Se hai letto il capitolo sui tipi di record DNS, sai che ogni record della tua zona DNS ha un compito preciso. I record A puntano a indirizzi IP. I record MX gestiscono l'instradamento dell'email. Un record TXT non fa nessuna delle due cose. Contiene una riga di testo semplice che dice ad altri sistemi qualcosa sul tuo dominio. Quel testo può dire "questo fornitore di email può inviare a nome mio" oppure "sì, questo dominio è mio" oppure "ecco la chiave per verificare i miei messaggi."
Pensalo come un biglietto appeso alla porta di casa. Non cambia come funziona la casa. Ma chiunque si avvicini e lo legga impara qualcosa di importante su chi ci vive e su cosa ha autorizzato.
Che aspetto ha un record TXT?
Un record TXT ha quattro parti, come gli altri record DNS. Ecco a cosa serve ciascuna.
- Hostname (nome) è il dominio o sottodominio a cui si applica il record. Per il dominio principale di solito è "@" o resta vuoto. Per un sottodominio come mail.yourdomain.com, l'hostname sarebbe "mail"
- Tipo dice al sistema DNS che si tratta di un record TXT
- Valore è il contenuto di testo vero e proprio. Può essere un codice di verifica, una policy email, una chiave pubblica o qualsiasi altra stringa fino a 255 caratteri per segmento
- TTL (time to live) controlla per quanto tempo i server DNS tengono in cache questo record prima di cercare aggiornamenti. Il valore predefinito di solito è 3600 secondi, cioè un'ora
Ecco come appare un semplice record TXT in un pannello di impostazioni DNS.
- Hostname impostato su @
- Tipo impostato su TXT
- Valore impostato su "v=spf1 include:_spf.example.com ~all"
- TTL impostato su 3600
Quell'esempio è un record SPF, uno dei tipi più comuni di record TXT. Le sezioni qui sotto spiegano cosa significa SPF e come funzionano gli altri record di sicurezza dell'email.
Come si usa un record TXT per la verifica del dominio?
È l'uso più semplice di un record TXT. Un servizio ha bisogno della prova che il dominio è tuo. La dimostri aggiungendo un record che solo il titolare del dominio potrebbe aggiungere.
Ecco come funziona il processo.
- Ti iscrivi a un servizio e gli dici il nome del tuo dominio
- Il servizio ti dà un codice di verifica univoco
- Accedi alle impostazioni DNS e aggiungi un record TXT con quel codice come valore
- Il servizio controlla nel tuo DNS la presenza del record TXT
- Se trova il codice, la verifica è completata
Perché funziona? Perché solo chi ha accesso alle tue impostazioni DNS può aggiungere record lì. Il codice di verifica da solo non significa nulla. Dimostra solo che hai le chiavi della zona DNS.
Cos'è un record SPF?
Cosa significa SPF
SPF sta per Sender Policy Framework. È un record TXT che elenca quali server di posta possono inviare email usando il tuo nome di dominio. Quando qualcuno riceve un'email da te, il suo server di posta controlla il tuo record SPF per vedere se il server mittente è nell'elenco approvato.
Cosa fa un record SPF
Senza un record SPF, chiunque può inviare un'email che sembra arrivare dal tuo dominio. Si chiama email spoofing. È uno dei trucchi più vecchi del phishing e funziona perché il server ricevente non ha modo di controllare se il mittente è chi dice di essere.
Un record SPF risolve il problema. È come dare all'ufficio postale un elenco di corrieri autorizzati a spedire pacchi a nome tuo. Se arriva un pacco da un corriere che non è nell'elenco, l'ufficio postale capisce che c'è qualcosa che non va.
Ecco un esempio.
v=spf1 include:_spf.mailprovider.com ~all
Dice tre cose.
- v=spf1 identifica questo come un record SPF
- include:_spf.mailprovider.com significa "i server elencati da questo fornitore di posta possono inviare email per il mio dominio"
- ~all significa "se un'email arriva da qualsiasi altro server, trattala come sospetta ma non respingerla del tutto"
Se "~all" fosse cambiato in "-all", la regola sarebbe più severa. Direbbe ai server riceventi di respingere subito tutto ciò che non è nell'elenco approvato.
Cos'è un record DKIM?
Cosa significa DKIM
DKIM sta per DomainKeys Identified Mail. Mentre SPF controlla chi ha inviato l'email, DKIM controlla se l'email è stata manomessa lungo la strada verso la tua casella.
Come funziona la chiave pubblica
Pensa a DKIM come a un sigillo di ceralacca su una lettera. Quando il tuo server di posta invia un'email, la timbra con una firma nascosta. Quella firma è creata con una chiave privata che conosce solo il tuo server. La chiave pubblica corrispondente sta in un record TXT sul tuo dominio, visibile a chiunque la cerchi.
Quando il server ricevente riceve l'email, legge la tua chiave pubblica dal DNS e la confronta con la firma. Se coincidono, l'email è verificata come autentica e intatta. Se non coincidono, l'email potrebbe essere stata alterata da qualche parte lungo il percorso.
Non devi capire la chiave in sé. Il tuo fornitore di email la genera e ti dice esattamente cosa incollare nelle impostazioni DNS. Il record TXT DKIM di solito sta su un sottodominio che assomiglia a "selector._domainkey.yourdomain.com."
Cos'è un record DMARC?
Come DMARC lega SPF e DKIM
SPF controlla da dove arriva l'email. DKIM controlla che non sia stata alterata. Ma cosa succede quando uno di questi controlli fallisce? Senza DMARC, ogni server ricevente decide da solo. Alcuni mandano l'email nello spam. Alcuni la lasciano passare. Alcuni la respingono. Tu non hai alcun controllo.
DMARC sta per Domain-based Message Authentication, Reporting, and Conformance. È un record TXT che mette te al comando. Sei tu a stabilire le regole su cosa succede quando un'email non supera SPF o DKIM.
Cosa significano le policy DMARC
Un record DMARC si aggiunge come record TXT sul sottodominio "_dmarc.yourdomain.com." Ecco un semplice esempio.
v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com
Dice ai server riceventi tre cose.
- v=DMARC1 identifica questo come un record DMARC
- p=quarantine è la policy. Dice al server ricevente di mandare nella cartella spam, invece che nella posta in arrivo, le email che non superano l'autenticazione
- rua=mailto:reports@yourdomain.com dice ai server di inviare i report di autenticazione a questo indirizzo email, così puoi vedere chi invia email usando il tuo dominio
Il campo della policy (p=) ha tre opzioni.
- none significa nessuna azione, solo invio dei report. Utile quando configuri DMARC per la prima volta e vuoi monitorare prima di applicare le regole
- quarantine significa mandare nello spam le email che non passano i controlli
- reject significa bloccare del tutto le email che non passano i controlli, così non raggiungono mai il destinatario
Insieme, SPF, DKIM e DMARC formano tre livelli di protezione dell'email. SPF è la lista degli invitati. DKIM è il sigillo di ceralacca. DMARC è il buttafuori che decide cosa succede quando qualcuno non supera i primi due controlli. Se stai configurando un'email personalizzata con il tuo dominio, tutti e tre i record sono importanti.
Cos'altro possono fare i record TXT?
La sicurezza dell'email e la verifica del dominio sono i due usi principali, ma i record TXT compaiono anche in altri posti.
- Verifica per i motori di ricerca. I motori di ricerca ti chiedono di aggiungere un record TXT per dimostrare che il dominio è tuo prima di darti accesso ai dati sulle prestazioni di ricerca
- Policy di sicurezza. Alcune organizzazioni usano i record TXT per pubblicare i contatti per la sicurezza o le preferenze sulle autorità di certificazione
- Autenticazione dei servizi. Piattaforme di analisi, servizi pubblicitari e altri strumenti spesso richiedono un record TXT per collegare il tuo dominio al tuo account
- Metadati personalizzati. Qualsiasi informazione di testo che altri server o servizi devono leggere sul tuo dominio può essere conservata in un record TXT
I record TXT sono il coltellino svizzero del DNS. Se un servizio deve verificare, autenticare o comunicare qualcosa sul tuo dominio, è probabile che usi un record TXT per farlo.
Come si aggiunge un record TXT?
Aggiungere un record TXT segue gli stessi passaggi di qualsiasi altro record DNS. Se hai già aggiunto un record A o MX, ti sembrerà familiare.
- Accedi al pannello di gestione DNS dove sono impostati i nameserver del tuo dominio. Di solito è il registrar o il fornitore di hosting
- Trova la sezione dei record DNS o l'editor della zona DNS
- Clicca l'opzione per aggiungere un nuovo record
- Seleziona TXT come tipo di record
- Inserisci l'hostname. Usa "@" per il dominio principale o il nome di un sottodominio specifico se il servizio lo richiede
- Incolla il valore esatto fornito dal servizio che stai configurando. Non riscriverlo a mano
- Imposta il TTL. Se non sei sicuro, usa il valore predefinito suggerito dal fornitore oppure impostalo a 3600
- Salva il record
Una cosa da tenere a mente. Le modifiche DNS possono richiedere da pochi minuti a 48 ore per diffondersi su internet. Si chiama propagazione DNS. In questo periodo alcuni server possono ancora vedere le vecchie impostazioni mentre altri vedono quelle nuove. Per approfondire, leggi il capitolo su come funziona il DNS.
Quali sono gli errori comuni con i record TXT?
I record TXT sono semplici da aggiungere, ma alcuni errori ripetuti mettono in difficoltà.
- Incollare il valore sbagliato. I valori dei record TXT sono spesso lunghe stringhe di caratteri casuali. Se manca un carattere o aggiungi uno spazio in più, tutto si rompe. Copia e incolla sempre direttamente dal servizio che ti ha dato il valore
- Più record SPF sullo stesso dominio. Puoi avere un solo record SPF per dominio. Se devi autorizzare più fornitori di posta, uniscili in un unico record SPF con più istruzioni "include". Due record SPF separati causano comportamenti imprevedibili e mancate consegne dell'email
- Aggiungere il record all'hostname sbagliato. Alcuni record TXT vanno sul dominio principale (@), altri su un sottodominio specifico come "_dmarc" o "selector._domainkey." Se metti il record nel posto sbagliato, il servizio che lo cerca non lo troverà
- Dimenticare di salvare. Sembra banale, ma molti pannelli DNS richiedono di cliccare un pulsante di salvataggio o conferma dopo aver inserito il record. Se chiudi la pagina prima di salvare, il record non viene creato
- Non aspettare la propagazione. Dopo aver aggiunto un record TXT, il servizio di verifica potrebbe non trovarlo subito. Aspetta almeno 15 o 30 minuti prima di ripetere il controllo
Cosa succede quando i record TXT sono sbagliati o mancano?
Le conseguenze dipendono dal record TXT interessato.
- Se il tuo record SPF manca o è sbagliato, le tue email hanno più probabilità di finire nello spam. I server riceventi non hanno modo di confermare che il tuo server di posta sia autorizzato, quindi non rischiano
- Se il tuo record DKIM manca, le tue email non hanno una firma verificabile. Alcuni destinatari le accetteranno comunque, ma i filtri antispam diventano più sospettosi
- Se il tuo record DMARC manca, non hai alcun controllo su ciò che succede alle email che non superano i controlli SPF o DKIM. Ogni server ricevente decide da solo
- Se un record TXT di verifica viene rimosso, il servizio che lo richiedeva può revocare il tuo accesso o mostrare un avviso che la proprietà del dominio non è più confermata
Nessuno di questi problemi manderà offline il tuo sito. I record TXT non influiscono su come il sito si carica o su come lo raggiungono i visitatori. Ma record TXT mancanti o errati possono danneggiare la consegna della tua email e la possibilità di usare i servizi legati al dominio.
Come WEMASY gestisce i record TXT
Quando colleghi un dominio personalizzato al tuo sito WEMASY, WEMASY ti guida tra i record DNS da aggiungere. Se stai verificando il dominio per gli strumenti di ricerca, WEMASY ti dice esattamente quali record TXT creare, compresi l'hostname e il valore da incollare. I record TXT per l'email arrivano dal tuo provider email, perché l'hosting email di WEMASY arriverà presto.
WEMASY gestisce SSL e hosting dal suo lato, quindi i record TXT che aggiungi riguardano verifica e sicurezza dell'email più che l'instradamento. Una volta inseriti i record e propagato il DNS, tutto si collega in automatico. Scopri cosa include ogni piano nella pagina dei prezzi di WEMASY.
Cosa viene dopo
Ora che hai capito come funzionano i record TXT per verifica e sicurezza dell'email, il prossimo capitolo tratta i record NS. I record NS controllano quali name server sono responsabili dell'intera zona DNS del tuo dominio e stanno alla base del modo in cui si trovano tutti gli altri record. Per una panoramica di tutti i tipi di record e di quando usare ciascuno, vedi il capitolo sui tipi di record DNS.
Domande frequenti
Si possono avere più record TXT sullo stesso dominio?
Sì. Un dominio può avere molti record TXT contemporaneamente. Puoi averne uno per SPF, uno per la verifica del dominio e uno per DKIM su un sottodominio. L'unica eccezione è SPF. Dovresti avere un solo record SPF per dominio. Se devi autorizzare più fornitori di posta, uniscili in un unico record SPF. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Un record TXT influisce sulla velocità di caricamento del sito?
No. I record TXT non hanno alcun ruolo nell'instradamento del traffico del sito. Li leggono solo i servizi che li cercano apposta, come i server di posta che controllano SPF o gli strumenti di verifica che controllano la proprietà. La velocità del sito dipende dal record A, dal server e dalla configurazione di hosting, non dai record TXT.
Quanto tempo ci mette un record TXT a iniziare a funzionare?
Dipende dalla propagazione DNS e dal TTL di eventuali record precedenti. Nella maggior parte dei casi un nuovo record TXT è visibile entro 15 o 30 minuti. La propagazione completa su tutti i server DNS nel mondo può richiedere fino a 48 ore, anche se è raro per i nuovi record che prima non esistevano.
Qual è la lunghezza massima del valore di un record TXT?
Una singola stringa di un record TXT può arrivare a 255 caratteri. Se il valore deve essere più lungo, viene diviso in più stringhe nello stesso record. Nella maggior parte dei casi il tuo fornitore DNS gestisce questa divisione in automatico. I servizi che generano valori TXT lunghi, come le chiavi DKIM, tengono conto di questo limite quando creano il record per te.
Servono i record TXT se non invio email dal mio dominio?
È comunque una buona idea. Anche se non invii email, aggiungere un record SPF che dichiara che nessun server è autorizzato (v=spf1 -all) impedisce agli spammer di falsificare il tuo dominio. Senza alcun record di autenticazione dell'email, chiunque può inviare email che sembrano arrivare dal tuo dominio, e questo può danneggiare la tua reputazione.