Come configurare il record SPF di Google Workspace per una deliverability email professionale

Anche se configurare un record SPF per Google Workspace potrebbe sembrare semplice come pubblicare un singolo record DNS TXT, ci sono considerazioni tecniche cruciali da tenere a mente. Dalla comprensione del ruolo di SPF nell'autenticazione email all'evitare errori comuni di configurazione come record SPF multipli o il superamento dei limiti di lookup DNS, i dettagli contano.

In questa guida, ti forniremo un approccio chiaro e passo dopo passo per configurare SPF per Google Workspace, assicurando che le tue email superino l'autenticazione, migliorando il posizionamento nella inbox e supportando protocolli aggiuntivi come DKIM e DMARC.

Cos'è un record SPF per Google Workspace?

Un record SPF per Google Workspace è una voce DNS TXT che indica ai server riceventi quali server di posta sono autorizzati a inviare email per conto del tuo dominio Google Workspace. Senza un record SPF, Gmail e Outlook non possono verificare l'autenticità delle tue email, il che aumenta la probabilità che i tuoi messaggi vengano contrassegnati come spam o utilizzati in attacchi di spoofing. 

In parole semplici, se possiedi un dominio come yourcompany.com e invii email tramite Google Workspace, un record SPF dimostra ai server riceventi che i server di posta di Google sono autorizzati a inviare messaggi per conto del tuo dominio.

SPF è uno dei tre protocolli principali di autenticazione email, insieme a DKIM e DMARC, che insieme migliorano l'autenticazione dei messaggi e il posizionamento nella inbox.

Come funziona SPF

SPF funziona confrontando l'indirizzo IP del server che ha inviato il tuo messaggio con l'elenco dei mittenti autorizzati pubblicato nei record DNS del tuo dominio.

Ecco un flusso semplificato:

1. Un utente invia un'email tramite Google Workspace.
2. Il server di posta del destinatario (ad esempio, Gmail o Outlook) interroga i record DNS del tuo dominio per una voce SPF.
3. Se l'indirizzo IP di invio o il servizio di invio è elencato, il messaggio supera il controllo SPF e procede al processo di filtro della inbox.
4. Se non è elencato, il messaggio non supera la validazione SPF e potrebbe essere contrassegnato come spam, messo in quarantena o rifiutato dal server di posta del destinatario.
   
   

Esempio di record SPF di Google Workspace:

v=spf1 include:_spf.google.com ~all

Questo record significa:

• v=spf1 → versione di SPF utilizzata
• include:_spf.google.com → autorizza i server di posta di Google
• ~all → softfail per tutto ciò che non è elencato (segnalato come sospetto ma non bloccato del tutto)

Componenti comuni dei record SPF 

Quando configuri o risolvi problemi con i record SPF, vedrai spesso questi meccanismi comuni:

• include → fa riferimento a un altro record SPF (es. include:_spf.google.com)
• ip4 / ip6 → permette a un indirizzo IPv4 o IPv6 specifico di inviare email
• a → autorizza i server di posta definiti nel record A del tuo dominio
• mx → autorizza i mail exchanger del tuo dominio
• all → corrisponde a tutto (deve apparire alla fine)
• ~all → “softfail,” la posta non autorizzata viene accettata ma segnalata
• -all → “hardfail,” la posta non autorizzata viene rifiutata 

Perché Google Workspace richiede la configurazione SPF

Senza un record SPF, il tuo dominio Google Workspace è esposto. Attori malintenzionati possono falsificare il tuo indirizzo email, lanciare attacchi di phishing a tuo nome o impersonare il tuo brand di fronte ai clienti. Quando i provider di caselle di posta come Gmail o Outlook non riescono a verificare che un messaggio provenga dal tuo dominio, i messaggi legittimi potrebbero finire nella cartella spam. Questo è uno dei più comuni problemi di deliverability delle email che le organizzazioni incontrano quando manca l'autenticazione email di base.

Ecco perché SPF è più di una semplice impostazione tecnica. Configurarlo dice ai provider: “Sì, questi sono i server autorizzati a inviare per il mio dominio.” Il risultato è una migliore reputazione del mittente, tassi di posizionamento nella posta in arrivo più elevati e allineamento con gli standard di autenticazione attesi dai provider di caselle di posta.

Passo dopo passo: come configurare SPF per Google Workspace

Prima di modificare le impostazioni DNS, esamina prima questi prerequisiti. Molti problemi di deliverability derivano da mittenti omessi nei record SPF o dalla pubblicazione di più record SPF per lo stesso dominio. Google Workspace semplifica il processo, ma devi affrontare questi requisiti di configurazione prima di modificare il DNS.

Cosa sapere in anticipo:

• Alcuni domini hanno già SPF preconfigurato, specialmente se li hai acquistati tramite un partner Google. Verifica i record esistenti utilizzando uno strumento di ricerca/validazione SPF (es. un SPF checker o Google Admin Toolbox) prima di apportare modifiche.
• I record SPF vengono configurati presso il tuo provider DNS (registrar di dominio o host DNS), non nella console di amministrazione di Google. Aggiungi o aggiorna il record SPF TXT tramite il pannello di controllo del tuo provider DNS (es. GoDaddy, Cloudflare, Namecheap).
• È consentito un solo record SPF TXT per dominio; la pubblicazione di più record SPF causa il fallimento della valutazione SPF.

Passo 1: Identifica tutti i mittenti email

Il tuo record SPF deve includere ogni server o servizio che invia email per conto del tuo dominio. Per i domini che usano solo Google Workspace, questo potrebbe essere l'unico mittente. Nella maggior parte delle organizzazioni, però, deve tenere conto anche di mittenti aggiuntivi, come:

• Server web
• Server di posta on-premise (ad esempio, Microsoft Exchange)
• Server di posta usati dal tuo provider di hosting
• Gateway in uscita
• Piattaforme CRM e di outreach (Salesforce, HubSpot, MailReach, Apollo, ecc.)
• Piattaforme di marketing (ad esempio, Mailchimp, SendGrid)
• Strumenti transazionali (Shopify, Stripe, Zendesk)
• Moduli del sito web che inviano email automatiche

Passo 2: Definisci il tuo record SPF

Una volta che hai la lista completa dei mittenti, crea il tuo record SPF. Un record SPF è una breve stringa di testo pubblicata nelle impostazioni DNS del tuo dominio. Indica ai provider di mailbox quali server sono autorizzati a inviare email per conto del tuo dominio.

Il tuo compito è combinare tutti i domini e gli indirizzi IP dal tuo inventario mittenti in un unico record SPF, assicurandoti che nessun mittente legittimo venga omesso. È consentito un solo record SPF TXT per dominio; pubblicare più record SPF fa sì che la valutazione SPF fallisca.

Se usi anche altre piattaforme come Mailchimp, Salesforce o Microsoft 365, devi unirle in un'unica stringa in modo che tutti i tuoi servizi siano coperti.

Ad esempio:

Ricorda sempre: ci dovrebbe essere un solo record SPF.

Passo 3: Aggiungi il tuo record SPF presso l'host del dominio

• Accedi al tuo provider DNS o registrar di dominio (ad esempio, Cloudflare, GoDaddy, Namecheap). Vai alla pagina di gestione DNS per i record TXT. Crea o aggiorna il record SPF con:
  • Tipo: TXT
  • Host/Nome: @ (o il tuo dominio, ad esempio, example.com)
  • Valore: la tua stringa SPF (ad esempio, v=spf1 include:_spf.google.com ~all)
• Salva il record e attendi la propagazione DNS. Le modifiche di solito appaiono entro pochi minuti o qualche ora; concedi fino a 48 ore. Ripeti il processo per qualsiasi dominio o sottodominio aggiuntivo che utilizzi per inviare email. (Assicurati di non pubblicare più record SPF per lo stesso dominio. Unisci i mittenti in un unico record.)

Passo 4: Scegli tra softfail (~all) e hardfail (-all)

Alla fine di ogni record SPF, vedrai ~all o -all. Questo controlla come i provider di mailbox gestiscono la posta da server non autorizzati.

Problemi SPF di Google Workspace e come risolverli

Anche con l'SPF configurato, i messaggi possono comunque fallire l'autenticazione, essere rifiutati o finire nello spam. Usa le guide qui sotto per diagnosticare e risolvere i problemi di configurazione senza ripetere la regola del “un solo record SPF” trattata in precedenza. I problemi SPF irrisolti possono anche portare a tassi di bounce delle email più elevati e aumentare il rischio di hard bounce e soft bounce, entrambi i quali danneggiano la tua reputazione di mittente.

Propagazione DNS e DNS Caching

Dopo aver aggiunto o aggiornato l'SPF, i risultati non sono immediati. Le modifiche DNS possono impiegare fino a 48 ore per propagarsi. I server di posta e gli strumenti possono anche memorizzare nella cache le ricerche.

Il tuo nuovo record TXT non si è ancora propagato, o un server del destinatario sta usando un risultato DNS memorizzato nella cache.

Come risolverlo:

• Aspetta la propagazione DNS. La maggior parte delle modifiche si stabilizza entro poche ore, ma concedi fino a 48 ore.
• Riduci il TTL del DNS prima di modifiche importanti, così gli aggiornamenti si propagano più velocemente.
• Riprova usando più strumenti di controllo DNS per evitare di fare affidamento su una singola visualizzazione memorizzata nella cache. 

Limite di ricerca DNS superato

SPF consente un massimo di 10 ricerche DNS. Ogni include:, mx, a, exists, ptr o redirect può aumentare questo conteggio, incluse le ricerche annidate all'interno dell'SPF del provider stesso.

CRM, piattaforme di marketing e gateway sovrapposti ti spingono oltre le 10 ricerche.

Come risolverlo:

• Conta le ricerche con Google Admin Toolbox o strumenti simili.
• Rimuovi i provider non utilizzati e i meccanismi duplicati.
• Fai attenzione alle catene di include: annidate.
• Considera di appiattire il tuo record SPF sostituendo le direttive include: annidate con gli indirizzi IP pubblicati dal provider, dove appropriato, ma tieni presente che questo aumenta la manutenzione (i provider potrebbero cambiare gli IP).

Errori di Sintassi e Ordinamento

L'SPF è rigido sulla formattazione.

Perché succede: Spazi o virgolette mancanti, meccanismi fuori posto, omissione del tag di versione v=spf1 o posizionamento errato del meccanismo all. 

Come risolverlo:

Segui questo schema:

v=spf1 [mechanisms] [modifiers] [policy]

Esempio valido:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• Convalida prima di pubblicare con Google Admin Toolbox.
• Mantieni ogni stringa TXT sotto i 255 caratteri. Se il tuo provider DNS impone questo limite, dividi il valore SPF in più stringhe tra virgolette secondo i requisiti del provider.
  
  

Inoltro e Mailing List

SPF controlla l'IP del server che consegna il messaggio. I server di inoltro e delle mailing list di solito non sono autorizzati nel tuo record SPF, quindi la posta inoltrata può fallire l'SPF anche quando il tuo SPF è altrimenti corretto.

L'IP del forwarder non è autorizzato nel tuo SPF.

Come risolverlo:

• Abilita il DKIM in modo che la firma crittografica sopravviva all'inoltro e permetta ai messaggi di superare l'autenticazione anche se l'SPF fallisce.
• Applica il DMARC in modo che il DKIM allineato possa passare anche quando l'SPF fallisce dopo l'inoltro.
• Usa l'Email Log Search per confermare se un messaggio è stato inoltrato e per vedere il percorso di inoltro.

Range IP Ampi o Condivisi nell'SPF

Ampi range cloud possono introdurre rischi e lookup non necessari.

Usare range ip4: o ip6: ampi da cloud condivisi autorizza più infrastrutture di quelle che controlli, e potrebbe comunque non allinearsi con gli IP di invio effettivi.

Come risolverlo:

• Sostituisci i range ampi con IP fissi e assegnati per le tue istanze reali.
• Preferisci le direttive include: del provider quando gestiscono pool stabili.
• Rimuovi i range placeholder o legacy che non usi più.

Leggi i Risultati SPF nelle Intestazioni dei Messaggi

Le intestazioni ti dicono esattamente come un destinatario ha valutato l'SPF.

Nelle intestazioni complete, cerca Authentication-Results: e il risultato spf=. Poi agisci di conseguenza.

• Nessuna voce spf: SPF non controllato. Ricontrolla che il tuo record SPF TXT sia pubblicato correttamente.
• spf= best-guess: SPF mancante o configurato male, o problemi DNS presso il provider. Correggi il record e controlla lo stato del DNS.
• spf= neutral, softfail, o fail: L'IP di invio non è nel tuo record, o il mittente non è autorizzato. Aggiorna il tuo record per includere i mittenti legittimi.
• spf= temperror o permerror: Errori DNS/SPF temporanei o permanenti. Convalida la sintassi e controlla lo stato DNS del provider.
• Mail inoltrata che fallisce l'SPF: Conferma il percorso con Email Log Search, poi affidati a DKIM e DMARC per l'allineamento.

Come Controllare se il Tuo Record SPF è Configurato Correttamente

Anche se il tuo record SPF sembra corretto nel DNS, piccoli errori di sintassi o problemi di lookup possono farlo fallire silenziosamente e danneggiare il tuo posizionamento in inbox.

Per essere sicuro al 100%, usa l'SPF Checker di MailReach. Convalida istantaneamente la tua configurazione SPF e evidenzia qualsiasi problema di configurazione o DNS.

A differenza della maggior parte dei test SPF gratuiti, MailReach esegue una verifica end-to-end, controllando come il tuo record si comporta realmente in condizioni di invio reali, piuttosto che solo come appare nel DNS.

Per un controllo completo della deliverability, puoi anche eseguire un MailReach Inbox Placement Test. Verifica l'autenticazione SPF, DKIM e DMARC su Gmail, Outlook e altri importanti provider di caselle di posta.

Entrambi gli strumenti ti aiutano a identificare i problemi di autenticazione in anticipo, così puoi proteggere la tua reputazione di mittente e mantenere un ottimo posizionamento in inbox.

Qual è l'Approccio Giusto?  

L'SPF conferma che il tuo dominio è autorizzato a inviare email, ma non garantisce il posizionamento nella posta in arrivo. I provider di caselle di posta valutano anche come i destinatari interagiscono con i tuoi messaggi. Ecco perché l'email warmup è essenziale; aiuta a costruire i segnali di reputazione positivi che l'SPF da solo non può fornire.

L'email warmup è più importante quando:

• Stai inviando da un nuovo dominio senza reputazione.
• La reputazione del tuo dominio è stata danneggiata da bounce o reclami per spam.
• Stai aggiungendo nuove caselle di posta su larga scala e hai bisogno che siano affidabili prima di iniziare a inviare.
• Vuoi mantenere un posizionamento stabile nella posta in arrivo mentre usi più strumenti o provider.

L'Email Warmup e l'AI Warmup di MailReach simulano interazioni reali tra caselle di posta affidabili, costruendo gradualmente la cronologia di engagement che i provider di caselle di posta apprezzano. Con l'Inbox Placement Test, puoi verificare che le modifiche SPF non abbiano introdotto nuovi rischi di deliverability.