Un dominio può avere due record SPF? No — un milione di domini ha appena annullato il proprio (2026)

Q: Sono ammessi più record SPF?

No. La RFC 7208 permette esattamente un record v=spf1 per dominio; due o più causano un errore permanente che annulla SPF completamente. 1.013.416 domini si trovano in questo stato al 2026-06-29.

Q: Come combino due record SPF in uno?

Un solo record, che inizia con v=spf1, contenente ogni meccanismo include: e IP di tutti quanti, che termina con un singolo -all o ~all. Elimina quelli in eccesso, poi verifica che il conteggio delle ricerche sia sopravvissuto all'unione.

Pubblicato 2026-07-03

Dati aggiornati al 2026-06-29 · metodologia v7. Censimento aggregato su 261 milioni di domini classificati. Tutte le cifre sono aggregate — mai il record di una singola azienda. Vedi come classifichiamo.

No — un dominio può pubblicare esattamente un solo record SPF, e sbagliarlo disattiva SPF completamente: 1.013.416 domini attualmente ne pubblicano due o più, cosa che secondo la RFC 7208 rende invalidi tutti i record SPF di un dominio. Non il più recente, non il più vecchio — tutti quanti. Un ricevente che trova più record v=spf1 deve restituire un errore permanente, il che significa nessuna protezione SPF affatto, su un dominio che al suo proprietario sembra avere il doppio della protezione.

Perché due record SPF equivalgono a zero?

Lo standard è categorico: la policy SPF di un dominio deve essere un singolo record TXT che inizia con v=spf1 (RFC 7208 §3.2; il risultato di errore è prescritto nel §4.5). Se una ricerca ne trova più di uno, il ricevente non può sapere quale sia autoritativo — quindi lo standard vieta di indovinare. I riceventi conformi allo standard devono restituire PermError: la valutazione fallisce in modo permanente.

E un PermError non è neutrale. DMARC lo tratta come un fallimento sul ramo SPF — quindi un dominio che ha duplicato il proprio record ha annullato la sua protezione e ha penalizzato l’autenticazione della propria posta legittima. È uno dei pochissimi errori DNS in cui aggiungere protezione la rimuove (pubblicare due record DMARC fa la stessa cosa a DMARC).

Circa 1 dominio su 138 tra quelli che tentano di usare SPF si è fatto questo da solo.

Come succede? Il copia-incolla dell’onboarding

Quasi nessuno scrive un secondo record SPF di proposito. Succede il giorno in cui aggiungi uno strumento email:

Il tuo dominio ha già v=spf1 include:spf.protection.outlook.com -all dal tuo provider di caselle di posta.
Ti registri a una piattaforma di newsletter, un CRM o uno strumento di fatturazione.
La sua guida di configurazione dice: “Aggiungi questo record TXT al tuo DNS: v=spf1 include:newtool.example.com ~all.”
Fai esattamente quello che dice — lo aggiungi, accanto a quello vecchio.

Ora esistono due record, ed entrambi sono nulli. La guida diceva “aggiungi”, e aggiungere è l’unica cosa che lo standard non consente; la mossa corretta — unire il nuovo include: nel record esistente — non è menzionata da quasi nessun flusso di onboarding.

Il guasto è invisibile dal pannello DNS: entrambi i record sembrano individualmente ben formati, e la posta per lo più arriva comunque perché i riceventi ripiegano su altri segnali. Niente ti avvisa finché non arriva uno spoof o le consegne calano.

Come controllarlo e risolverlo — due minuti, gratis

Cerca i record TXT del tuo dominio (dig TXT yourdomain.com, oppure usa il nostro controllo gratuito).
Conta i record che iniziano con v=spf1. L’unico numero sicuro è 1.
Se ne hai di più: uniscili — ogni meccanismo include: e ip4:/ip6: in un unico record con un solo qualificatore terminale (vedi ~all vs -all) — ed elimina il resto.

Before:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

After:   v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Mentre unisci, tieni d’occhio il limite di 10 ricerche — troppi meccanismi include: rompono SPF in un altro modo.

Domande frequenti

Sono ammessi più record SPF? No. La RFC 7208 permette esattamente un record v=spf1 per dominio; due o più causano un errore permanente che annulla SPF completamente. 1.013.416 domini si trovano in questo stato al 2026-06-29.

Il secondo record SPF ha la precedenza sul primo? Nessuno dei due vince. Un ricevente che trova più record deve far fallire la valutazione anziché sceglierne uno — quindi smettono tutti di funzionare in una volta sola.

Come combino due record SPF in uno? Un solo record, che inizia con v=spf1, contenente ogni meccanismo include: e IP di tutti quanti, che termina con un singolo -all o ~all. Elimina quelli in eccesso, poi verifica che il conteggio delle ricerche sia sopravvissuto all’unione.

Perché la mia email funziona ancora con due record SPF? I riceventi che incontrano l’errore di solito proseguono senza SPF, quindi la tua posta viaggia sulla reputazione e su DKIM. Ciò che hai perso è la protezione — niente respinge un falsario — e le tue valutazioni DMARC perdono il loro ramo SPF. Posta funzionante e SPF funzionante sono cose diverse.

Verifica se il tuo dominio è uno del milione

Un’occhiata di 30 secondi o ti scagiona o ti consegna un’unione di due minuti.

Controlla il tuo dominio → · Correggi SPF → · Il report SPF PermError → · Il modello di maturità SPF → · Solo dati aggregati. Dati archiviati ed elaborati nell’UE.