sì. Ricordati che a differenza del redirect, l'include usa i ":" e che dopo l'include devi comunque mettere il fallback (~all) che invece con il redirect non ci va.
e.g:
"v=spf1 ip4:X.Y.Z.W include:_spf.telecomitalia.it ~all"

Ok,
ma una cosa non mi è chiara:
Io invio una mail da casa e alice di telecom mi autentica come utenteATalice.it sul suo smarthost che consegna la posta,
ma io invio la mail da utenteATmiodominio.it
io inserisco il record spf nel dns del mio dominio, autorizzo lo smarthost di telecom, tra gli altri, ma lui riconosce nelle sue regole spf il miodominio?

Questo è il responso che ho da Gmail:

Delivered-To: xxxxxATgmail.com Received: by 10.180.101.0 with SMTP id fc8csp1602....; Wed, 27 Feb 2013 04:47:52 -0800 (PST) X-Received: by 10.194.10.100 with SMTP id k10mr3602150wjb.53.13.........6; Wed, 27 Feb 2013 04:47:52 -0800 (PST) Return-Path: <xxxxxATmiodominio.it> Received: from smtp203.alice.it (smtp203.alice.it. [82.57.200.99]) by mx.google.com with ESMTP id eb9s.........wib.115.2013.02.27.04.47.51; Wed, 27 Feb 2013 04:47:51 -0800 (PST) Received-SPF: neutral (google.com: 82.57.200.88 is neither permitted nor denied by best guess record for domain of fabioATmiodominio.it) client-ip=82.57.200.88; Authentication-Results: mx.google.com; spf=neutral (google.com: 82.57.200.88 is neither permitted nor denied by best guess record for domain of fabioATmiodominio.it) smtp.mail=fabioATmiodominio.it Received: from [192.168.0.101] (79.49.200.186) by smtp203.alice.it (8.6.060.15) (authenticated as utenteATalice.it) id 5123A597007ED2C5 for xxxxxATgmail.com; Wed, 27 Feb 2013 13:47:51 +0100

spf=neutral (google.com: 82.57.200.88 is neither permitted nor denied by best guess record for domain of fabioATmiodominio.it)
non capisco perchè 82.57.200.88 e non 82.57.200.99 che invece sembra essere l'IP del server che spedisce.

Comunque lui controlla il dominio "miodominio.it" : considerando che parla di "best guess" significa che non ha trovato un record SPF su quel dominio.

scusa, ho cambiato io un pò di numeri nella trascrizione...!
cmq l'spf c'è, ho nell'include Amazon e funziona, però su amazon ho verificato il mio indirizzo... grazie per avermi seguito fin qui. Il problema è che il mio host condiviso non mi permettere di usare il suo smtp da casa, e allora uso quello di alice, e non vorrei per questo perdere qualche mail per strada

Basta che aggiungi all'SPF del tuo dominio anche l'include di telecomitalia che dicevamo prima. (non so cosa intendi con Amazon e le verifiche di amazon: amazon spedisce email per tuo conto? O usi amazon SES?)

Si, sto provando SES con un applicazione lato web che gira su Ec2,
cmq l'include di telecom l'ho già inserito sul dns del mio dominio, ma la risposta è quella che ti ho postato...:?

Se riporti i domini reali e gli IP reali posso fare qualche verifica in più, altrimenti è impossibile.
Sei sicuro che il DNS sia propagato correttamente?

Al limite puoi provare con www.kitterman.com/spf/validate.html : l'ultimo form ti permette di simulare un check SPF dicendo l'IP da verificare e il dominio da verificare.

il dns l'ho fatto solo oggi, ma di solito ci mette poco, è su natan.it

1virgola618puntoit,

ip 217 73 226 135

smtp. . . . 151

Mancano gli spazi nei tuoi record! Verificali con un qualunque validatore e te lo dirà.
Così come sono ora è come se tu non avessi un record SPF.

mhm... sul validatore escono così...
però i due include che ho già messo funzionano, google mi da 'pass', e anche il check di Ses mi dà ok.
Nel dns sul mio host, centos con plesk, non ho il campo spf, li devo mettere come txt. Allora, letto da qualche parte, ho messo il record tra virgolette doppie "record".
Tra l'altro ho anche la firma dkim, che andrebbe inserita come CNAME, ma plesk non permette l'underscore(problema noto), allora ho messo anche questa in un campo txt del dns e google me la passa....
Che non sia quello giusto, l'spf per telecom?
nell'header mi da smtp(cifre).alice.it

Girala come vuoi. Se google te la passa o meno non ti so dire, se il validatore Ses la passa o meno non so (mi sembra strano in entrambi i casi, ma poco importa), però il modo in cui il tuo DNS risponde è questo:

host -t txt tuodominio

tuodominio descriptive text "" "spf2.0/pra" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "include:spf.mailjet.com" "include:amazonses.com" "include:_spf.telecomitalia.it" "~all" ""
tuodominio descriptive text "" "v=spf1" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "include:spf.mailjet.com" "include:amazonses.com" "include:_spf.telecomitalia.it" "~all" ""

In presenza di stringhe multiple queste vengono concatenate e vedi che alla fine non escono gli spazi tra una e l'altra.
Devi mettere delle spaziature in più.

Oh Bago, tu hai ragione, ma io l'spf l'ho messo in un unica stringa...
Ora ho tolto le virgolette
gli spazi ci sono, non so altrimenti come metterli, in tag html?

Quello che ha adesso dns.natan.it è corretto (solo i v=spf1, invece l'spf2 è ancora sbagliato).
dns2.natan.it ha ancora un record sbagliato.

Hai dei TTL di 86400 secondi, quindi intanto sistema entrambi i record su entrambi i server, poi aspetta almeno 1 giorno che si sia propagato tutto.

Ok, le virgolette non ci andavano.
Domani riprovo a mandare una mail da casa e vediamo come va.
Grazie per la pazienza.

Niente da fare,
le mail vengono consegnate da smtpxxx-alice.it,
l'ip è in questo range: 82.57.200.0-254 (dove ci sono anche host-123-200-static .xxxx.alice.it., ecc + altri server) perchè il mio server in uscita da casa è out.alice.it
devo autorizzare questi IP? (ip4:82.57.200.0/24 e non ci penso piu...)

Vorrei capire meglio,
ti posto gli header, mail inviata dal mio dominio e da una gmail:
però per capire meglio,
se invio ad una gmail da fabioATmiodominio.it (dal mio pc con alice e server in uscita smtp alice) vedo questo:
RECEIVED from smtp203.alice.it (smtp203.alice.it. 82.57.200.99]) by mx.google.com with ESMTP id o2si5164648wie.120.2013.03.01.01.44.52; Fri, 01 Mar 2013 01:44:52 -0800 (PST)
RECEIVED from [192.168.0.101] (79.16.57.151) by smtp203.alice.it (8.6.060.15) (authenticated as xxxATalice.it) id 5123A59700A2026B for fxxxATgmail,com; Fri, 1 Mar 2013 10:44:51 +0100
SPF: softfail (google.com: domain of transitioning fabioAT1virgola618.it does not designate 82.57.200.99 as permitted sender) client-ip=82.57.200.99;

Se invio ad una gmail da fabioATgmail.com (dal mio pc con alice e server in uscita smtp di google) vedo questo:
RECEIVED from mail-ee0-f45.google.com (mail-ee0-f45.google.com 74.125.83.45]) by mx.google.com with ESMTPS id 4si17580427eee.153.2013.03.01.01.36.55 (version=TLSv1 cipher=ECDHE-RSA-RC4-SHA bits=128/128); Fri, 01 Mar 2013 01:36:55 -0800 (PST)
RECEIVED from [192.168.0.101] (host151-57-dynamic.16-79-r.retail.telecomitalia.it. [79.16.57.151]) by mx.google.com with ESMTPS id t4sm16199568eel.0.2013.03.01.01.36.54 (version=TLSv1 cipher=ECDHE-RSA-RC4-SHA bits=128/128); Fri, 01 Mar 2013 01:36:54 -0800 (PST)
SPF: pass (google.com: domain of fabio.morronaATgmail.com designates 74.125.83.45 as permitted sender) client-ip=74.125.83.45;

In ogni caso usa il formato corretto in quanto quello che avevi precedentemente, senza spazi, non può andare bene.
E comunque sei sempre un po' a rischio in quanto non puoi sapere se alice deciderà di spedire le email da IP diversi da un giorno all'altro.

Ok,
gli spazi erano spariti automaticamente quando avevo messo tutta la stringa tra virgolette, ora sono a posto.

Dici bene, comunque è un softfail.
La tua indicazione di recuperare l'spf da telecom mi sembrava la via giusta, così se cambiano ip si aggiornerebbe da se, ma io non ne sono venuto a capo.
Dovrei chiederlo a loro ( a chi, alle centraliniste...) ?

Forse non c'è soluzione nel senso che se loro non pubblicano un spf non ci puoi fare nulla. Una soluzione sarebbe evitare di usare l'smtp di alice, o usare domini differenti (un sottodominio?) per le email sulle quali vuoi usare SPF e le email che vengono usate da persone che possono usare anche l'smtp di alice.

Si, infatti posso usare l'smtp di Ses, volevo capire come inplementare questa cosa di telecom, che cmq a livello di sicurezza vale nulla visto qualunque pc infetto su rete alice sarebbe poi autorizzato ad usare il mio dominio.

Grazie cmq per l'aiuto.