Anti-spoofing per i domini personalizzati (SPF, DKIM e DMARC)

Sebbene la natura aperta e decentralizzata dell’email offra grandi vantaggi, questa libertà rende anche l’email facile da usare in modo improprio. Ad esempio, qualsiasi server connesso a internet può inviare un’email a un tuo amico fingendo che provenga da te, un attacco noto come email spoofing.

Consigliamo vivamente a chiunque utilizzi un dominio personalizzato con Proton Mail di configurare SPF, DKIM e DMARC per garantire che le tue email vengano recapitate correttamente.

Continua a leggere per scoprire come possiamo proteggere il tuo dominio personalizzato da questo tipo di attacchi.

SPF

Il record Sender Policy Framework (SPF) comunica sostanzialmente al mondo quali host o IP sono autorizzati a inviare email per il tuo dominio. Quando i server di posta ricevono un’email che dichiara di provenire dal tuo dominio, possono consultare il tuo record SPF per verificare se il server mittente è incluso.

Sebbene non sia obbligatorio, ti consigliamo vivamente di configurare un record SPF che includa Proton Mail.

Questo non solo farà sembrare la tua email più legittima, riducendo le probabilità che finisca nelle cartelle spam, ma ti aiuterà anche a proteggere il tuo dominio da malintenzionati che inviano email con intestazioni contraffatte fingendo di essere te.

Nel tuo browser, accedi al tuo account Proton Mail, vai su Impostazioni → Tutte le impostazioni → Nome dominio, e clicca su Revisiona accanto al dominio per il quale desideri aggiungere un record SPF.

Seleziona la scheda SPF. Questa mostra il record SPF consigliato da aggiungere al portale di gestione del dominio del tuo registrar. Puoi cliccare sulla piccola icona a sinistra della voce per Copiarla negli appunti del tuo sistema.

La parte “include:_spf.protonmail.ch” della stringa di testo indica che consenti ai server di Proton Mail di inviare email per conto del tuo dominio. Se desideri mantenere un record SPF esistente, aggiungi semplicemente la stringa di testo “include:_spf.protonmail.ch” subito dopo il tuo record attuale, dopo la parte “v=spf1”. Il parametro “mx” include anche i record MX del tuo dominio.

La parte “~all” indica che, se l’email viene inviata da server non inclusi nella stringa di testo, verrà trattata come un SoftFail. Ciò significa che il server di posta ricevente accetterà l’email ma la contrassegnerà come SPF non riuscito. L’alternativa è utilizzare il parametro “-all” (HardFail).

Questo causerà il rifiuto dell’email, il che può comportare problemi di consegna per le email legittime. Ad esempio, spesso l’SPF fallisce durante l’inoltro di email, quando invii a un indirizzo A che inoltra automaticamente all’indirizzo B. Una volta rilevato che il record SPF del tuo dominio include Proton Mail, la scheda SPF mostrerà un’icona con un segno di spunta verde.

DKIM

DomainKeys Identified Mail (DKIM) è un metodo di autenticazione email che verifica crittograficamente se un’email è stata inviata da server attendibili e se non è stata manomessa.

Fondamentalmente, quando un server invia un’email utilizzando il tuo dominio, calcola un hash crittografato del contenuto dell’email utilizzando una chiave privata (conosciuta solo dai server attendibili) e lo aggiunge alle intestazioni email come firma DKIM.

Il server ricevente verificherà il contenuto dell’email cercando la corrispondente chiave pubblica nei record DNS del tuo dominio, decriptando l’hash crittografato e calcolando un nuovo hash basato sul contenuto dell’email ricevuto. Confronta quindi l’hash decriptato con il nuovo hash. Se c’è corrispondenza, l’email non è stata manomessa e DKIM viene superato. In caso contrario, DKIM fallisce e l’email viene trattata con sospetto.

Per saperne di più sulla gestione di DKIM(nuova finestra)

Utilizziamo record CNAME per gestire la rotazione automatica delle chiavi DKIM, una best practice di sicurezza consolidata. Ti chiediamo di aggiungere e conservare tre record CNAME. Questo assicura che ci sia sempre una chiave attiva per fornire un servizio ininterrotto, mentre le altre chiavi vengono ritirate e ricreate automaticamente su base regolare per una maggiore sicurezza.

Sembra tutto complicato, ma implementare DKIM per il tuo dominio è semplice in Proton Mail. Saranno necessarie un paio d’ore per verificare il tuo dominio personalizzato quando modifichi per la prima volta i suoi record DNS per l’utilizzo con Proton Mail. Una volta verificato il dominio personalizzato, Proton Mail genererà i nomi host e i valori necessari per il portale DNS del tuo dominio. Creerà quindi i record CNAME necessari per la rotazione automatica delle chiavi DKIM.

Ti invieremo una notifica email per informarti che il tuo dominio personalizzato, i nomi host e i valori sono pronti.

Nuovi utenti

Nel tuo browser, accedi al tuo account Proton Mail e vai su Impostazioni → Tutte le impostazioni → Organizzazione → Nome dominio → colonna Azioni → pulsante Revisiona accanto al dominio per il quale desideri aggiungere un record DKIM.

Seleziona la scheda DKIM. Qui vedrai i tre nomi host e i valori che dovrai aggiungere alle impostazioni DNS del tuo dominio.

Una volta aggiunti questi record, Proton Mail gestirà il resto per te. Seguendo le attuali best practice di sicurezza, genereremo una nuova chiave a 2048 bit ogni sei mesi e la utilizzeremo per firmare le tue email.

I record CNAME che aggiungi alle impostazioni DNS del tuo dominio devono corrispondere esattamente a quelli mostrati nella procedura guidata di configurazione. Una volta rilevati questi record nel tuo DNS, la scheda DKIM mostrerà un’icona con un segno di spunta verde. Ti invieremo quindi una notifica e inizieremo a firmare le email in uscita dal tuo dominio personalizzato con DKIM, proprio come facciamo per gli altri indirizzi Proton Mail.

IMPORTANTE: alcuni registrar non accettano valori CNAME con un punto alla fine (mentre altri lo richiedono). Se il tuo registrar non accetta i tuoi record CNAME, elimina il punto alla fine di ogni valore CNAME e riprova.

Utenti che utilizzano attualmente la rotazione manuale delle chiavi DKIM

Consigliamo vivamente a chiunque utilizzi attualmente la rotazione manuale delle chiavi DKIM di effettuare l’upgrade al nuovo sistema di rotazione automatica delle chiavi. Questo non solo rimuoverà la necessità di ruotare le chiavi manualmente, ma aggiornerà anche automaticamente la robustezza delle tue chiavi (se utilizzavi chiavi a 1024 bit).

Se in precedenza hai configurato la rotazione manuale delle chiavi DKIM per il tuo dominio utilizzando un record TXT, devi rimuovere questo record dalle impostazioni DNS prima di inserire i record CNAME.

Devi riconfigurare le tue impostazioni DNS con i record CNAME perché ci permettono di impostare la rotazione automatica delle chiavi, mentre il tuo attuale record TXT non lo consente.

Una volta eliminato questo record TXT, puoi seguire le istruzioni per i nuovi utenti. DKIM smetterà di firmare le tue email una volta eliminato il record TXT. Per mantenere la protezione DKIM, dovresti inserire immediatamente i nomi host e i valori CNAME nelle tue impostazioni DNS.

DMARC

Mentre imparavi a conoscere SPF e DKIM (sopra), potresti esserti chiesto come gestisce il server ricevente un’email che non supera i controlli. È qui che entra in gioco Domain-based Message Authentication, Reporting, and Conformance (DMARC).

DMARC consente al proprietario del dominio di specificare cosa accade con le email non riuscite e di ricevere feedback quando arrivano. Fondamentalmente, ci sono tre azioni che i server riceventi possono intraprendere se sia i controlli SPF che DKIM falliscono: none, quarantine e reject.

Nel tuo browser, accedi al tuo account Proton Mail e vai su Impostazioni → Vai alle impostazioni→ Organizzazione → Nome dominio → colonna Azioni → pulsante Revisiona accanto al dominio per il quale desideri aggiungere un record DMARC.

Copia il nome host TXT e la stringa di valore DMARC e aggiungila al tuo dominio nella console di gestione del dominio del tuo registrar.

Il valore “p=” specifica l’azione da intraprendere per le email che falliscono DMARC. Ecco le azioni disponibili:

• p=quarantine: chiede alle piattaforme riceventi di contrassegnare le email non autorizzate come spam o di metterle in quarantena.
• p=reject: chiede alle piattaforme riceventi di rifiutare le email non autorizzate.
• p=none: non mettere in quarantena o rifiutare le email non autorizzate. Solitamente, le persone utilizzano questa policy solo per la risoluzione dei problemi o per test.

L’impostazione predefinita è none. Tuttavia, per migliorare la tua sicurezza, consigliamo di impostare questo valore su p=quarantine.

Una volta che sei certo che le tue email legittime superino DMARC, potresti volerlo impostare in modo ancora più aggressivo su p=reject. Ti consigliamo di farlo se pensi di essere un probabile bersaglio di email spoofing. Ad esempio, Yahoo, PayPal ed eBay utilizzano p=reject per evitare che gli spammer si fingano loro.

Un altro parametro è rua=, che specifica un indirizzo email dove altri servizi email possono inviare segnalazioni aggregate, in modo che tu possa vedere quante delle tue email falliscono DMARC.

Tieni presente, tuttavia, che ci sono rischi nello scegliere azioni DMARC più aggressive. Ad esempio, quando invii un’email a una mailing list che poi inoltra ai singoli destinatari, questo romperà SPF. Fastidiosamente, alcune mailing list modificano anche il contenuto dell’email, il che rompe DKIM e causa il fallimento di DMARC, creando problemi di consegna se hai impostato DMARC su quarantine o reject. Ecco perché DMARC è impostato su none come impostazione predefinita.

Email di test

Una volta configurato un dominio personalizzato, puoi testarlo inviando un’email utilizzando Mail Tester(nuova finestra).

Invia semplicemente un’email utilizzando l’indirizzo del tuo dominio personalizzato all’indirizzo univoco mostrato sulla pagina web di Mail Tester. Poi controlla il tuo punteggio di spam.

Se hai impostato correttamente sia SPF che DKIM, dovresti essere in grado di ottenere un punteggio di 10/10!