Protocolli di sicurezza email: TLS, SPF, DKIM e DMARC

Portatile con casella di posta e lucchetto che rappresenta la sicurezza email — immagine generata con ai

I protocolli di sicurezza email principali sono quattro: TLS cifra la connessione mentre il messaggio viaggia, SPF indica quali server possono inviare posta per un dominio, DKIM firma il messaggio per provarne l'integrità e DMARC stabilisce cosa fare quando SPF o DKIM falliscono. Insieme proteggono canale e mittente, non il contenuto.

In questa guida vediamo come funzionano, che cosa coprono e che cosa lasciano scoperto, perché a volte la sicurezza email non è garantita e come fare un controllo pratico su ciò che arriva nella casella.

Protocolli di sicurezza email a confronto: TLS, SPF, DKIM e DMARC

La tabella riassume lo scopo di ciascun protocollo e, soprattutto, i suoi limiti.

Protocollo	A cosa serve	Cosa protegge	Cosa non protegge
TLS	Cifra la connessione tra client e server e tra server e server, quando entrambi lo supportano.	Riservatezza e integrità del messaggio durante il transito, ad esempio su una rete Wi-Fi pubblica.	Non verifica chi è il mittente, non analizza testo e allegati e non copre i tratti in cui un server non lo supporta.
SPF	Elenca nel DNS i server autorizzati a inviare posta per un dominio.	Riduce l'invio di messaggi a nome del dominio da server non autorizzati.	Non cifra nulla, non giudica il contenuto e da solo non controlla l'indirizzo «Da:» che vede l'utente.
DKIM	Aggiunge una firma digitale verificabile con una chiave pubblicata nel DNS.	Integrità del messaggio e legame con il dominio che lo ha firmato.	Non cifra e non dice se il contenuto è innocuo: anche un dominio malevolo può firmare i propri messaggi.
DMARC	Definisce cosa fare se SPF o DKIM falliscono e consente di ricevere report.	Aiuta a limitare l'impersonificazione del dominio che lo pubblica.	Non blocca il phishing inviato da domini simili e non valuta il contenuto dei messaggi.

Sicurezza email: cosa sono i protocolli e a cosa servono

La posta elettronica nasce in un'epoca in cui la fiducia era implicita: i messaggi viaggiavano in chiaro e chiunque poteva scrivere un mittente a piacere. I protocolli di sicurezza sono stati aggiunti nel tempo per rimediare a questi due limiti.

Possiamo distinguere due funzioni:

Riservatezza in transito: impedire che qualcuno legga o modifichi il messaggio mentre passa da un server all'altro (TLS).
Autenticità del mittente: verificare che il dominio che appare come mittente abbia davvero autorizzato quell'invio (SPF, DKIM, DMARC).

Nessuna delle due funzioni risponde alla domanda che interessa di più all'utente: «questo messaggio è pericoloso?». Lo vedremo più avanti.

Proteggere il trasporto: il ruolo di SSL/TLS

TLS (il successore di SSL, di cui spesso si usa ancora il nome) crea un canale cifrato tra il tuo client di posta e il server del provider, e tra server e server quando entrambi lo supportano. Se qualcuno intercetta il traffico, vede dati illeggibili invece di password e messaggi.

Quando configuri un account, trovi spesso un campo «tipo di sicurezza email» o «sicurezza connessione» con voci come SSL/TLS, STARTTLS o Nessuna. Per quanto possibile, scegli sempre una delle prime due e segui le impostazioni indicate nella documentazione ufficiale del provider: una combinazione incoerente è una delle errate configurazioni più frequenti e può lasciare la connessione scoperta o semplicemente non funzionante.

Per il dettaglio su tipi di cifratura e impostazioni del client, consulta la guida dedicata: Sicurezza email SSL/TLS: quale tipo scegliere e perché.

Autenticazione del mittente: SPF, DKIM e DMARC

Falsificare il campo «Da:» è banale. Per questo i domini pubblicano nel DNS alcune regole che i server riceventi possono controllare.

SPF: elenca i server autorizzati a inviare posta per quel dominio.
DKIM: aggiunge una firma digitale all'email; il server ricevente la verifica con una chiave pubblicata nel DNS, accertando che il messaggio non sia stato alterato.
DMARC: stabilisce cosa fare quando SPF o DKIM falliscono (ad esempio nulla, quarantena o rifiuto) e permette al dominio di ricevere report.

Ecco un esempio puramente illustrativo di record SPF e DMARC, pubblicati come record TXT nel DNS. Dominio, server e indirizzo dei report vanno sostituiti con quelli reali, indicati dal tuo provider:

; Record SPF (TXT sul dominio)
example.com.  IN  TXT  "v=spf1 include:_spf.provider.example ~all"

; Record DMARC (TXT su _dmarc)
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:report@example.com"

Nel primo record, include autorizza i server del provider e ~all indica di trattare con sospetto gli invii da altre fonti. Nel secondo, p=quarantine chiede ai server riceventi di mettere in quarantena i messaggi che non superano i controlli, mentre rua indica dove inviare i report.

Sono controlli che esegue il server, non l'utente, ma tu puoi vederne l'esito nelle intestazioni del messaggio, di solito con voci come «pass» o «fail». Un risultato negativo su un messaggio che dice di arrivare da una banca è un segnale forte da non ignorare.

Se gestisci un dominio tuo o aziendale, verifica con chi si occupa del DNS e della posta che questi record siano presenti e coerenti: sono la base per ridurre l'impersonificazione del tuo marchio.

Perché la sicurezza email non è garantita nemmeno con i protocolli giusti

Un'email con TLS, SPF, DKIM e DMARC corretti può comunque essere pericolosa. Un truffatore può registrare un dominio simile a quello reale, configurarlo alla perfezione e inviare phishing perfettamente «in regola». I protocolli certificano il canale e l'origine tecnica, non le intenzioni.

Ci sono poi casi in cui la sicurezza email non è garantita per ragioni diverse:

il server del destinatario non supporta TLS e il messaggio viaggia in chiaro per un tratto;
un account legittimo è stato compromesso e invia spam o link malevoli con firme valide;
l'allegato o il codice HTML contiene contenuti dannosi che nessun protocollo di trasporto analizza;
il client è configurato male, con cifratura disattivata o certificati ignorati.

Per questo la protezione va completata sul lato utente, dove il messaggio viene effettivamente aperto.

Falsi avvisi di sicurezza: Google, Instagram, WhatsApp

Una delle esche più efficaci è l'email avviso di sicurezza Google: «accesso sospetto al tuo account, verifica subito». Lo stesso schema viene replicato con messaggi che citano Instagram o WhatsApp, magari parlando di account sospesi o di codici da confermare.

Le avvisaglie sono sempre simili: urgenza, minaccia di blocco, link che porta a una pagina di login clonata. Il comportamento corretto è semplice:

non cliccare sul link nel messaggio;
apri direttamente il sito o l'app ufficiale e controlla la sezione sicurezza dell'account;
se non trovi nulla, ignora e segnala il messaggio come phishing.

Lo stesso vale per qualunque avviso su email, sicurezza e Instagram o su WhatsApp: un messaggio legittimo non ti chiederà mai di comunicare via email password o codici di verifica. Se ti chiedono un codice, è quasi certamente una truffa.

Persona che controlla un'email sospetta prima di cliccare sui link — immagine generata con ai

Checklist per il controllo della sicurezza email

Un buon controllo di sicurezza sui singoli messaggi richiede pochi secondi, se hai l'abitudine giusta. Ecco i passaggi da seguire prima di interagire con un'email sospetta:

Mittente: guarda l'indirizzo completo, non solo il nome visualizzato; cerca lettere scambiate o domini insoliti.
Link: passa il cursore senza cliccare e confronta la destinazione con il sito che dovrebbe essere.
Allegati: diffida di archivi, file con doppia estensione e documenti che chiedono di «abilitare le macro» o il contenuto.
Tono: urgenza, minacce e richieste di dati sono campanelli d'allarme.
Intestazioni: se hai dubbi, verifica l'esito di SPF, DKIM e DMARC.
Configurazione: controlla che il client usi SSL/TLS con le impostazioni indicate dal provider e un'autenticazione robusta.

Anche i servizi di posta più diffusi offrono funzioni di verifica: se usi Gmail o altri provider, consulta la loro documentazione ufficiale per capire quali avvisi e controlli di sicurezza email Google o di altri servizi sono attivi sul tuo account e come abilitare la verifica in due passaggi.

Dove intervengono i protocolli e dove serve un client sicuro

I protocolli lavorano sul percorso; il rischio vero si concretizza quando il messaggio viene aperto, cioè nel client. Qui entra in gioco un approccio diverso: isolare l'ambiente e limitare ciò che un'email può fare.

Un Client email sicuro come E.D.E.R.A. è pensato per questo scenario. Funziona in sandbox, sanifica l'HTML dei messaggi per neutralizzare l'iniezione di codice malevolo, gira in locale tramite PHP Desktop con comunicazione in loopback e non salva le email sul computer. In più, un livello di intelligenza artificiale aiuta a riconoscere phishing, allegati sospetti, link a siti infetti, mittenti sospetti ed errate configurazioni dell'account.

Non sostituisce TLS, SPF, DKIM e DMARC: li affianca, intervenendo proprio dove quei protocolli si fermano, cioè sul contenuto del messaggio e sul comportamento di chi lo apre.

Buone pratiche da adottare subito

Attiva la verifica in due passaggi sugli account di posta e sui servizi collegati.
Usa password lunghe e uniche, con un gestore di password.
Aggiorna sistema, browser e client di posta.
Evita la posta su Wi-Fi pubblici non fidati, o usa una connessione protetta.
Se amministri un dominio, controlla periodicamente i record SPF, DKIM e DMARC.
Forma chi lavora con te: il fattore umano resta il punto più sfruttato.

Conclusione

I protocolli di sicurezza sono la base indispensabile, ma non una garanzia assoluta: cifrano il percorso e verificano il dominio, lasciando all'utente e al client il compito di valutare il contenuto. Unire configurazioni corrette, abitudini prudenti e uno strumento che isola le minacce è l'approccio più concreto.

Se vuoi vedere come funziona nella pratica, puoi Scarica E.D.E.R.A. gratuitamente e provarlo, oppure confrontarti con gli altri utenti sul Forum E.D.E.R.A..

Per approfondire: E.D.E.R.A. Project.

Domande frequenti

Qual è il tipo di sicurezza email migliore da scegliere nel client di posta?

Scegli SSL/TLS (o STARTTLS dove richiesto) con autenticazione tramite password o token e, se il provider lo offre, la verifica in due passaggi. Evita le connessioni senza cifratura: le credenziali e i messaggi potrebbero viaggiare in chiaro sulla rete.

Un'email con il lucchetto o con SPF e DKIM validi è sempre sicura?

No. Questi controlli dicono che il messaggio è stato cifrato in transito o che il dominio mittente è autorizzato, non che il contenuto sia innocuo. Un truffatore può usare un dominio proprio, con tutte le configurazioni corrette, per inviare phishing o allegati pericolosi.

Come faccio un controllo di sicurezza su un'email sospetta?

Non cliccare nulla. Verifica l'indirizzo reale del mittente, passa il cursore sui link per vedere la destinazione, controlla gli allegati e, se hai dubbi, accedi al servizio digitando tu l'indirizzo nel browser. Puoi anche esaminare le intestazioni tecniche del messaggio.

Le email di sicurezza di Instagram o WhatsApp possono essere false?

Sì, sono tra le esche più usate dal phishing. Non usare i link nel messaggio: apri l'app ufficiale e controlla nelle impostazioni di sicurezza se ci sono davvero avvisi o accessi anomali da confermare.