Sintassi dei record SPF: componenti e regole di strutturazione

L'SPF spesso sembra semplice finché non ci si trova a dover scrivere o risolvere i problemi relativi al record in prima persona. Il problema non consiste semplicemente nel sapere quali mittenti autorizzare. Si tratta di saperle esprimere correttamente nel sistema dei nomi di dominio, in modo che i server destinatari possano interpretare la politica nel modo da Lei previsto.

Che cos’è la sintassi dei record SPF?

La sintassi dei record SPF consiste nella struttura e nelle regole di formattazione utilizzate per creare un record TXT SPF valido. In termini pratici, si tratta del linguaggio che un dominio utilizza nel DNS per indicare a un server ricevente quali mittenti sono autorizzati a inviare messaggi per suo conto.

Questo è importante perché la sintassi SPF determina il modo in cui le fonti di invio autorizzate vengono indicate in un record TXT del DNS. Se la sintassi è errata, l'autenticazione SPF potrebbe fallire anche se sono elencati i mittenti corretti. È inoltre utile distinguere la sintassi dalla strategia: la sintassi SPF costituisce il livello di formattazione che rende una politica leggibile dai sistemi di posta, mentre la strategia determina quali mittenti autorizzare e il grado di rigore che la politica deve avere.

Elementi fondamentali della sintassi dei record SPF

Un record SPF è costituito da un numero limitato di elementi fondamentali: il tag di versione, i meccanismi, i qualificatori e i modificatori. Insieme, indicano al server ricevente cosa verificare, come interpretare il risultato e come procedere qualora nessun meccanismo precedente risulti applicabile. La specifica tratta i meccanismi e i modificatori in modo diverso, sebbene entrambi compaiano all’interno dello stesso record TXT.

Meccanismi SPF

I meccanismi sono i termini di corrispondenza presenti in un record SPF. Essi stabiliscono quali fonti siano autorizzate. Nei dati reali, i più comuni sono:

• ip4 e ip6 per intervalli specifici di indirizzi IPv4 o IPv6
• a) per autorizzare l'indirizzo IP restituito da un record A o AAAA
• mx per autorizzare gli indirizzi IP degli host dei record MX del dominio
• inserire per fare riferimento alla politica SPF di un altro dominio e valutarla
• il tutto come meccanismo di riserva finale

Tali meccanismi sono diffusi poiché rispecchiano le modalità con cui viene solitamente instradata la posta elettronica aziendale. Gli indirizzi IPv4 e IPv6 vengono utilizzati per le infrastrutture di invio note; l’MX è comunemente impiegato quando il server di posta del dominio invia anche messaggi, mentre l’“include” è ampiamente utilizzato per le piattaforme cloud quali Microsoft 365 e Google Workspace.

Potreste inoltre imbattervi nei termini "exists" o "ptr", ma entrambi richiedono cautela. L'RFC SPF indica esplicitamente di non utilizzare `ptr`, mentre `exists` è un meccanismo più avanzato e più soggetto a errori rispetto a quelli su cui fanno affidamento la maggior parte delle organizzazioni.

Qualificazioni SPF

Un qualificativo modifica il significato di un meccanismo. I risultati concreti sono i seguenti:

• + pass, sebbene il segno più sia solitamente sottinteso
• - fallimento
• ~ softfail
• ? neutro

Questi qualificatori influenzano il modo in cui i controlli SPF vengono interpretati dal server ricevente. Una politica di chiusura più rigorosa, come -all, indica al destinatario che qualsiasi messaggio non conforme dovrebbe risultare non conforme all'SPF.

Un approccio di chiusura più permissivo, come ~all, indica che le fonti non corrispondenti dovrebbero invece generare un errore soft, soluzione spesso utilizzata durante le fasi di transizione o quando gli inventari dei mittenti sono ancora in fase di pulizia. In pratica, tale scelta influisce sull’applicazione delle norme, sulla risoluzione dei problemi e, talvolta, sul posizionamento dei messaggi nella posta in arrivo a valle.

Modificatori SPF

I modificatori sono elementi sintattici speciali che estendono il comportamento dell’SPF anziché effettuare direttamente la corrispondenza con i mittenti. Quelli più rilevanti per la maggior parte dei lettori del settore aziendale sono "redirect" ed "exp". L'RFC SPF definisce il comando "redirect" per delegare la valutazione alla politica SPF di un altro dominio e il comando "exp" per restituire una spiegazione personalizzata in caso di errore.

Questo è diverso dai meccanismi. I meccanismi partecipano direttamente alla corrispondenza, mentre i modificatori influenzano il modo in cui il record viene elaborato. In contesti più complessi, la funzione di reindirizzamento può rivelarsi utile quando più domini condividono lo stesso sistema di posta elettronica e un’unica politica deve regolare diversi domini correlati. L'RFC raccomanda inoltre di inserire il reindirizzamento alla fine del record per maggiore chiarezza.

Tag di versione SPF

Ogni record SPF deve iniziare con v=spf1. Questo è il tag di apertura obbligatorio che identifica il record TXT del DNS come una politica SPF. I server di ricezione utilizzano tale tag per riconoscere che il record deve essere valutato in base alle regole SPF. Se il tag di versione è mancante, duplicato o non conforme, il record può essere considerato non valido.

Come si presenta un record SPF valido?

La struttura standard di un record SPF valido è semplice: si inizia con il tag di versione, si aggiungono uno o più meccanismi, si includono eventualmente dei modificatori e si conclude con una politica di chiusura. In termini più semplici, un formato di record SPF valido segue una struttura chiara che i server destinatari possono valutare senza confusione.

Un semplice esempio di record SPF è il seguente:

v=spf1 include:_spf.google.com ~all

Perché è valido:

• v=spf1 identifica il record come SPF
• include:_spf.google.com autorizza l'infrastruttura di invio di Google Workspace
• ~all imposta una politica di softfail per le fonti non corrispondenti

Un esempio più avanzato di record SPF è il seguente:

v=spf1 ip4:192.168.0.10 include:spf.protection.outlook.com -all

Perché è valido:

• "v=spf1" è il tag di versione richiesto
• ip4:192.168.0.10 autorizza un indirizzo IP specifico
• include:spf.protection.outlook.com autorizza le fonti di invio di Microsoft 365
• -all imposta un errore rigoroso per tutto il resto

In entrambi gli esempi, la sintassi SPF è corretta poiché il record inizia in modo corretto, utilizza meccanismi riconosciuti e si conclude con una politica chiara. La strategia varia, ma la struttura rimane la stessa.

Regole e verifica della correttezza del formato SPF

La validità di un record SPF dipende da una formattazione accurata. Il record deve iniziare correttamente, rispettare i termini SPF riconosciuti e mantenere un ordine logico, poiché i sistemi DNS e di posta elettronica non tollerano voci non conformi.

Inizi con il tag di versione corretto

Ogni record SPF deve iniziare con v=spf1. Se il tag di versione è mancante, duplicato o errato, il record potrebbe essere considerato non valido. SPF utilizza un solo tag di versione valido, pertanto non esiste una stringa di versione SPF alternativa che dovreste utilizzare al suo posto.

Utilizzi esclusivamente i termini SPF riconosciuti

I meccanismi, i qualificatori e i modificatori devono rispettare la sintassi SPF valida. I termini non riconosciuti o inseriti in modo errato possono compromettere la valutazione. L'utilizzo esclusivo di termini SPF supportati contribuisce inoltre a rendere la politica prevedibile per i server destinatari e più facile da gestire man mano che i servizi di invio cambiano.

Mantenete i dati in ordine logico

I record SPF devono essere strutturati in modo chiaro, in modo che i meccanismi, i qualificatori e i modificatori siano di facile valutazione e manutenzione. Una struttura più chiara facilita inoltre la risoluzione dei problemi nel caso in cui il servizio di invio cambi o si verifichi un problema di autenticazione.

Prestino attenzione agli errori sintattici più comuni

Tra i problemi di sintassi più comuni figurano:

• Manca v=spf1
• Qualificatori duplicati o non corretti
• Termini non riconosciuti
• Troppe ricerche a più livelli tramite include, a o mx
• Tentativi errati di combinare più record SPF
• Disporre i termini in un ordine confuso o errato

Anche piccoli errori di formattazione possono causare il fallimento della convalida SPF, il che può compromettere la vostra strategia di autenticazione delle e-mail nel suo complesso prima ancora che DMARC e i sistemi di segnalazione possano svolgere la loro funzione. Ecco perché i controlli sintattici dovrebbero essere parte integrante di ogni aggiornamento dei record, non solo della configurazione iniziale.

Pubblicare una sola politica SPF per ogni nome host

Un dominio non dovrebbe pubblicare più record SPF per lo stesso nome host. Una combinazione errata di più record SPF può causare problemi di convalida SPF e errori di autenticazione.

Attenersi alle migliori pratiche di base relative all'SPF

Iniziate sempre con v=spf1, mantenete una sintassi chiara e rivedete regolarmente il record man mano che i servizi di invio cambiano. Piccoli errori sintattici possono compromettere l’autenticazione SPF; pertanto, i controlli periodici costituiscono parte integrante di una corretta gestione a lungo termine dei record.

L'obiettivo non è solo quello di rendere il record tecnicamente valido. L'obiettivo è mantenere la configurazione SPF sufficientemente chiara affinché le modifiche non introducano nuovi problemi di sintassi nel corso del tempo; per questo motivo è utile verificare la validità degli aggiornamenti tramite un controllo del record SPF.

Come si dovrebbero strutturare i record SPF in caso di mittenti multipli?

Le organizzazioni moderne inviano raramente le e-mail da un'unica postazione. Un single dominio potrebbe dover autorizzare server interni, Microsoft Exchange, Google Workspace, piattaforme di supporto e altri servizi di terze parti in un unico record SPF.

Per rendere il tutto più gestibile:

• Si raccomanda di mantenere una struttura chiara, in modo che ogni meccanismo abbia uno scopo ben definito
• Utilizzi solo i mittenti di cui ha effettivamente bisogno per evitare inclusioni obsolete o superflue
• Limitate la complessità, poiché i record lunghi e articolati sono più difficili da esaminare e più soggetti a errori
• Vi invitiamo a rivedere periodicamente la politica, poiché i servizi di invio sono soggetti a modifiche nel tempo

L'obiettivo non è solo la correttezza, ma anche la facilità di manutenzione. Una corretta gestione dell’SPF favorisce sia l’autenticazione SPF che la deliverability delle e-mail nel lungo periodo.

È inoltre utile ricordare che l’SPF rappresenta solo una parte dell’autenticazione delle e-mail. Funziona in combinazione con DomainKeys Identified Mail e una politica DMARC. Anche un record TXT SPF valido non risolve di per sé tutti i problemi di sicurezza della posta elettronica, ma una sintassi corretta del record SPF rimane comunque un punto di controllo necessario, poiché un record errato indebolisce l’autenticazione prima che le politiche di livello superiore possano svolgere la loro funzione.

Implementare i record SPF corretti

Il concetto operativo fondamentale è semplice: la sintassi dei record SPF non riguarda solo la formattazione. È il livello di controllo che indica al server ricevente come stabilire quali mittenti sono autorizzati a utilizzare il Suo dominio. Se la sintassi non è corretta, l'autenticazione SPF potrebbe fallire anche se i mittenti autorizzati sono quelli corretti.

Ecco perché la progettazione dei record SPF dovrebbe garantire un equilibrio tra correttezza e facilità di manutenzione. Utilizzi una struttura chiara, eviti la presenza di più record SPF, garantisca che i meccanismi siano mirati e riveda regolarmente i record man mano che i servizi di invio subiscono modifiche. Un formato di record SPF ben strutturato rende tale processo più facile da gestire nel tempo.