L’inizio dell’e-mail moderna è stato sia eccitante che problematico. Non c’è bisogno di dirvi il tipo di impatto positivo che la posta elettronica ha avuto sulla società, ma è arrivata anche con un sacco di rischi per la sicurezza.
La posta elettronica nei primi giorni aveva meccanismi limitati per supportare la sicurezza e la verifica del mittente. Praticamente tutti i virus, lo spam e le truffe che si diffondevano via e-mail lo facevano semplicemente falsificando le informazioni del mittente. Era un grosso problema – uno che è migliorato con il tempo, ma è ancora una battaglia in corso oggi.
Grazie al cielo, ora abbiamo DKIM e SPF per proteggerci da hacker, truffatori e artisti della truffa che cercano sul web standard di sicurezza deboli. Nel loro nucleo, DKIM e SPF sono semplicemente degli standard di autenticazione. Standard che, se correttamente impostati, ti danno la certezza di essere al sicuro da hacking e frodi dei domini e, altrettanto importante, assicurano la consegna delle email nella posta in arrivo.
Ora che sai perché sono importanti, andiamo un po’ più in profondità per spiegare le sfumature di entrambi SPF e DKIM, così come le loro differenze.
Che cos’è DKIM?
DKIM sta per DomainKeys Identified Mail che, come già detto, è semplicemente un metodo di autenticazione esplicitamente progettato per rilevare quando un indirizzo e-mail del mittente è stato falsificato. La falsificazione delle email del mittente è un processo noto come email spoofing, che è usato frequentemente nello spam e nelle truffe di phishing. DKIM agisce come un gatekeeper per convalidare l’autenticità dei messaggi e-mail.
Quando ogni e-mail viene inviata, è firmata con una chiave privata, che viene convalidata dal server e-mail ricevente o dall’Internet Service Provider (ISP) utilizzando una chiave pubblica chiamata Domain Name System (DNS). Il DNS traduce i nomi di dominio in indirizzi IP, che è un modo fantasioso per dire che ti permette di usare il tuo browser web per localizzare siti web e ricevere e-mail. La sua responsabilità principale è assicurare che il messaggio di posta elettronica non sia stato alterato durante il transito. L’alterazione delle e-mail durante il transito è un problema reale che si verifica più spesso di quanto si possa pensare.
Per esempio, se si invia un allegato con il proprio conto bancario e numero di routing e non si utilizzano i protocolli di sicurezza corretti, potrebbe essere intercettato da un truffatore. Una volta intercettato, questo hacker potrebbe inserire il proprio conto e numero di routing e rimandarlo al destinatario. Il destinatario continuerebbe a pensare che provenga da te e pagherebbe invece il conto bancario sbagliato.
Con DKIM, la chiave privata unica utilizzata per firmare le e-mail è memorizzata esclusivamente sul tuo server di posta elettronica e deve essere tenuta segreta e sicura. Se individui malintenzionati mettessero le mani sulla vostra chiave segreta, non avrebbero problemi a falsificare le vostre firme DKIM e usarle per attività fraudolente.
Poi nel processo di invio e ricezione, gli ISP verificano l’integrità dei messaggi recuperando la chiave pubblica corrispondente da uno specifico record DKIM memorizzato nel vostro DNS. La crittografia dietro le quinte è la stessa usata in SSL, che garantisce che solo i messaggi firmati con la tua speciale chiave privata passeranno il controllo della chiave pubblica.
Un altro vantaggio meno conosciuto che offre DKIM è che gli ISP, come Gmail, possono usare queste informazioni per costruire un punteggio di reputazione per il tuo dominio. Se avete pratiche di invio di prima qualità, come un alto coinvolgimento, poco spam, e rimbalzi minimi, otterrete un punteggio più alto, che migliora la vostra fiducia e reputazione con gli ISP. Se hai ottenuto un punteggio basso con pratiche scadenti, è meno probabile che le tue email vengano consegnate correttamente, quasi a garantire che finiranno nella cartella spam che nessuno controlla.
Che cos’è SPF?
Sender Policy Framework, o SPF, è un modo in cui gli ISP come Gmail e Yahoo possono verificare che un particolare server di posta sia autorizzato a inviare email per un dominio. È una whitelist: una lista di cose considerate degne di fiducia o accettabili per i servizi autorizzati a inviare e-mail per vostro conto. Simile a DKIM, SPF funziona tramite DNS.
Per esempio, diciamo che si utilizza un servizio come Mailshake per inviare e-mail di marketing. Dovreste quindi inserire un record DNS che include i server di posta di Mailshake come fonte attendibile nella lista bianca per inviare e-mail per conto del vostro dominio.
SPF è fondamentale per verificare chi è autorizzato a inviare e-mail per conto del vostro dominio e ha un impatto diretto sulla consegna delle e-mail. Non solo ne hai bisogno per l’email marketing e per i tuoi account di posta elettronica aziendali, ma è anche essenziale per i servizi di supporto come Helpscout, Zendesk, o chiunque altro invii email per tuo conto.
Qual è la differenza tra SPF e DKIM?
Non è così difficile per un hacker capire come inviare email dal tuo dominio. Per proteggerti da tale attività malevola, vorrai impostare sia SPF che DKIM.
DKIM è un insieme di chiavi che dicono agli IP che sei il mittente originale e che nessuno ha intercettato fraudolentemente la tua email. SPF è una lista speciale, una whitelist, che include tutti coloro che sono autorizzati a inviare messaggi per tuo conto. Se sei curioso di vedere tutto questo in azione, puoi verificare se un’email è correttamente firmata con DKIM o passando SPF controllando le intestazioni delle email. In Gmail, è possibile vedere questo utilizzando l’opzione “Mostra originale” sotto le impostazioni, e in cima si dovrebbe (si spera) vedere PASS accanto a SPF e DKIM.
In sintesi, non impostare SPF e DKIM farà solo perdere tempo, denaro e risorse alla vostra azienda, dal momento che state aumentando la possibilità che le vostre e-mail non vengano consegnate. Per non parlare del fatto che ti esponi a tutti i tipi di attività fraudolente.
Certo, potresti sempre inviare email chiedendo alle persone di inserirti nella whitelist. Tuttavia, aspettarsi che le aziende “sistemino le cose dalla loro parte” e vi mettano in whitelist porterà solo a dolori al cuore, perché la maggior parte delle aziende rispettabili bloccherà qualsiasi messaggio inviato senza quella sicurezza e verifica aggiuntiva che DKIM e SPF forniscono.
Se tutto questo è un po’ troppo per voi, non preoccupatevi. Ciò che è importante ora è che tu capisca perché DKIM e SPF sono importanti e come impiegare 5 minuti per assicurarsi che siano implementati correttamente può proteggerti, aumentare la tua reputazione con gli ISP e garantire una migliore consegnabilità delle email.
Se tutto questo è un po’ troppo per te, non preoccuparti.