia rapidamente la ricerca delle responsabilità: è colpa del server di posta? Del provider DNS? Del dominio? Del sistema di newsletter? O del sito web?
Una gestione coordinata riduce queste interfacce e facilita sia la configurazione che la successiva ricerca degli errori.
Informazioni sulle soluzioni e-mail di CURIAWEB sono disponibili su: Servizi di posta elettronica e sicurezza delle e-mail .
Conclusione: SPF, DKIM e DMARC vanno insieme
A prima vista, SPF, DKIM e DMARC sembrano tre complicate sigle tecniche. Il principio di base è tuttavia comprensibile.
SPF definisce le fonti di spedizione consentite, DKIM aggiunge alle e-mail una firma verificabile e DMARC collega questi procedimenti al dominio del mittente visibile e definisce la gestione degli errori.
Insieme costituiscono un'importante base per la moderna comunicazione aziendale via e-mail. Rendono più difficile l'abuso del proprio dominio, supportano l'affidabilità tecnica dei messaggi legittimi e offrono ulteriori possibilità di controllo con DMARC.
Tuttavia, essi non sostituiscono né un filtro antispam professionale, né credenziali di accesso sicure, né un utilizzo consapevole dei messaggi sospetti.
La sicurezza delle e-mail funziona meglio quando il dominio, il DNS, l'autenticazione, il filtraggio dello spam e gli account utente vengono considerati come un sistema interconnesso.
