SPF, DKIM e DMARC: i tre protocolli che proteggono la tua casella di posta (e perché ti servono tutti e tre)

TL;DR: SPF, DKIM e DMARC - i tre protocolli che proteggono la tua casella di posta e perché ti servono tutti e tre

Perché tutti e tre sono importanti:

SPF e DKIM da soli non bastano a prevenire lo spoofing. Ogni protocollo controlla header email diversi—SPF verifica il return-path, DKIM convalida il dominio d=, ma nessuno dei due protegge l'header "From:" che i destinatari vedono realmente. Gli aggressori possono falsificare il tuo dominio impostando "From: tuodominio.com" utilizzando però il proprio dominio per SPF e DKIM.

I tre protocolli:

• SPF: Verifica che gli indirizzi IP del server di invio siano autorizzati per il tuo dominio
• DKIM: Firma crittograficamente le email per confermarne l'autenticità e prevenire manomissioni
• DMARC: Coordina SPF e DKIM per proteggere l'header "From:" visibile e indica ai destinatari cosa fare con le email che falliscono i controlli

Il punto chiave:

DMARC è indispensabile perché è l'unico protocollo che previene lo spoofing esatto del dominio, garantendo l'allineamento tra SPF/DKIM e l'indirizzo del mittente visto dai destinatari. I principali provider ora richiedono tutti e tre i protocolli per i mittenti di massa, rendendo questo il fondamento della sicurezza email moderna.

L'email rimane la spina dorsale della comunicazione aziendale. È anche il vettore di attacco più sfruttato nella cybersicurezza, con oltre il 90% degli attacchi informatici che iniziano con un'email di phishing o un dominio falsificato.

Se ti sei mai chiesto perché le tue email di marketing legittime finiscono nelle cartelle spam, o come gli aggressori possano inviare email che sembrano provenire esattamente dal tuo dominio, la risposta risiede in tre protocolli critici di autenticazione email: SPF, DKIM e DMARC.

Comprendere come questi protocolli lavorano insieme è essenziale per chiunque sia responsabile della sicurezza email, della deliverability, o della protezione della propria organizzazione dagli attacchi di Business Email Compromise.

Il Simple Mail Transfer Protocol (SMTP), il fondamento della trasmissione email, è stato ufficialmente definito "intrinsecamente insicuro" dal Network Working Group nel 2008. Il protocollo permette a chiunque abbia conoscenze di base di programmazione di impersonare un dominio e inviare email fraudolente senza autorizzazione.

Questa falla fondamentale significa che, senza un'autenticazione adeguata, gli aggressori possono facilmente falsificare domini legittimi. Il risultato è un'email che appare del tutto legittima, aggira i tipici indicatori di sicurezza, e finisce direttamente nella casella di posta del destinatario.

Questi tre protocolli sono stati sviluppati per affrontare le carenze di sicurezza dell'email, ma ognuno serve uno scopo distinto. Pensali come livelli di difesa che lavorano insieme per verificare l'identità del mittente e proteggere dalla falsificazione.

• SPF (Sender Policy Framework) autorizza quali server di posta possono inviare email per conto del tuo dominio. Pubblichi un record SPF nel tuo DNS che elenca le fonti di invio approvate. Quando un server ricevente riceve la tua email, verifica se l'IP di invio corrisponde al tuo elenco autorizzato. SPF è semplice da implementare ma presenta limitazioni. Si interrompe quando le email vengono inoltrate tramite mailing list, e non verifica il contenuto effettivo del messaggio.
• DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica agli header della tua email, confermando che il messaggio non sia stato manomesso durante il transito. Il tuo server di posta allega una firma con chiave privata a ogni email, e i server riceventi usano la tua chiave pubblica per verificarne l'autenticità. DKIM risolve il problema dell'inoltro di SPF e conferma l'integrità del messaggio. Tuttavia, è più complesso da configurare su più mittenti terzi, e le chiavi necessitano di una rotazione periodica per la sicurezza.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) è il protocollo che collega tutto insieme. Si basa su SPF e DKIM per creare una policy di applicazione, indicando ai server riceventi esattamente cosa fare quando l'autenticazione fallisce. Con DMARC, puoi istruire i server di posta a mettere in quarantena i messaggi sospetti o a rifiutarli del tutto. Ancora più importante, DMARC fornisce visibilità attraverso report aggregati e forensi, mostrandoti chi sta inviando email usando il tuo dominio e se quei messaggi superano l'autenticazione.

SPF e DKIM funzionano in modo indipendente, ma senza DMARC possono essere aggirati. Gli aggressori possono comunque falsificare il tuo dominio in modi che superano i controlli individuali ma falliscono i requisiti di allineamento.

DMARC impone che il dominio nell'indirizzo "From" visibile sia allineato con i domini autenticati da SPF e DKIM. Solo quando almeno uno di questi meccanismi supera il controllo ed è allineato, DMARC considera il messaggio legittimo.

Insieme, questi protocolli creano un framework di autenticazione completo che protegge dalla falsificazione esatta del dominio, riduce i rischi di phishing, migliora la deliverability delle email, e fornisce informazioni utilizzabili sul tuo ecosistema email.

Nonostante la complessità tecnica, implementare questi protocolli è più semplice di quanto molte organizzazioni pensino. Il processo prevede la pubblicazione di record DNS, il passaggio graduale dal monitoraggio all'applicazione, e la convalida di tutte le fonti email legittime.

Le organizzazioni che implementano correttamente DMARC raggiungono tipicamente la piena applicazione entro 6-8 settimane, bloccando l'uso non autorizzato dei propri domini pur garantendo che le email legittime continuino a fluire senza intoppi.

Se sei responsabile della sicurezza email o della deliverability, comprendere le differenze tecniche tra SPF, DKIM e DMARC è essenziale. Ogni protocollo affronta vulnerabilità specifiche, e solo implementando tutti e tre puoi costruire una protezione completa contro le minacce basate sull'email.

Troverai spiegazioni dettagliate su come funziona ogni protocollo, gli errori di configurazione comuni da evitare, e una checklist pratica di implementazione per iniziare a proteggere il tuo dominio oggi stesso.