Se riporti i domini reali e gli IP reali posso fare qualche verifica in più, altrimenti è impossibile.
Sei sicuro che il DNS sia propagato correttamente?

Al limite puoi provare con www.kitterman.com/spf/validate.html : l'ultimo form ti permette di simulare un check SPF dicendo l'IP da verificare e il dominio da verificare.

il dns l'ho fatto solo oggi, ma di solito ci mette poco, è su natan.it

1virgola618puntoit,

ip 217 73 226 135

smtp. . . . 151

Mancano gli spazi nei tuoi record! Verificali con un qualunque validatore e te lo dirà.
Così come sono ora è come se tu non avessi un record SPF.

mhm... sul validatore escono così...
però i due include che ho già messo funzionano, google mi da 'pass', e anche il check di Ses mi dà ok.
Nel dns sul mio host, centos con plesk, non ho il campo spf, li devo mettere come txt. Allora, letto da qualche parte, ho messo il record tra virgolette doppie "record".
Tra l'altro ho anche la firma dkim, che andrebbe inserita come CNAME, ma plesk non permette l'underscore(problema noto), allora ho messo anche questa in un campo txt del dns e google me la passa....
Che non sia quello giusto, l'spf per telecom?
nell'header mi da smtp(cifre).alice.it

Girala come vuoi. Se google te la passa o meno non ti so dire, se il validatore Ses la passa o meno non so (mi sembra strano in entrambi i casi, ma poco importa), però il modo in cui il tuo DNS risponde è questo:

host -t txt tuodominio

tuodominio descriptive text "" "spf2.0/pra" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "include:spf.mailjet.com" "include:amazonses.com" "include:_spf.telecomitalia.it" "~all" ""
tuodominio descriptive text "" "v=spf1" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "ip4:XXX.XXX.XXX.XXX" "include:spf.mailjet.com" "include:amazonses.com" "include:_spf.telecomitalia.it" "~all" ""

In presenza di stringhe multiple queste vengono concatenate e vedi che alla fine non escono gli spazi tra una e l'altra.
Devi mettere delle spaziature in più.

Oh Bago, tu hai ragione, ma io l'spf l'ho messo in un unica stringa...
Ora ho tolto le virgolette
gli spazi ci sono, non so altrimenti come metterli, in tag html?

Quello che ha adesso dns.natan.it è corretto (solo i v=spf1, invece l'spf2 è ancora sbagliato).
dns2.natan.it ha ancora un record sbagliato.

Hai dei TTL di 86400 secondi, quindi intanto sistema entrambi i record su entrambi i server, poi aspetta almeno 1 giorno che si sia propagato tutto.

Ok, le virgolette non ci andavano.
Domani riprovo a mandare una mail da casa e vediamo come va.
Grazie per la pazienza.

Niente da fare,
le mail vengono consegnate da smtpxxx-alice.it,
l'ip è in questo range: 82.57.200.0-254 (dove ci sono anche host-123-200-static .xxxx.alice.it., ecc + altri server) perchè il mio server in uscita da casa è out.alice.it
devo autorizzare questi IP? (ip4:82.57.200.0/24 e non ci penso piu...)

Vorrei capire meglio,
ti posto gli header, mail inviata dal mio dominio e da una gmail:
però per capire meglio,
se invio ad una gmail da fabioATmiodominio.it (dal mio pc con alice e server in uscita smtp alice) vedo questo:
RECEIVED from smtp203.alice.it (smtp203.alice.it. 82.57.200.99]) by mx.google.com with ESMTP id o2si5164648wie.120.2013.03.01.01.44.52; Fri, 01 Mar 2013 01:44:52 -0800 (PST)
RECEIVED from [192.168.0.101] (79.16.57.151) by smtp203.alice.it (8.6.060.15) (authenticated as xxxATalice.it) id 5123A59700A2026B for fxxxATgmail,com; Fri, 1 Mar 2013 10:44:51 +0100
SPF: softfail (google.com: domain of transitioning fabioAT1virgola618.it does not designate 82.57.200.99 as permitted sender) client-ip=82.57.200.99;

Se invio ad una gmail da fabioATgmail.com (dal mio pc con alice e server in uscita smtp di google) vedo questo:
RECEIVED from mail-ee0-f45.google.com (mail-ee0-f45.google.com 74.125.83.45]) by mx.google.com with ESMTPS id 4si17580427eee.153.2013.03.01.01.36.55 (version=TLSv1 cipher=ECDHE-RSA-RC4-SHA bits=128/128); Fri, 01 Mar 2013 01:36:55 -0800 (PST)
RECEIVED from [192.168.0.101] (host151-57-dynamic.16-79-r.retail.telecomitalia.it. [79.16.57.151]) by mx.google.com with ESMTPS id t4sm16199568eel.0.2013.03.01.01.36.54 (version=TLSv1 cipher=ECDHE-RSA-RC4-SHA bits=128/128); Fri, 01 Mar 2013 01:36:54 -0800 (PST)
SPF: pass (google.com: domain of fabio.morronaATgmail.com designates 74.125.83.45 as permitted sender) client-ip=74.125.83.45;

In ogni caso usa il formato corretto in quanto quello che avevi precedentemente, senza spazi, non può andare bene.
E comunque sei sempre un po' a rischio in quanto non puoi sapere se alice deciderà di spedire le email da IP diversi da un giorno all'altro.

Ok,
gli spazi erano spariti automaticamente quando avevo messo tutta la stringa tra virgolette, ora sono a posto.

Dici bene, comunque è un softfail.
La tua indicazione di recuperare l'spf da telecom mi sembrava la via giusta, così se cambiano ip si aggiornerebbe da se, ma io non ne sono venuto a capo.
Dovrei chiederlo a loro ( a chi, alle centraliniste...) ?

Forse non c'è soluzione nel senso che se loro non pubblicano un spf non ci puoi fare nulla. Una soluzione sarebbe evitare di usare l'smtp di alice, o usare domini differenti (un sottodominio?) per le email sulle quali vuoi usare SPF e le email che vengono usate da persone che possono usare anche l'smtp di alice.

Si, infatti posso usare l'smtp di Ses, volevo capire come inplementare questa cosa di telecom, che cmq a livello di sicurezza vale nulla visto qualunque pc infetto su rete alice sarebbe poi autorizzato ad usare il mio dominio.

Grazie cmq per l'aiuto.