Monitoraggio della salute del dominio email: cosa controllare e quando

Il tuo dominio email è fatto in gran parte da una manciata di record DNS. Il giorno in cui li hai pubblicati erano corretti, poi qualcuno ha cambiato hosting, aggiunto uno strumento di invio, ruotato una chiave o ripulito voci TXT "inutilizzate". Nessuno ti avvisa del danno. La posta continua ad arrivare per un po', poi rimbalzi e finiture nello spam crescono piano piano e nessuno sa dire da quando. Questa guida spiega cosa significa salute del dominio email, quali record copre, cosa si rompe senza far rumore e in cosa un controllo una tantum differisce da un monitoraggio che gira ogni giorno.

La risposta breve#

La salute del dominio email risponde a una domanda: "i record DNS che permettono al mondo di consegnare e di fidarsi della posta di questo dominio sono presenti, validi e invariati?" In pratica sono sei elementi: MX (qualcuno può consegnarti la posta), SPF (quali server possono inviare a tuo nome), DKIM (la tua chiave di firma è pubblicata), DMARC (cosa devono fare i riceventi quando i controlli falliscono), più MTA-STS e BIMI, che sono extra facoltativi. Un controllo una tantum ti dice lo stato di adesso. Il monitoraggio ripete il controllo a intervalli regolari e ti avvisa quando qualcosa cambia, e conta perché la maggior parte dei guasti sono regressioni, non errori di configurazione. Esegui oggi il controllo gratuito della salute del dominio per avere un punto di partenza, poi decidi se un controllo giornaliero vale la pena per i domini da cui dipendi.

Cosa copre un controllo della salute del dominio#

Ogni record della tabella risponde a una domanda diversa e ognuno può guastarsi per conto suo.

I primi quattro sono quelli che decidono se la tua posta viene consegnata e considerata affidabile. Configurare DMARC e la panoramica su SPF, DKIM e DMARC insieme spiegano come scriverli. MTA-STS e TLS-RPT e BIMI sono rafforzamenti facoltativi, quindi se ne manca uno è un'informazione, non un'emergenza.

Ricorda che oggi i provider di posta lo richiedono. I requisiti per i mittenti di Google e Yahoo si aspettano SPF, DKIM e un record DMARC per i mittenti di grandi volumi, con il dominio del From allineato a SPF o DKIM, e Microsoft applica regole simili ai mittenti ad alto volume verso gli indirizzi Outlook.com. Un record che sparisce in silenzio può farti passare dalla conformità alla non conformità da un giorno all'altro.

Cosa si rompe senza che nessuno se ne accorga#

I fallimenti dell'autenticazione raramente sembrano fallimenti. La posta viene comunque accettata, una parte finisce nello spam e la causa è un record che nessuno guarda da mesi. Questi sono i casi che si ripresentano più spesso.

• Una migrazione DNS perde dei record TXT. Cambi host DNS, lo strumento di importazione copia i record A e CNAME e le voci TXT di SPF, DKIM e DMARC spariscono o vengono rovinate. La storia completa è in quando SPF, DKIM e DMARC smettono di funzionare.
• Compare un secondo record SPF. Uno strumento di marketing dice a qualcuno di "aggiungere questo record TXT" e ora il dominio ha due record SPF. I riceventi lo trattano come un errore permanente, quindi SPF fallisce per tutto.
• SPF supera le 10 query DNS. Ogni nuovo strumento aggiunge un include: e un giorno il record oltrepassa il limite. SPF: troppe query DNS spiega come si contano e come si risolve.
• Una chiave DKIM viene ruotata o rimossa. Il provider passa a un nuovo selettore, oppure qualcuno elimina la vecchia chiave mentre la posta è ancora firmata con essa. Trovare il selettore DKIM spiega come capire quale chiave usa davvero un mittente.
• DMARC viene eliminato o non riceve mai report. O il record non c'è più, oppure rua= punta a un indirizzo inutile, quindi non puoi vedere chi invia a tuo nome.
• Resta una chiave DKIM corta. Una chiave da 1024 bit funziona ancora, ed è proprio per questo che resta per anni. Lo standard dice che i firmatari dovrebbero usarne almeno 2048.

Nessuno di questi casi richiede un attaccante. Sono normale manutenzione, ed è per questo che una revisione periodica fatta a mano li perde: nulla sembra rotto finché i numeri non si muovono.

Controllo una tantum o monitoraggio giornaliero#

Un controllo una tantum è lo strumento giusto in tre situazioni: dopo aver pubblicato o modificato dei record, quando stai diagnosticando una segnalazione precisa e quando prendi in carico un dominio che non hai configurato tu. È gratuito, richiede pochi secondi e ti dà un'istantanea. Esegui il controllo della salute del dominio per il quadro completo, oppure il verificatore SPF, DKIM e DMARC quando ti servono solo i record di autenticazione.

Il monitoraggio risponde a un'altra domanda: cosa è cambiato da ieri e chi deve saperlo? I guasti elencati sopra avvengono tutti tra un controllo e l'altro. L'intervallo che conta è il tempo che passa da "il record si è rotto" a "qualcuno se n'è accorto", e con un processo manuale è lungo quanto ci mette il tasso di rimbalzo a spingere qualcuno a indagare. Il controllo giornaliero lo riduce a un giorno al massimo.

Un modo ragionevole per decidere:

1. Un dominio, modificato di rado, uno strumento di invio: probabilmente basta un controllo una tantum dopo ogni modifica.
2. Più domini, più mittenti, o più di una persona con accesso al DNS: un controllo giornaliero ripaga il suo costo la prima volta che qualcuno modifica un record senza dirtelo.
3. Domini parcheggiati o secondari da cui non invii mai: controllali ogni tanto, perché lì un record DMARC mancante o poco rigido è un invito allo spoofing.

Su cosa impostare un avviso#

Un avviso serve solo se è raro e preciso. I record per cui vale la pena svegliare qualcuno sono quelli in cui una modifica significa che la posta sta fallendo adesso. Come regola generale, li separeremmo così.

Da gestire in giornata:

• MX mancante o host MX che non si risolve più.
• SPF mancante, SPF pubblicato due volte, errore di sintassi o query oltre 10.
• DMARC mancante o non valido, compresi due record DMARC.
• Un selettore DKIM su cui fai affidamento che non restituisce più una chiave (il prodotto può segnalarlo solo per i selettori che gli hai indicato).

Da rivedere questa settimana:

• SPF a 9 o 10 query, a un'aggiunta dal fallire.
• DMARC ancora su p=none, oppure nessun indirizzo rua= a cui ricevere i report.
• Una chiave DKIM da 1024 bit, o una chiave ancora marcata come di test (t=y).
• Un qualificatore ?all, o il meccanismo ptr, sconsigliato, in SPF.

Informativi:

• Record MTA-STS e BIMI che compaiono o scompaiono.

Il monitoraggio check-up del dominio di Qualisend li riconduce a due livelli di gravità: 20 codici di problema su MX, SPF, DKIM e DMARC, ciascuno segnato come "bad" o "warn", e una valutazione del dominio che è semplicemente la gravità peggiore presente. Tutto ciò che sta nel primo elenco è "bad" e tutto ciò che sta nel secondo è "warn". Ti invia un'email quando un problema compare e quando rientra. Gli errori DNS come i timeout segnano il controllo come "impossibile da controllare" e non generano mai un avviso, così un problema del resolver non diventa un falso allarme. Un problema rientra dopo il secondo controllo pulito, quindi il via libera può arrivare con un ritardo fino a due giorni, a meno che tu non riesegua il controllo a mano.

Un punto di partenza e una routine#

Non serve una piattaforma per ottenere gran parte del valore. Fai questo una volta per dominio.

1. Annota i tuoi mittenti. Elenca ogni sistema che invia a nome del dominio: provider di posta, piattaforma di marketing, servizio transazionale, CRM, helpdesk, fatturazione. Ognuno dovrebbe essere riflesso in SPF e firmato con DKIM.
2. Esegui un controllo di partenza e salva il risultato. Annota il numero di query SPF, i selettori DKIM esistenti e la tua policy DMARC.
3. Registra i selettori DKIM usati da ogni mittente. I nomi dei selettori si dimenticano facilmente e sono difficili da indovinare in seguito. Come trovare un selettore DKIM mostra dove leggerli.
4. Pubblica un indirizzo per i report in DMARC, così i fallimenti lasciano una traccia. Leggere i report e il monitoraggio DMARC spiegano cosa farne.
5. Ricontrolla dopo ogni modifica al DNS e dopo aver aggiunto o rimosso qualsiasi strumento di invio, poi una volta al mese in ogni caso.

Se un dominio conta per il fatturato, quest'ultimo passaggio è quello che le persone smettono di fare ed è quello che il monitoraggio sostituisce.

Cosa il monitoraggio non vede#

Sii chiaro sui limiti, così da non affidarti a esso per la cosa sbagliata.

• Legge il DNS pubblico. Non invia email di prova, non osserva i tuoi messaggi in uscita reali e non misura il posizionamento nella inbox. Un record SPF può essere perfettamente valido e comunque non includere un mittente che hai dimenticato di aggiungere. Per vedere come si autentica un messaggio reale e cosa vede un server ricevente, usa il test di recapito email. Nemmeno quello misura il posizionamento nella inbox.
• DMARC viene interpretato; MTA-STS e BIMI sono controllati solo per la presenza. Non scarica il file della policy MTA-STS e non convalida il logo o il certificato BIMI.
• Sorveglia i domini, non gli IP di invio, e non modifica mai il tuo DNS. I problemi li risolvi presso il tuo host DNS.
• Giornaliero significa giornaliero. Una modifica viene rilevata entro 24 ore, non in tempo reale.
• Non ti dice chi invia a nome del tuo dominio. Per questo servono i report aggregati DMARC, e DMARC Reports è il prodotto separato costruito attorno a essi.

Il prezzo è fisso per livello alle tariffe standard: $8,99 al mese per un dominio, $89 fino a 10 e $499 fino a 60, senza crediti di mezzo e senza obbligo di acquistare altro.

Un'ultima cosa da tenere presente: gli standard evolvono. DMARC era definito nell'RFC 7489, che l'RFC 9989 ha reso obsoleto a maggio 2026, quindi se dipendi dal comportamento nei casi limite controlla il testo aggiornato.

Un DNS in salute fa sì che la tua posta sia considerata affidabile, ma non ripulisce la lista che c'è dietro. Il piano gratuito nella pagina dei prezzi include 100 crediti che eseguono la verifica completa su una lista, perché anche un dominio ben monitorato ha bisogno di una lista in salute per guadagnarsi la inbox.