Guida passo passo per dichiarare Clean Mailbox come gateway in ingresso in Google Workspace ed evitare problemi di consegna causati da SPF.
La console di amministrazione di Google cambia regolarmente: i menu, le etichette e le posizioni descritti di seguito possono differire da quelli che vedi oggi. Questa guida è fornita a titolo indicativo per aiutarti; non sostituisce il supporto ufficiale di Google, unico responsabile dell'assistenza ai propri clienti nell'amministrazione del loro dominio Google Workspace. Consulta la guida ufficiale di Google sul gateway in ingresso (in inglese) per il riferimento aggiornato.
Quando Gmail riceve un'email inoltrata da Clean Mailbox, vede per impostazione predefinita l'indirizzo IP dei nostri server anziché quello del mittente originale. Se il dominio mittente applica un record SPF rigido (-all), Gmail può trattare l'email come non autenticata, dato che l'IP di Clean Mailbox non è elencato nel record SPF del mittente.
Google Workspace dispone di un'impostazione Gateway in ingresso pensata proprio per questo caso: una volta dichiarati i tuoi server Clean Mailbox, Gmail può recuperare il vero indirizzo IP del mittente originale (analizzando gli header Received: from del messaggio) per valutare l'SPF, anziché valutarlo rispetto all'IP del gateway.
Questa guida è destinata all'amministratore del dominio (o al tuo fornitore IT) e descrive una configurazione da eseguire una sola volta, dopo aver puntato i tuoi record MX a Clean Mailbox.
Questa guida si applica ai domini le cui caselle sono ospitate su Google Workspace e protette in ingresso da Clean Mailbox. A differenza di altri sistemi di posta, Gmail non applica la policy DMARC del dominio mittente ai messaggi ricevuti tramite un gateway in ingresso dichiarato; si basa invece sulle informazioni di autenticazione di cui dispone per la propria valutazione antispam.
Clean Mailbox inoltra le tue email in ingresso dai seguenti indirizzi. Ti serviranno per il passaggio 2 qui sotto.
| Tipo | Indirizzi |
|---|---|
| IPv4 |
213.32.76.196/3251.178.81.41/3245.63.114.93/32163.172.164.47/32 |
| IPv6 |
2001:41d0:404:200::4d8f/1282001:41d0:302:1000::500/1282001:19f0:6801:10c:5400:ff:fe58:b68/1282001:bc8:710:a30:dc00:ff:fe8a:301/128 |
Questo elenco può cambiare con l'evoluzione dell'infrastruttura di Clean Mailbox. Prima di applicare questa configurazione, verifica l'elenco aggiornato dal tuo portale clienti. Tieni presente inoltre che Google Workspace accetta in questa impostazione solo indirizzi IP pubblici: gli intervalli privati vengono rifiutati.
Dalla console di amministrazione di Google, apri il menu e vai su App → Google Workspace → Gmail, poi clicca su Spam, phishing e malware. Questa pagina richiede un account con privilegi di amministratore Gmail.
Nel pannello a sinistra, seleziona l'unità organizzativa di primo livello (a meno che tu non voglia applicare questa configurazione solo a una specifica unità organizzativa), poi scorri fino all'impostazione Gateway in ingresso e clicca su Modifica.
Nel pannello che si apre, clicca su Aggiungi, poi inserisci uno degli indirizzi IPv4 di Clean Mailbox elencati sopra (uno alla volta, nel formato x.x.x.x/32). Ripeti per ogni indirizzo.
Se la tua posta transita anche su IPv6, puoi provare ad aggiungere allo stesso modo gli intervalli IPv6; se il campo li rifiuta, contattaci — il solo IPv4 è sufficiente per la grande maggioranza delle configurazioni.
Clicca poi su Salva per confermare l'elenco degli indirizzi.
Nella stessa pagina di configurazione del gateway in ingresso, tre opzioni meritano la tua attenzione:
Received: from del messaggio per trovare il primo indirizzo IP pubblico non presente nell'elenco del gateway e valuterà l'SPF rispetto a quell'IP originale anziché a quello di Clean Mailbox. È ciò che evita i falsi rifiuti SPF descritti sopra.Se un header Received: from è malformato, Gmail non può determinare l'indirizzo IP originale e ripiega sul controllo del solo hop precedente. Esiste anche un'opzione avanzata di tag antispam basata su espressioni regolari, per indicare a Gmail di fidarsi del punteggio antispam di un gateway invece di eseguire una propria valutazione; la maggior parte dei clienti non ne ha bisogno, perché Clean Mailbox filtra già lo spam a monte, ma contattaci se desideri usarla.
Clicca su Salva in fondo alla pagina. L'applicazione delle modifiche può richiedere fino a 24 ore, anche se di solito è più rapida; puoi seguire l'avanzamento nel registro di controllo della console di amministrazione.
Una volta salvata la configurazione e scaduto il TTL dei tuoi record MX, invia un'email di prova da un dominio esterno con un record SPF rigido e controlla nel messaggio ricevuto (tramite il menu Gmail Mostra originale) che la valutazione SPF/Authentication-Results si basi sull'indirizzo IP originale del mittente e non su quello di Clean Mailbox.
No: secondo la documentazione di Google, la policy DMARC del dominio mittente non viene applicata ai messaggi ricevuti tramite un gateway in ingresso dichiarato. Gmail si basa sulle informazioni di autenticazione di cui dispone per la propria valutazione antispam.
No, non avrebbe alcun effetto: quando lo stesso indirizzo IP compare sia nell'elenco del gateway in ingresso sia in una lista di indirizzi consentiti, prevale la voce dell'elenco del gateway. Per consentire a un mittente specifico di aggirare il filtro antispam, aggiungi alla lista l'IP originale reale di quel mittente (individuato tramite gli header), non l'IP del gateway.
Il nostro supporto può aiutarti a confermare gli indirizzi IP da autorizzare o a diagnosticare un problema di consegna. Per l'amministrazione del tuo dominio Google Workspace, rivolgiti al supporto Google o al tuo fornitore IT.
Domande sulla prova, sulla configurazione, sui prezzi o su una partnership? Siamo qui — e rispondiamo in fretta.