L'autenticazione e-mail ha tre livelli: SPF, DKIM e DMARC - e un errore comune commesso da coloro che utilizzano Cloudflare Email Routing è presupporre che l'attivazione del servizio risolva tutti e tre contemporaneamente. Cloudflare configura automaticamente SPF per la ricezione, gestisce DKIM tramite ARC sulle e-mail inoltrate e non configura DMARC per te. Se utilizzi un fornitore di spedizione separato, SPF e DKIM per quel fornitore devono essere aggiunti manualmente. Confondere questi ruoli porta a ricevere email rifiutate, a volte tue.
Cosa fa SPF e cosa aggiunge Cloudflare
SPF (Sender Policy Framework) è un record TXT nella tua zona DNS che elenca i server autorizzati a inviare e-mail attraverso il tuo dominio. Quando un server ricevente accetta un'e-mail che dichiara di provenire da seudominio.com, interroga l'SPF di seudominio.com per verificare se l'IP di invio è nell'elenco.
Quando abiliti il routing della posta elettronica, Cloudflare aggiunge automaticamente un include:_spf.mx.cloudflare.net all'SPF del tuo dominio. Ciò autorizza i server di Cloudflare a ricevere e-mail per il tuo dominio, il che ha senso, perché sono i server che accetteranno i messaggi in arrivo prima di inoltrarli.
Il punto che richiede attenzione: se utilizzi anche un fornitore di spedizioni in uscita - Resend, SendGrid, Amazon SES, Mailgun - questo fornitore ha i propri server che devono apparire nel tuo SPF. Il record SPF finale deve includere sia Cloudflare che il fornitore di servizi di spedizione. Un esempio con Reinvia:
v=spf1 include:_spf.mx.cloudflare.net include:amazonses.com ~all
SPF ha un limite di 10 ricerche DNS per valutazione. Ogni include: conta come una ricerca e può attivare ricerche più ricorsive. Con molti provider combinati, è possibile superare questo limite, il che fa sì che l’SPF fallisca per tutti i mittenti, non solo per alcuni. Strumenti come MXToolbox e dmarcian dispongono di validatori che contano le ricerche e ti avvisano prima che diventi un problema.
DKIM durante la ricezione e l'invio
DKIM (DomainKeys Identified Mail) funziona tramite crittografia asimmetrica: il server mittente firma l'e-mail con una chiave privata e il server ricevente verifica la firma rispetto alla chiave pubblica pubblicata come record TXT nel DNS del dominio mittente.
Per le e-mail ricevute e inoltrate tramite il routing e-mail, Cloudflare utilizza ARC (Authenticated Received Chain). ARC è un insieme di intestazioni che registra la catena di autenticazione dell'e-mail mentre passa attraverso gli intermediari, in questo caso il server Cloudflare. Quando Cloudflare inoltra un'e-mail, aggiunge intestazioni ARC che comunicano al server finale di ricezione: "Ho ricevuto questa e-mail, la firma DKIM originale era valida nel momento in cui è arrivata qui e la dimetto per preservare tali informazioni". Cloudflare firma nuovamente con la propria chiave DKIM durante l'inoltro.
Per le email inviate dal tuo provider in uscita, DKIM funziona in modo diverso. Reinvia, SES o qualsiasi altro provider di invio ti chiederà di aggiungere uno o più record TXT alla tua zona DNS con la chiave pubblica DKIM. Aggiungi questi record alla dashboard di Cloudflare e il provider utilizza la chiave privata corrispondente per firmare le e-mail in uscita attraverso il tuo dominio. Cloudflare non genera né gestisce questa chiave: ospiti semplicemente il record TXT creato dal provider.
DMARC: cosa configurare e in quale ordine
DMARC (Domain-based Message Authentication, Reporting and Conformance) si trova in un record TXT in _dmarc.seudominio.com e definisce cosa dovrebbero fare i server riceventi quando un'e-mail non supera SPF e DKIM contemporaneamente. Definisce inoltre dove inviare i report di autenticazione.
Cloudflare non configura DMARC per te. Il record viene creato manualmente. Un record iniziale ragionevole:
v=DMARC1; p=none; rua=mailto:dmarc@seudominio.com; ruf=mailto:dmarc@seudominio.com; pct=100
p=none significa “monitorare, non rifiutare”. I rapporti arrivano agli indirizzi definiti in rua (rapporti aggregati giornalieri) e ruf (rapporti forensi sui guasti). Questi report in formato XML mostrano quali IP inviano e-mail attraverso il tuo dominio e qual è il risultato SPF/DKIM per ciascuno di essi.
La sequenza corretta è questa: attivare prima p=none, attendere almeno una settimana di report, verificare che tutti i mittenti legittimi (il provider di invio, i server dei moduli, gli strumenti di marketing) appaiano allineati in SPF o DKIM. Solo dopo aver confermato questo allineamento si passa a p=quarantine (le email sospette finiscono nello spam) ed eventualmente p=reject (le email sospette vengono rifiutate alla ricezione).
L'attivazione di p=reject prima di aggiungere i record SPF e DKIM del provider mittente è l'errore più comune. Il risultato: le tue email iniziano a essere rifiutate dai server di destinazione perché escono tramite Resend o SES ma SPF non include ancora quei server o il record DKIM non è stato ancora aggiunto. DMARC fallisce e con p=reject l'e-mail viene rifiutata, silenziosamente dal punto di vista del mittente.
Cosa controllare prima di modificare la politica DMARC
Prima di passare da p=none a qualsiasi politica più restrittiva, vale la pena controllare tre cose nei report aggregati: che Cloudflare appaia come allineato SPF per le e-mail in entrata che inoltri ai tuoi account, che il provider di invio appaia come allineato DKIM per le e-mail in uscita e che non ci siano IP imprevisti che inviano e-mail attraverso il tuo dominio, il che indicherebbe una configurazione di un altro servizio che non hai mappato o utilizzato in modo improprio.
Strumenti come dmarcian, Postmark (che dispone di un parser DMARC gratuito) e MXToolbox semplificano la lettura dei report XML. Vale la pena investire il tempo. Un dominio con DMARC configurato correttamente ha meno possibilità di vedere email contraffatte accettate dai destinatari e meno possibilità di vedere email legittime rifiutate a causa di un errore di configurazione.
Leggi anche
- Le limitazioni dell'instradamento e-mail di Cloudflare che il tutorial non menziona
- Instradamento email Cloudflare: ricevi email sul tuo dominio — e cosa non è incluso
- Cloudflare KV: cosa significa distribuzione globale quando è necessario scrivere
- Cloudflare Workers vs Pages: la differenza che conta prima di scegliere
- Instradamento e-mail, Improvmx e Inoltro e-mail: confronto onesto
- Routing e-mail + Worker: elaborazione delle e-mail in modo programmatico su edge