Esempi comuni di errori SPF
Troppi DNS lookup
SPF consente un massimo di 10 DNS lookup. Se superi i 10, i server destinatari restituiscono un PermerError, fallendo ogni email che invii.
Un dominio che utilizza Google Workspace, Salesforce e Mailchimp HubSpot può raggiungere facilmente questo limite senza rendersene conto.
Record SPF multipli
Puoi avere solo un record SPF TXT per dominio. Se ne hai due, i server destinatari restituiscono un PermerError.
Di solito succede dopo la migrazione a nuovi provider email quando il vecchio record non viene eliminato. Elimina il duplicato e unisci tutto.
Errori di sintassi
Uno spazio fuori posto o un errore di battitura può compromettere l'intero record.
Esempi comuni includono inlcude invece di include, oppure un record che non inizia con v=spf1. Lo SPF Checker evidenzia questi problemi in rosso e mostra esattamente dove si trovano.
Qualificatori troppo permissivi ~all o ?all
?all (neutro) non rifiuta mittenti non autorizzati—la posta viene comunque consegnata. Meglio evitarlo. Per i domini attivi che inviano email, usa ~all insieme a DMARC con p=reject: così rifiuti le email non autenticate senza rischiare la consegna di email legittime.
Riserva -all solo per i domini inattivi che non inviano alcuna email.
Risorsa gratuita
Guide
La guida completa a SubdoMailing
“SubdoMailing”, ovvero l’invio di email tramite sottodomini, è una tecnica avanzata di attacco che sfrutta i punti ciechi nell’applicazione di DMARC. Inviando messaggi da sottodomini apparentemente legittimi che superano i controlli di autenticazione, i criminali informatici possono imitare in modo convincente organizzazioni affidabili e ingannare i destinatari.
Grazie a questa guida scopri:
- La gravità del SubdoMailing e perché dovresti agire
- I record DNS “pendenti” e come la tua organizzazione può essere a rischio
- Come mettere in sicurezza il tuo dominio già oggi
Domande frequenti
Che cos’è lo SPF Checker?
SPF sta per Sender Policy Framework. È un protocollo di autenticazione email che funge da whitelist, elencando i mittenti autorizzati a inviare email per tuo conto. Ha lo scopo di prevenire la falsificazione delle email.
Cos’è SPF e perché è importante per la sicurezza delle email?
SPF sta per Sender Policy Framework. È un protocollo di autenticazione email che funge da whitelist, elencando i mittenti autorizzati a inviare email per tuo conto. Ha lo scopo di prevenire la falsificazione delle email.
Che cos’è un record SPF?
Record DNS TXT che indica ai mail server destinatari quali IP/host sono autorizzati a inviare email per un dominio.
Esempi comuni di errori SPF
- Troppi DNS lookup — SPF pone il limite a 10. Ogni include, a, mx, ptr e redirect conta. Supera il limite e fallisce ogni email, anche quelle legittime.
- Record SPF multipli — Un record per dominio. Due o più causano un PermError. Succede spesso dopo una migrazione se il vecchio record non viene eliminato.
- Errori di sintassi — Errori come "inlcude" invece di include, prefisso v=spf1 mancante o caratteri errati. Il checker evidenzia esattamente la posizione in rosso.
- Qualificatori troppo permissivi — ?all non offre protezione. +all autorizza l’intero internet. Entrambi vengono subito segnalati.
- Void lookup — Query DNS che non restituiscono niente, spesso causate da entry include obsolete o configurate male che puntano a record non più esistenti.
- Include compromessi — Entry collegate alla campagna SubdoMailing o ad altre fonti note malevole che possono essere sfruttate dagli attaccanti per falsificare il tuo dominio.
- Errori annidati nei record di terze parti — Problemi nascosti all’interno del record SPF di un mittente incluso che non noteresti manualmente. La visualizzazione ad albero SPF traccia ogni ramo così puoi vedere esattamente dove sta il problema.
Come appare effettivamente un record SPF?
v=spf1 include:_spf.google.com include:spf.protection.outlook.com ip4:203.0.113.5 -all
Inizia con v=spf1, elenca i mittenti autorizzati al centro, e termina con un qualificatore all. Un record per dominio, nessuna eccezione.
Cos’è la visualizzazione ad albero SPF e come può aiutarmi a capire il mio record?
La visualizzazione ad albero SPF fornita dallo SPF Checker illustra ogni fase della risoluzione del record SPF, mostra come ogni meccanismo viene valutato e se si traduce in esito positivo, negativo o neutro. Questa rappresentazione aiuta l’utente a comprendere la gerarchia dei meccanismi SPF e individuare eventuali problemi o errori di configurazione.
Cos’è l’attacco SubdoMailing e come può aiutare lo SPF Checker?
Il 27 febbraio 2024, i ricercatori di Guardio hanno scoperto una vasta campagna di frode pubblicitaria via email basata su migliaia di domini e sottodomini compromessi. Puoi leggere di più sull’attacco SubdoMailing e come proteggerti qui.
Lo strumento di controllo dei record SPF di Red Sift rileva se il tuo record SPF contiene include compromessi che lasciano il tuo dominio scoperto per attacchi di spoofing. La visualizzazione dinamica dell’albero SPF ti permette di evidenziare dove si trovano gli include compromessi. Se vengono individuati, si raccomanda di rimuovere immediatamente tali voci dal record SPF.
Perché dovrei controllare la configurazione SPF del mio dominio?
Eseguire un controllo SPF sulla configurazione del tuo dominio garantisce che sia impostata correttamente per autenticare le email inviate dal tuo dominio, riducendo la probabilità che vengano contrassegnate come spam o respinte dai server destinatari.
Come posso interpretare i risultati forniti dallo SPF Checker?
A seconda della configurazione SPF del dominio indicato, vengono visualizzati messaggi informativi con la possibilità di "evidenzia nell’albero SPF".
- Verde indica solo informazioni (es: provider ben noto).
- Giallo segnala solo avvisi (es: void lookup).
- Rosso indica problemi (es: errore DNS permanente).
Lo SPF Checker può individuare errori anche nei record di terzi inclusi annidati?
Sì, lo SPF Checker può individuare errori anche nei record inclusi annidati di terze parti analizzando ogni record SPF incluso all’interno della gerarchia. Questo consente di rilevare e risolvere problemi nelle configurazioni SPF di terze parti che potrebbero impattare l’autenticazione delle email del proprio dominio.
Come posso accedere al record SPF del mio dominio?
Puoi accedere al record SPF del tuo dominio interrogando i record DNS tramite strumenti come nslookup o dig. In alternativa, puoi utilizzare tool online di lookup SPF oppure accedere all’interfaccia di gestione DNS fornita dal registrar del dominio o dal provider di hosting.
Cos’è un void lookup e perché è un problema per l’SPF?
Un void lookup si verifica quando un meccanismo nel record SPF genera una query DNS che non restituisce alcun risultato, indicando una configurazione errata o una voce non valida. I void lookup possono portare a fallimenti nell’autenticazione SPF e vanno sistemati per garantire l’integrità della configurazione.
Come posso correggere gli errori di sintassi nel mio record SPF?
Gli errori di sintassi in un record SPF si correggono consultando le linee guida ufficiali e assicurandosi che il record sia formattato correttamente. Errori comuni includono meccanismi mancanti o fuori posto, caratteri non validi o spaziature errate. Una volta individuati, si correggono tramite l’interfaccia di gestione DNS del registrar o provider di hosting.
Cosa sono i meccanismi SPF e come influiscono sull’autenticazione delle email?
I meccanismi SPF sono componenti del record SPF che specificano quali mail server sono autorizzati a inviare email per conto di un dominio. I meccanismi includono indirizzi IP, nomi di dominio e qualificatori che definiscono come interpretare il meccanismo. Una configurazione adeguata di questi elementi permette ai proprietari del dominio di controllare quali mail server possono inviare email con il loro nome, migliorando l’autenticazione e la sicurezza.
Come posso validare il mio record SPF?
Esegui un controllo e assicurati che ci sia un solo record, sintassi valida, e ≤10 DNS lookup.
Perché il mio SPF fallisce?
Tipicamente per record multipli, errori di sintassi o troppe entry “include”.
Perché c’è un limite di 10 DNS lookup?
La RFC 7208 pone il limite di 10 meccanismi SPF che generano query DNS per proteggere i server destinatari da sovraccarichi. Ogni include, a, mx, ptr e redirect conta verso tale limite. Se lo superi, SPF fallisce per tutte le email, anche quelle legittime. Lo SPF Checker mostra il numero attuale di lookup e la loro origine.
Qual è la differenza tra ~all e -all?
?all (neutro) non rifiuta mittenti non autorizzati—la posta viene comunque consegnata. Meglio evitarlo. Per i domini attivi che inviano email, usa ~all insieme a DMARC con p=reject: così rifiuti le email non autenticate senza rischiare la consegna di email legittime.
Riserva -all solo per i domini inattivi che non inviano alcuna email.
Posso avere SPF su un sottodominio?
Sì, ed è consigliato. L’SPF configurato su yourdomain.com non copre mail.yourdomain.com o newsletter.yourdomain.com. Ogni sottodominio mittente necessita il proprio record. I sottodomini senza SPF sono vulnerabili allo spoofing.
Analizza ora