SPF, DKIM e DMARC: autenticazione della posta contro il phishing

L’e-mail non è mai stata progettata pensando all’autenticazione: sia MAIL FROM sia l’intestazione From: possono contenere qualsiasi cosa. SPF, DKIM e DMARC sono i tre standard stratificati che consentono a un server destinatario di stabilire se un messaggio proviene davvero dal vostro dominio — e sono il controllo tecnico più efficace contro lo spoofing di dominio nel phishing.

I tre livelli

Gli standard risolvono problemi diversi e vanno adottati insieme.

• SPF (Sender Policy Framework) autorizza quali indirizzi IP possono inviare posta per un dominio.
• DKIM (DomainKeys Identified Mail) firma crittograficamente i messaggi, così manomissioni e falsificazioni diventano rilevabili.
• DMARC lega i due, impone l’allineamento con il dominio visibile in From:, dice ai destinatari cosa fare in caso di fallimento — e vi fornisce reportistica.

SPF

SPF è un singolo record TXT nel DNS che elenca i mittenti autorizzati. Il destinatario confronta l’IP che si connette con il record SPF del dominio del Return-Path (la busta).

example.com.  IN  TXT  "v=spf1 include:_spf.google.com ip4:198.51.100.10 -all"

• include: richiama i mittenti autorizzati di un altro dominio (per esempio il vostro provider di invio).
• -all è un fallimento netto (rifiuta tutto ciò che non è elencato); ~all è un fallimento morbido.
• SPF ammette al massimo 10 lookup DNS: superarli produce permerror, quindi appiattite con decisione gli include troppo annidati.

Il punto debole di SPF: convalida il mittente di busta, non l’intestazione From: che l’utente vede. Da solo non ferma lo spoofing del nome visualizzato.

DKIM

DKIM aggiunge una firma che copre intestazioni selezionate e il corpo, con una chiave privata detenuta dal mittente. La chiave pubblica sta nel DNS sotto un selettore.

selector1._domainkey.example.com.  IN  TXT
  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..."

Un messaggio firmato porta un’intestazione così:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=selector1;
  h=from:to:subject:date; bh=...; b=...

Poiché la firma sopravvive all’inoltro, DKIM è più robusto di SPF. Usate chiavi a 2048 bit e ruotate periodicamente i selettori.

DMARC e allineamento

In DMARC risiede la policy. Richiede che SPF o DKIM non solo passino, ma siano anche allineati con il dominio dell’intestazione From: visibile.

_dmarc.example.com.  IN  TXT
  "v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s; pct=100"

• L’allineamento SPF confronta il dominio di From: con quello del Return-Path.
• L’allineamento DKIM confronta il dominio di From: con il d= della firma.
• p= è la policy: none (monitoraggio), quarantine o reject.
• adkim/aspf impostano la modalità di allineamento: s (stretta, corrispondenza esatta) o r (rilassata, stesso dominio organizzativo).

Un messaggio supera DMARC se almeno uno fra SPF e DKIM passa ed è allineato. Per questo l’inoltro spesso rompe SPF ma sopravvive grazie a DKIM.

Come si compone al destinatario

1. IP di connessione confrontato con il record SPF del Return-Path
2. DKIM-Signature verificata con la chiave pubblica del selettore
3. DMARC: un meccanismo superato è allineato al dominio di From:?
4. In caso contrario → applicare la policy p= (reject / quarantine)
5. Emettere report aggregati (rua) e forensi opzionali (ruf)

Errori frequenti

• Troppi lookup in SPF: consolidate le catene di include:, preferite ip4/ip6 dove stabili.
• Sottodomini scoperti: gli aggressori falsificano mail.example.com se coprite solo il dominio principale. Aggiungete record _dmarc per i sottodomini o affidatevi alla policy organizzativa con sp=.
• Mittenti terzi: strumenti di fatturazione, CRM e piattaforme di marketing hanno bisogno di include SPF e chiavi DKIM, altrimenti falliranno DMARC.
• Passare subito a p=reject: partite sempre da p=none, leggete i report aggregati, sistemate i mittenti legittimi e poi stringete.

Una policy DMARC p=reject su un dominio ben monitorato significa che un aggressore non può più inviare posta a vostro nome verso alcun destinatario che rispetti DMARC. Così si chiude il vettore di phishing più convincente: lo spoofing del dominio esatto.

Come aiuta GottaPhish

SPF, DKIM e DMARC bloccano lo spoofing del vostro dominio, ma gli aggressori si spostano semplicemente su domini simili, trucchi sul nome visualizzato e terze parti compromesse. GottaPhish e il suo team di esperti affrontano esattamente questo rischio residuo: simulazioni realistiche con quelle tecniche — domini «cugini», mittenti con allineamento lasco, casi limite di posta inoltrata — più cruscotti che mostrano chi ha cliccato e quale controllo ha fermato cosa. I nostri esperti seguono l’avvio, disegnano scenari calibrati sulla vostra postura di autenticazione e aiutano a interpretare i risultati, così potrete dare priorità sia alle correzioni DNS sia alla formazione mirata.