SPF: chi può spedire a nome del tuo dominio

L'SPF elenca i server che possono spedire a nome del tuo dominio. Come si legge il record, dove sta il limite delle dieci interrogazioni e come si corregge presso i provider italiani.

L'SPF è la lista degli invitati del tuo dominio: una riga nel DNS che dice quali server possono spedire messaggi con il tuo indirizzo nel mittente. Il server che riceve guarda da quale indirizzo IP è arrivato il messaggio e controlla se è in lista. Se non c'è, il messaggio non viene per forza buttato, ma parte in svantaggio: finisce più spesso nello spam e, insieme al DMARC, può essere respinto.

Scriverlo una volta è facile, tenerlo aggiornato no. Cambi il servizio newsletter, apri un negozio, aggiungi un gestionale che manda le fatture: ognuno va messo in lista. E siccome i servizi dismessi non li toglie mai nessuno, la lista cresce finché non sbatte contro un limite tecnico.

Com'è fatto il record

L'SPF è un record TXT pubblicato sul nome del dominio stesso. Un esempio realistico per un'azienda con le caselle su Aruba, la newsletter su Brevo e un server proprio per il gestionale:

esempio.it.  TXT  "v=spf1 include:_spf.aruba.it include:spf.brevo.com ip4:185.13.254.187 ~all"

Il finale può essere -all (rifiuta), ~all (sospetto), ?all (nessuna affermazione) o +all (chiunque). In pratica servono solo i primi due: ~all durante e subito dopo l'introduzione, -all quando sei sicuro che tutti i canali di invio sono elencati.

Di record SPF ne esiste uno solo per dominio. Se ne pubblichi due, chi riceve non ne sceglie uno: scarta l'SPF del tutto.

Il limite delle dieci interrogazioni

Qui l'SPF si rompe più spesso, e qui il guasto è meno visibile.

Valutando un record, il server ricevente può fare al massimo dieci interrogazioni DNS. Contano include:, a, mx, ptr, exists e redirect; non contano ip4: e ip6:. Contano anche quelle annidate: se includi un dominio che a sua volta contiene tre include:, hai speso quattro interrogazioni, non una. Superata la decima il risultato è permerror e il record viene trattato come se non ci fosse.

Quanto costano davvero alcuni blocchi diffusi in Italia — valori letti dal DNS il 16 settembre 2026, che cambiano quando i provider modificano i propri record:

Il conto si fa in fretta: caselle su Register.it (5), newsletter su SendGrid (2), un mx per il gestionale (1) e Mailchimp per il negozio (1) fanno nove. Un servizio in più e sei fuori.

Per rientrare, in ordine di efficacia: togli i servizi che non usi più — spesso basta questo; sposta la posta di massa su un sottodominio dedicato, che ha dieci interrogazioni tutte sue; sostituisci un include: con gli ip4: documentati dal servizio, sapendo che quella lista invecchia; elimina a, mx e soprattutto ptr se non servono.

Come si imposta

Il record va dove è gestita la zona DNS, che non è sempre dove sta la casella: se il dominio è registrato presso Aruba ma i nameserver puntano a Cloudflare, si scrive su Cloudflare. Negli altri pannelli cambiano i nomi delle voci, non la sostanza.

Su Aruba, il provider più diffuso in Italia:

1. Accedi all'area clienti e apri Gestione DNS e Domini.
2. Scegli il dominio e apri la gestione dei record DNS.
3. Cerca un record TXT che cominci con v=spf1. Se c'è, modificalo — non aggiungerne un secondo.
4. Se non c'è, crea un record TXT con nome vuoto (o @) e valore v=spf1 include:_spf.aruba.it ~all.
5. Nello stesso valore aggiungi i blocchi degli altri servizi, separati da uno spazio, prima di ~all.
6. Salva, aspetta da qualche minuto a qualche ora secondo il TTL, poi ripeti questa verifica.

I rilievi nel dettaglio

Nessun record SPF

Nel DNS non c'è alcun record TXT che cominci con v=spf1. Non esiste quindi un elenco di server autorizzati, e chi riceve non ha modo di distinguerti da chi ti imita. Conta due volte: la tua posta legittima viene filtrata più spesso e le falsificazioni passano senza ostacoli.

Che cosa fare. Fai l'inventario di tutto ciò che spedisce a nome del dominio — posta, newsletter, negozio, moduli del sito, gestionale, ticket — prendi i blocchi dalla tabella qui sopra e pubblica un unico record TXT chiuso con ~all.

Più record SPF

Ci sono due o più record TXT che cominciano con v=spf1. Lo standard ne ammette uno. Con due, chi riceve non sceglie il più recente né il più permissivo: dichiara errore e ignora l'SPF. Succede quando due persone aggiungono un servizio senza guardare che cosa c'era già.

Che cosa fare. Unisci i meccanismi in un record solo, togli i doppioni, tieni un solo v=spf1 e un solo meccanismo finale, poi cancella gli altri record. Subito dopo ricontrolla il conto delle interrogazioni: unendo due record si supera spesso la soglia.

SPF supera il limite di interrogazioni

La valutazione richiede più di dieci interrogazioni DNS, annidate comprese. Il risultato è permerror: il record esiste, è scritto bene e non ha alcun effetto. È il guasto più subdolo dell'SPF, perché guardando il record non si vede.

Che cosa fare. Nel referto trovi il conto voce per voce. Comincia togliendo i servizi dismessi; se non basta, sposta la posta di massa su un sottodominio con SPF proprio. Evita di appiattire a mano gli indirizzi dei grandi provider: cambiano senza avviso.

L'SPF termina con +all

Il record finisce con +all: qualunque server al mondo è autorizzato a spedire a nome di questo dominio. Il record c'è ma non protegge da nulla — dà anzi un via libera esplicito a chi falsifica.

Che cosa fare. Sostituisci +all con ~all, o con -all se tutti i canali di invio sono elencati. Capita che +all sia stato messo di fretta per sbloccare un servizio: in quel caso cerca il servizio vero e aggiungilo per nome.

L'SPF termina con ?all

?all significa «nessuna affermazione» sui server non elencati. I destinatari trattano il risultato come se il record non ci fosse: è un SPF di fatto disattivato.

Che cosa fare. Passa a ~all. Verifica poi, nei rapporti DMARC, che non ci sia un canale di invio dimenticato, e vai a -all.

SPF senza meccanismo finale

Il record non contiene nessun meccanismo all. Resta quindi aperto come debbano comportarsi i destinatari con i server non elencati: alcuni lo trattano come neutro, altri applicano regole proprie. Il comportamento non è prevedibile.

Che cosa fare. Aggiungi ~all in fondo, dopo tutti gli altri meccanismi. L'ordine conta: ciò che viene dopo il meccanismo all non viene mai valutato.

L'SPF usa ptr

Nel record c'è il meccanismo ptr, superato da oltre dieci anni: obbliga chi riceve a una risoluzione inversa lenta e facile da manipolare. Molti server non lo valutano, altri lo trattano come errore, e in ogni caso consuma una delle dieci interrogazioni.

Che cosa fare. Togli ptr e dichiara quei server in modo esplicito, con ip4: e ip6: se gli indirizzi sono fissi, oppure con a o mx.

L'SPF rimanda nel vuoto

Uno o più domini inclusi non restituiscono alcun SPF. Di solito è un servizio dismesso che non pubblica più nulla, o un nome scritto male — _spf.ionos.com è il caso tipico. Un include: vuoto è tollerato; da due in su l'intero record viene considerato errato.

Che cosa fare. Il referto dice quali include: non portano da nessuna parte: cancellali. Se il servizio ti serve ancora, prendi il nome corretto dalla sua documentazione, non da una guida di terzi.

Record SPF molto lungo

Il record supera i 255 caratteri e va quindi spezzato in più stringhe dentro lo stesso record TXT. È previsto, ma alcuni pannelli DNS spezzano male o aggiungono virgolette e spazi: il record finisce per leggersi diverso da come l'hai scritto.

Che cosa fare. Accorcia: togli i servizi non più in uso e valuta se una lunga fila di ip4: non stia meglio dietro a un sottodominio di invio. Dopo la modifica rileggi il record dall'esterno, non solo nella maschera del pannello.

L'SPF rimanda in circolo

Un dominio incluso rimanda, direttamente o dopo qualche passaggio, a un dominio già visitato. La valutazione si interrompe e il record è considerato errato. Succede quasi sempre quando due domini della stessa azienda si includono a vicenda per «tenerli allineati».

Che cosa fare. Decidi quale record è la fonte e fai in modo che l'altro non torni indietro. Se due domini devono avere lo stesso contenuto, scrivilo due volte, oppure usa redirect= in un solo verso.

Il dominio incluso ha più record SPF

Non è il tuo record a essere sbagliato, ma quello di un dominio che includi: ne pubblica due o più. Anche lì ne è ammesso uno solo, quindi quel ramo va in errore e trascina con sé il risultato.

Che cosa fare. Segnalalo a chi gestisce quel dominio: quasi sempre è un servizio che usi e che corregge in pochi minuti. Nel frattempo, se la posta ne risente, puoi sostituire quell'include: con gli indirizzi documentati dal servizio.

Elemento sconosciuto nel record SPF

Nel record c'è una parola che non fa parte dello standard. Cause tipiche: un frammento di un altro record TXT finito lì, un include scritto senza i due punti, un carattere invisibile incollato dal pannello di un altro provider.

Che cosa fare. Il referto indica l'elemento. Riscrivi il record a mano, in una riga sola, con un solo spazio tra i meccanismi, senza incollarlo da un documento formattato. Poi rileggilo dall'esterno.

Domande frequenti

Devo usare -all o ~all?

~all durante l'introduzione e per qualche settimana dopo: se hai dimenticato un canale, i messaggi passano lo stesso, con un piccolo svantaggio. -all quando i rapporti DMARC ti mostrano che non spedisce più nessuno da fuori lista. Per un dominio che non spedisce affatto, v=spf1 -all va bene fin da subito.

L'SPF vale anche per i sottodomini?

No, non si eredita: ogni sottodominio che spedisce ha bisogno del proprio record. È anche il motivo per cui spostare le newsletter su un sottodominio funziona bene — quel record ha le sue dieci interrogazioni da spendere.

Perché la mia posta finisce nello spam anche con l'SPF a posto?

Perché l'SPF è uno dei tre segnali. Senza firma DKIM manca il secondo, e dopo un inoltro l'SPF non regge più; senza DMARC manca l'istruzione. Contano poi la reputazione dell'IP che spedisce, il contenuto e — per la posta di massa — il comportamento dei destinatari.

Il mio provider ha cambiato indirizzi. Devo fare qualcosa?

Se nel record hai un include:, no: il provider aggiorna la sua lista e tu non tocchi niente. È il motivo per cui include: è preferibile agli ip4: scritti a mano, anche se costa un'interrogazione. Se invece li hai appiattiti per rientrare nel limite, quella lista va rivista a mano.