E-mail usa e getta Strumenti
Aggiornato il 29 ottobre 2026
Senza SPF, DKIM e DMARC, chiunque può inviare email che sembrano arrivare dal tuo dominio. Inserisci un dominio o un indirizzo: lo strumento legge la sua configurazione pubblica e ti dice con precisione cosa correggere.
Quando arriva un'email, il servizio di posta del destinatario consulta il DNS del dominio del mittente per capire se è autentica. Lo strumento legge esattamente gli stessi record pubblici:
| Record | Dove si trova | A cosa serve |
|---|---|---|
| MX | esempio.it | Indica i server che ricevono la posta del dominio |
| SPF | TXT di esempio.it | Elenca i server autorizzati a inviare a nome del dominio |
| DKIM | TXT di selettore._domainkey.esempio.it | Pubblica la chiave che verifica la firma dei messaggi |
| DMARC | TXT di _dmarc.esempio.it | Dice cosa fare di un messaggio che non supera i controlli e dove inviare i report |
| MTA-STS | TXT di _mta-sts.esempio.it | Impone la cifratura dei messaggi ricevuti (facoltativo) |
| BIMI | TXT di default._bimi.esempio.it | Mostra il logo del marchio in alcuni servizi di posta (facoltativo) |
Il punteggio su 100 riassume la protezione. SPF e soprattutto DMARC pesano di più, perché sono loro a impedire la falsificazione. MTA-STS e BIMI sono un bonus. DKIM viene contato solo se si trova una chiave o se indichi un selettore.
Ogni provider pubblica la propria chiave DKIM sotto un nome a sua scelta, il selettore: google per Google Workspace, selector1 e selector2 per Microsoft 365, altri nomi altrove. Il DNS non permette di elencare questi nomi. Lo strumento prova i più comuni; se non trova nulla, non significa che DKIM sia assente.
Per conoscere il tuo selettore, apri un'email inviata dal tuo dominio, mostra le intestazioni e cerca la riga DKIM-Signature: il valore dopo s= è il selettore, quello dopo d= il dominio che firma. L'analizzatore di intestazioni di Boxo ti aiuta a leggerle.
Il protocollo email permette di scrivere qualsiasi indirizzo nel campo «Da». Senza autenticazione, un truffatore può inviare false fatture o finti avvisi di cambio password che sembrano arrivare dalla tua azienda. Le vittime sono i tuoi clienti, e anche la tua reputazione.
L'altra posta in gioco è la consegna. Dal 2024 Gmail e Yahoo chiedono a chi invia email in grandi volumi di autenticare i messaggi con SPF, DKIM e DMARC. Anche per un piccolo dominio, un SPF assente o difettoso fa spesso finire i messaggi legittimi nello spam.
~all. I record proposti dallo strumento sono un punto di partenza da adattare.p=none** e un indirizzo rua, poi leggi i report per qualche settimana.p=quarantine, poi a p=reject** quando tutti i tuoi invii legittimi superano i controlli.Anche un dominio che non invia mai email, come un nome registrato solo per proteggere un marchio, va blindato: v=spf1 -all e v=DMARC1; p=reject;. Altrimenti resta un bersaglio ideale per la falsificazione, proprio perché nessuno lo controlla.
Le modifiche DNS richiedono da qualche minuto a qualche ora per diventare visibili. Poi ripeti l'analisi per verificare.
Ottieni un indirizzo usa e getta
No. Legge solo record DNS pubblici, gli stessi che qualsiasi servizio di posta consulta quando riceve un'email. Non viene inviato alcun messaggio.
Vanno bene entrambi quando DMARC è attivo. «~all» è più tollerante durante la configurazione, se hai dimenticato un servizio di invio. Una volta elencati tutti i mittenti, «-all» è più rigido.
È pubblicata sotto un selettore scelto dal tuo provider, che il DNS non permette di elencare. Indicalo nell'apposito campo: si trova dopo «s=» nell'intestazione DKIM-Signature di un'email inviata dal tuo dominio.
Sì, se uno dei tuoi servizi di invio non è autorizzato da SPF o firmato con DKIM. Per questo bisogna iniziare con «p=none» e leggere i report prima di rendere la policy più severa.