Un Sender Policy Framework (SPF) funziona come una guardia all'ingresso della hall. Fornisci una lista degli ospiti e la guardia accoglie quelli con i nomi sulla lista, mentre tutti gli altri aspettano l'approvazione o vengono respinti.
Ad esempio, un titolare di una piccola impresa di solito conosce i clienti e i fornitori per nome, e hai visto i loro loghi aziendali, il personale e altri identificatori. Tuttavia, gli scambi di email mancano di quei segnali visivi di legittimità.
Il vicepresidente al marketing di un’azienda di medie dimensioni può conoscere di vista solo alcuni dei clienti e dei fornitori. Pertanto, il vicepresidente si affida a un receptionist che filtri le chiamate e i visitatori, consentendo di parlare direttamente con il vicepresidente solo a quanti non possono essere aiutati da membri del personale junior.
Al contrario, il CEO o il titolare di un’azienda internazionale di import/export in genere parla solo con persone con cui ha appuntamenti presi con largo anticipo. Inoltre, tutti coloro che ottengono un appuntamento devono avere un motivo essenziale per l’intera azienda che solo il CEO può gestire, come può essere il caso di un cliente molto importante che ha un contratto complesso.
In ciascuna di queste situazioni, le aziende devono avere un modo per distinguere il mittente autentico. Altrimenti, se uno spammer, un truffatore o un bot ti impersona per ottenere accesso alla tua lista dei clienti o al tuo server email, la tua azienda potrebbe subire una perdita significativa in termini di reputazione. Il Sender Policy Framework fornisce tale fattore di distinzione.
Scopri maggiori informazioni sugli SPF, comprese le risposte alle domande come "Cos'è un record SPF" e "Come si crea un record SPF?", in modo da poter sfruttare questa misura di sicurezza per la tua azienda.
Cosa sono i record Sender Policy Framework?
Un record SPF è essenzialmente un sistema di verifica dell'identità digitale per le email. È una specifica riga di codice di testo (TXT) aggiunta ai record DNS del dominio che opera dietro le quinte per autenticare i mittenti di email e garantire che provengano da indirizzi IP autorizzati.
Quando è configurato correttamente, questo record informa i server di posta in arrivo che l'email proviene da origini legittime autorizzate a inviare email da determinati domini.
L'autenticazione SPF funziona creando un elenco di indirizzi IP e nomi di server approvati che sono autorizzati a inviare email utilizzando il tuo dominio. Quando qualcuno riceve un'email che afferma di provenire dal tuo dominio, il suo server di posta elettronica controlla automaticamente questo record SPF per verificare che il server mittente sia nella lista dei server approvati.
Ecco come funziona ogni elemento:
- Identificazione del mittente: il record SPF consente ai server dei Destinatari di Confermare che un’email proviene veramente da una Origine autorizzata e non da qualcuno che tenta di falsificare il tuo dominio. Questa verifica avviene in modo invisibile durante la consegna delle email.
- Verifica del mittente: i sistemi di posta elettronica possono verificare automaticamente se l'indirizzo IP del server di posta mittente corrisponde a quanto elencato nel tuo record SPF, impedendo ai server non autorizzati di impersonare correttamente il tuo dominio nelle email.
- Verifica del percorso di ritorno: l'SPF fornisce un percorso affidabile per tornare all’origine autentica se i destinatari hanno domande sul messaggio o dubbi su come vengono utilizzate le loro informazioni, migliorando la responsabilità.
Implementando i record SPF, stai essenzialmente dicendo al mondo esattamente quali server sono autorizzati a inviare email per conto del tuo dominio, creando un primo fondamentale livello di sicurezza delle email e di autenticazione del mittente.
Limiti dell'SPF: cosa non può fare
Sebbene i record del Sender Policy Framework aiutino i titolari di domini a proteggere le loro comunicazioni email, questo protocollo di autenticazione delle email presenta dei limiti che è importante conoscere. L'SPF da solo non è una soluzione di sicurezza completa.
I suoi limiti includono:
- Nessuna capacità di crittografia: quando i server di posta in arrivo eseguono l'autenticazione SPF, verificano solo l'autenticità del mittente ma non proteggono il contenuto effettivo dei messaggi. Chiunque intercetti le tue email può comunque leggerle se non usi una crittografia aggiuntiva.
- Nessuna funzionalità di privacy: questi record non nascondono i metadati delle email né proteggono le informazioni sensibili nei messaggi. Verificano semplicemente che un'email provenga da un server di posta autorizzato.
- Interruzioni durante l'inoltro: quando qualcuno inoltra la tua email, la convalida SPF ha esito negativo perché l'indirizzo IP del server di invio dello spedizioniere diventa il nuovo mittente. Ciò significa che i messaggi inoltrati legittimi potrebbero essere contrassegnati come sospetti.
- Nessuna funzionalità di reporting: a differenza di protocolli più avanzati, l'SPF non genera report su chi sta cercando di falsificare il dominio né fornisce dati analitici sui problemi di consegna legati all’autenticazione.
- Insufficiente come soluzione autonoma: la ricerca DNS eseguita durante i controlli SPF è solo un livello di sicurezza delle email. Gli aggressori intelligenti possono trovare un modo per aggirare la protezione basata solo su SPF, motivo per cui gli esperti consigliano di implementarla insieme a DKIM e DMARC per garantire una protezione completa.
- Ambito di protezione limitato: l'SPF verifica solo il server di invio, non il contenuto effettivo delle email. Ciò significa che gli attacchi di phishing con contenuti dannosi possono ancora superare i controlli SPF se inviati da server autorizzati.
Cosa devi sapere su SPF?
L’implementazione dei record SPF indica ai server di posta elettronica dei destinatari che il messaggio non è una simulazione, un raggiro o un tentativo di truffa. Prendendo il tempo per incorporare i record SPF nelle impostazioni del dominio, si crea un processo di verifica che aumenta la fiducia e riduce la resistenza ai messaggi.
Quando i messaggi affermano di provenire dal tuo dominio protetto da SPF ma invece provengono da server non autorizzati, non supereranno i controlli di autenticazione SPF: questo protegge sia la reputazione del tuo brand che i tuoi destinatari da potenziali truffe.
Questo sistema di verifica è particolarmente importante per gestire la posta in arrivo, poiché fornisce un ulteriore livello di controllo di sicurezza prima che i messaggi raggiungano le caselle di posta.
Ecco le cose più importanti da sapere sull'SPF:
- Verifica dell'Indirizzo IP: un record SPF è essenzialmente un elenco pubblicato di indirizzi IP autorizzati a inviare email per conto del tuo dominio, che fornisce istruzioni chiare ai provider di posta elettronica sulla gestione dei tuoi messaggi in uscita.
- Miglioramento della consegna: il record SPF fornisce un livello di protezione che rende più probabile che i messaggi legittimi raggiungano la casella di posta del destinatario anziché essere contrassegnati come spam.
- Nessuna funzione di crittografia: sebbene l'SPF verifichi l'autenticità del mittente, non crittografa il contenuto del messaggio né protegge la privacy delle informazioni al suo interno.
- Visibilità dell'intestazione: i risultati della verifica SPF appaiono nelle intestazioni complete dei messaggi di posta elettronica, permettendo ai destinatari di controllare manualmente l'autenticazione, se necessario.
- Segnalazione di fiducia: il dominio SPF elencato per primo nel tuo meccanismo "include" dimostra che hai preso le precauzioni minime per proteggere sia i tuoi dati aziendali che i tuoi destinatari da potenziali minacce basate sulle email.
Confronto tra SPF, DMARC e DKIM
L'Internet Engineering Task Force ha pubblicato l'attuale protocollo SPF nel documento RFC 7208 nell'aprile 2014. Lo scopo era quello di creare un consenso su come impedire ad hacker e phisher di inviare email che fanno finta di provenire da un’organizzazione nota e affidabile.
Tale consenso è diventato spf1 e, da quel momento in poi, v=spf1 è diventato il formato standard per la dichiarazione iniziale di ogni record SPF. Tuttavia, l’inoltro di un messaggio invalida l'SPF. Di conseguenza, sono entrate in gioco due strategie aggiuntive: DKIM e DMARC.
Cos'è DKIM?
DKIM è l’acronimo di DomainKeys Identified Mail. Come SPF, DKIM è un record TXT nel DNS. Tuttavia, i record DKIM rimangono validi anche quando vengono inoltrati. Gli attuali standard DKIM sono emersi dagli sforzi di Yahoo! e Cisco, che hanno creato ciascuno i propri standard di autorizzazione delle email.
Immagina che DKIM sia come il sigillo di cera che in passato veniva applicato ai documenti ufficiali. Questi sigilli di cera erano riconoscibili; se un messaggio arrivava con un sigillo mancante o rotto, non era considerato affidabile.
Ogni server di invio email ha un DKIM a due componenti: la chiave DKIM privata e la chiave pubblica. Ogni server di destinazione accede alla metà pubblica della chiave. Il server di posta elettronica ricevente esegue una ricerca nel record TXT del DNS quando invii il messaggio email.
Se il server email trova la chiave DKIM pubblica, apre la firma DKIM. Se la firma nel messaggio corrisponde alla firma pubblicata nel DNS, il server email ricevente considera valido il messaggio. In caso contrario, il messaggio viene respinto, il che significa che non raggiunge la casella di posta del destinatario previsto.
Pertanto, il messaggio potrebbe non essere consegnato, finire nella cartella dello spam o essere trasferito in un’altra cartella impostata dall’utente per gestire tali messaggi.
Il formato corretto per i record DKIM è il seguente:
