Come configurare SPF, DKIM e DMARC su Cloudflare

Cloudflare è uno dei servizi più usati per gestire il DNS di un dominio, e configurarvi SPF, DKIM e DMARC si riduce ad aggiungere tre record TXT nel posto giusto e con i nomi giusti. I record sono identici a prescindere da chi ospita il tuo DNS: da un provider all'altro cambiano dove si trova l'editor e cosa scrivi nel campo del nome. Questa guida spiega esattamente questo per Cloudflare: come raggiungere l'editor dei record DNS, cosa inserire nel campo Name per il dominio radice, per il selettore DKIM e per _dmarc, più i dettagli specifici di Cloudflare che vale la pena conoscere, come il fatto che la nuvola arancione del proxy non tocca mai i record TXT.

In breve#

Tutti e tre i record di autenticazione sono record TXT che aggiungi in DNS → Records nella dashboard di Cloudflare. Le uniche differenze tra loro sono il campo Name e la provenienza del valore:

• SPF: Name @ (il tuo dominio radice). Il valore inizia con v=spf1 ed elenca i servizi autorizzati a inviare per te. Pubblica esattamente un record SPF.
• DKIM: Name <selector>._domainkey. Il selettore e il lungo valore della chiave pubblica arrivano entrambi dal tuo provider di posta: non te li inventi mai.
• DMARC: Name _dmarc. Il valore inizia con v=DMARC1. Parti da p=none, così monitori prima di passare all'applicazione della policy.

Se prima di toccare il DNS vuoi farti un quadro di come si combinano i tre record, leggi SPF, DKIM e DMARC spiegati. Questo articolo è la guida pratica per Cloudflare.

Dove si trovano i record DNS su Cloudflare#

Accedi alla dashboard di Cloudflare e seleziona il dominio che vuoi configurare: Cloudflare chiama ogni dominio zone. Nella barra laterale sinistra, apri DNS → Records. Quella singola schermata contiene tutti i record DNS del dominio, e il pulsante blu Add record in alto è il punto di partenza per tutte e tre le voci. Quando ci fai clic, imposta Type su TXT per ciascuna.

Cloudflare ridisegna periodicamente la sua dashboard, quindi il raggruppamento della navigazione a sinistra e le etichette dei pulsanti potrebbero essere cambiati quando leggerai questa guida. Quello che non cambia è la sostanza dell'operazione: dopo aver selezionato il dominio, cerca un'area DNS o Records, poi aggiungi un record di tipo TXT. Se la tua schermata non corrisponde esattamente a questa descrizione, è quella la sezione da cercare.

Un prerequisito che trae in inganno molti: questi record hanno effetto solo se il tuo dominio usa davvero i nameserver di Cloudflare. Se hai registrato il dominio altrove e hai solo puntato un sottodominio o un proxy verso Cloudflare, il DNS autoritativo potrebbe trovarsi ancora presso il registrar, e in tal caso i record aggiunti qui non hanno alcun effetto. Prima di iniziare, conferma che lo stato del dominio risulti attivo su Cloudflare.

Configurare SPF, DKIM e DMARC su Cloudflare#

Ecco tutto il lavoro a colpo d'occhio: le tre righe che creerai, con il campo Name che Cloudflare si aspetta e la provenienza di ogni valore.

Le sezioni seguenti li affrontano uno alla volta.

Aggiungere il record SPF#

Fai clic su Add record, imposta Type su TXT e nel campo Name inserisci @. Su Cloudflare, @ è l'abbreviazione della radice della zona, cioè il dominio stesso, che è esattamente dove deve trovarsi SPF. Puoi anche scrivere il dominio completo e Cloudflare lo normalizzerà, ma @ è la forma abituale.

Incolla la stringa SPF nel campo Content. Un esempio con un solo mittente ha questo aspetto:

Type:    TXT
Name:    @
Content: v=spf1 include:_spf.google.com ~all

La parte che cambia sono i meccanismi include:: ogni servizio di invio (Google Workspace, Microsoft 365, il tuo ESP, il tuo CRM) ti dice quale aggiungere. La regola cruciale, che vale anche fuori da Cloudflare: un dominio può avere un solo record SPF. Se hai già un record TXT v=spf1 su @ e devi autorizzare un altro mittente, modifica il record esistente aggiungendo il nuovo include:, e non creare un secondo record SPF, perché due record v=spf1 sul dominio radice si invalidano a vicenda. Se stai riunendo più mittenti in una sola riga, il generatore di record SPF crea per te un unico record valido. Lascia TTL su Auto a meno che tu non abbia un motivo specifico per cambiarlo.

Aggiungere il record DKIM#

DKIM è l'unico record che non puoi scrivere a mano, perché entrambe le parti arrivano dal tuo provider di posta: un selettore (un'etichetta breve come google, s1, k1 o selector1) e una chiave pubblica (una lunga stringa che inizia con v=DKIM1; k=rsa; p=…). Prima generali o copiali dalla console di amministrazione del provider.

Su Cloudflare, aggiungi un record TXT e imposta il campo Name sul selettore seguito da ._domainkey, ad esempio google._domainkey. Non aggiungere il tuo dominio: Cloudflare aggiunge automaticamente il nome della zona, e se lo scrivi anche tu ottieni un hostname raddoppiato come google._domainkey.example.com.example.com. Incolla la chiave del provider in Content esattamente come te l'ha data:

Type:    TXT
Name:    google._domainkey
Content: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQ...

Due note su Cloudflare. La prima: alcuni provider ti danno un CNAME per DKIM anziché un record TXT (è comune con gli ESP che ruotano le chiavi per te). Se è il tuo caso, scegli Type: CNAME e incolla l'hostname di destinazione che ti forniscono al posto di un valore v=DKIM1: segui il tipo di record indicato dal tuo provider. La seconda: le chiavi DKIM sono lunghe, e un tempo su alcuni provider DNS i valori TXT lunghi andavano divisi a mano in blocchi tra virgolette. Cloudflare gestisce la lunghezza per te, quindi incolla l'intera chiave come un solo valore e non aggiungere virgolette o interruzioni di riga.

Aggiungere il record DMARC#

Aggiungi un altro record TXT. Nel campo Name inserisci _dmarc: anche qui, solo _dmarc, non _dmarc.example.com. Il valore indica ai server riceventi cosa fare con la posta che non supera l'autenticazione e dove inviarti i report. Parti in modalità di monitoraggio:

Type:    TXT
Name:    _dmarc
Content: v=DMARC1; p=none; rua=mailto:dmarc@example.com

La policy p=none per ora non applica nulla: attiva semplicemente i report aggregati giornalieri che rendono possibile un'attivazione sicura. Crea il valore con il generatore di record DMARC così i tag sono corretti, poi pubblicalo e lascialo su p=none mentre leggi ciò che ricevi. Quando i report mostrano che tutti i mittenti legittimi si autenticano, passa la policy a quarantine e poi a reject. La sequenza completa, e come leggere quei report XML, è trattata in come configurare DMARC e in come leggere i report DMARC. Pubblicare p=none insieme a SPF e DKIM è anche la base richiesta ai mittenti di grandi volumi dai requisiti per i mittenti di Google e Yahoo. I report DMARC di Qualisend ti danno un indirizzo di report da inserire in rua=, poi mostrano ogni sorgente di invio con i suoi conteggi di superamento e fallimento.

La nuvola arancione e i record TXT#

Chi è alle prime armi con Cloudflare spesso si preoccupa dell'interruttore del proxy con la nuvola arancione, l'impostazione che fa passare il traffico attraverso Cloudflare. Qui non c'entra. Il proxy compare solo per i record che si risolvono in un indirizzo (record A, AAAA e CNAME); i record TXT sono sempre DNS only e mostrano una nuvola grigia senza alcun interruttore da azionare. È corretto e previsto. SPF, DKIM e DMARC sono pure ricerche DNS, quindi non c'è nulla da far passare dal proxy e nulla che tu possa configurare male su quel fronte. Se hai aggiunto un CNAME DKIM, potresti vedere l'opzione della nuvola arancione: imposta quel record su DNS only (nuvola grigia), così la destinazione si risolve senza problemi per il server di posta ricevente.

L'altro vantaggio di Cloudflare è la velocità. La sua rete DNS propaga le modifiche con una rapidità insolita: i record nuovi o modificati sono in genere attivi in tutto il mondo entro un minuto o due, a differenza dell'avviso "fino a 48 ore" che trovi citato per il DNS in generale. In pratica puoi aggiungere un record e controllarlo quasi subito, anche se conviene comunque attendere qualche minuto prima di cercare il problema in un record che sembra sbagliato.

Verifica i record#

Quando tutti e tre sono pubblicati, conferma che si risolvano e superino i controlli. Analizza il tuo dominio con lo strumento di controllo SPF, DKIM e DMARC, che ti dice se ogni record è presente, sintatticamente valido e raggiungibile. Poi invia un'email di prova a un account Gmail e apri Show original: devi vedere spf=pass, dkim=pass e dmarc=pass. Se SPF fallisce, ricontrolla di avere un solo record v=spf1 e che contenga l'include: del mittente. Se fallisce DKIM, il colpevole abituale è un errore di battitura nel selettore nel campo Name o un dominio aggiunto per sbaglio. Se DMARC non viene trovato, assicurati che Name sia esattamente _dmarc.

Tieni presente il limite: l'autenticazione dimostra chi sei, non che sei un buon mittente. Record puliti e ben autenticati fanno sì che i tuoi messaggi vengano presi in considerazione per la posta in arrivo, ma sono la reputazione e la qualità della lista a decidere il posizionamento: la guida alla deliverability delle email tratta le altre leve.

Errori comuni su Cloudflare#

• Un secondo record SPF. Aggiungere un nuovo TXT v=spf1 invece di modificare quello esistente. Unisci tutti i mittenti in un solo record su @.
• Aggiungere il dominio nel campo Name. Scrivere _dmarc.example.com o google._domainkey.example.com produce un hostname raddoppiato. Inserisci solo _dmarc e google._domainkey: al resto pensa Cloudflare.
• Modificare il DNS nel posto sbagliato. Se il DNS autoritativo è ancora presso il registrar, i record aggiunti su Cloudflare non si applicano. Per prima cosa conferma che il dominio usi i nameserver di Cloudflare.
• Inventarsi un valore DKIM. Il selettore e la chiave pubblica devono arrivare dalla console del tuo provider di posta: sul lato Cloudflare non c'è nulla da generare.
• Portare subito DMARC a p=reject. Pubblica p=none, osserva i report, poi fai il passo successivo. Passare all'applicazione della policy prima del monitoraggio può mandare nello spam la tua stessa posta.

Con SPF, DKIM e DMARC attivi su Cloudflare, ti sei guadagnato il diritto di essere preso in considerazione per la posta in arrivo: ora assicurati che la lista dietro a quei record se lo meriti. La verifica email gratuita individua domini inesistenti ed errori di battitura prima che rimbalzino, e gli altri strumenti gratuiti ti aiutano a mantenere in forma la tua autenticazione e l'igiene della lista.