Cos'è l'SPF e come si corregge il record SPF? (2026)

Q: Che aspetto ha un record SPF?

Un singolo record DNS TXT come v=spf1 include:_spf.google.com -all. Le voci include: sono i tuoi mittenti approvati; il -all alla fine respinge tutti gli altri.

Q: È meglio ~all o -all?

-all (hardfail) è più forte — indica ai destinatari di respingere i mittenti non elencati. ~all (softfail) di solito consegna comunque la posta. Al 2026-06-29, il 39,3% dei record SPF usa -all e il 55,8% usa ~all.

Pubblicato 2026-07-01

Dati aggiornati al 2026-06-29 · metodologia v7. Dati aggregati del censimento su 261 milioni di domini valutati. L’SPF (Sender Policy Framework) è un record DNS che elenca quali server sono autorizzati a inviare posta per il tuo dominio. Vedi come assegniamo i voti.

L’SPF è una singola riga nel tuo DNS che dice “questi server possono inviare email a mio nome — considera sospetto tutto il resto”. Sui 261 milioni di domini, il 53,21% pubblica un record SPF. Sembra un dato positivo, ma un record di per sé non ti protegge: è il qualificatore terminale a decidere se i mittenti non elencati vengono respinti o lasciati passare, e una grande quota di record è configurata in modo così permissivo da non cambiare nulla. Ecco cosa fa davvero l’SPF, gli errori che riscontriamo più spesso e come correggere il tuo.

Cos’è un record SPF?

Quando un server di posta riceve un messaggio che dichiara di provenire dal tuo dominio, consulta il tuo record SPF e verifica se il server mittente è nel tuo elenco di server approvati. Il record termina con un’istruzione per tutto ciò che non è nell’elenco:

-all (hardfail) — respingi i mittenti non elencati. È l’impostazione seria.
~all (softfail) — accetta ma contrassegna come sospetto. La maggior parte della posta viene comunque consegnata.
?all (neutro) — non fare nulla; equivale a non avere un’opinione.
+all — accetta qualsiasi messaggio da chiunque. È attivamente pericoloso e non dovrebbe mai essere pubblicato.

Dei 139 milioni di domini che pubblicano SPF, solo il 39,3% usa uno stretto -all, mentre il 55,8% usa il più permissivo ~all. E 36.014 domini pubblicano +all — un invito aperto che comunica al mondo che chiunque può inviare posta a loro nome.

Gli errori che compromettono silenziosamente l’SPF

Troppe ricerche DNS. L’SPF è limitato a 10 ricerche (RFC 7208); se lo superi, l’intero record va in errore “permerror” e viene ignorato. 7958 domini (0,01% di quelli con SPF) sforano questo limite — di solito concatenando troppe istruzioni include: per mittenti di terze parti.
Pubblicare +all. Raro ma catastrofico — disabilita completamente l’SPF e avvalla i falsari.
Presumere che l’SPF fermi l’impersonificazione. Da solo non lo fa. L’SPF verifica il percorso tecnico di invio, non l’indirizzo “Da” che una persona vede. Il 32,4% di tutti i domini pubblica SPF ma non ha DMARC — quindi il mittente visibile può comunque essere falsificato. L’SPF è la tubatura; l’applicazione del DMARC è la serratura. Vedi SPF senza DMARC.

Come si corregge il record SPF?

Pubblica un solo record SPF — un unico record TXT che inizia con v=spf1. Non pubblicarne mai due; è un fallimento automatico.
Elenca ogni mittente legittimo — il tuo provider di posta, la piattaforma di marketing, il CRM, l’helpdesk — usando i valori include: da loro documentati.
Termina con -all una volta che sei sicuro che l’elenco sia completo. Inizia con ~all se hai bisogno di un margine di sicurezza, poi restringi. Vedi correggi l’SPF.
Resta sotto le 10 ricerche — appiattisci o consolida gli include se sei vicino al limite.
Poi aggiungi il DMARC — l’SPF e il DKIM alimentano il DMARC, il controllo che impedisce davvero a qualcuno di inviare email a nome del tuo dominio.

Domande frequenti

Che aspetto ha un record SPF? Un singolo record DNS TXT come v=spf1 include:_spf.google.com -all. Le voci include: sono i tuoi mittenti approvati; il -all alla fine respinge tutti gli altri.

È meglio ~all o -all? -all (hardfail) è più forte — indica ai destinatari di respingere i mittenti non elencati. ~all (softfail) di solito consegna comunque la posta. Al 2026-06-29, il 39,3% dei record SPF usa -all e il 55,8% usa ~all.

L’SPF impedisce alle persone di falsificare il mio dominio? Non da solo. L’SPF non governa l’indirizzo “Da” visibile. Ti serve il DMARC impostato in modalità di applicazione. Il 32,4% dei domini ha SPF ma non DMARC e resta falsificabile.

Perché il mio record SPF “fallisce” anche se sembra corretto? Il più delle volte supera il limite di 10 ricerche e restituisce permerror. Il 0,01% dei domini con SPF incorre in questo problema. Riduci il numero di ricerche include:.

Correggere l’SPF è costoso? No — è una modifica DNS gratuita. Lo sforzo sta nel rendere completo e corretto l’elenco dei mittenti, non nel denaro.

Verifica gratis l’SPF del tuo dominio

Scopri il tuo record SPF, il suo qualificatore terminale e se è completo — in modo privato e riservato al solo proprietario.

Verifica il tuo dominio → · Correggi l’SPF → · Correggi il DMARC → · Come assegniamo i voti → · Solo dati aggregati. Dati archiviati ed elaborati nell’UE.