SPF, DKIM e DMARC spiegati: perché le email finiscono in spam

SPF, DKIM e DMARC sono tre impostazioni nel DNS del tuo dominio che dicono ai server di posta del mondo due cose: chi è autorizzato a spedire email a nome della tua azienda e cosa fare con i messaggi che fingono di arrivare da te. Se mancano o sono configurati male, le tue email finiscono più spesso nello spam, alcune vengono rifiutate, e il tuo dominio diventa un ottimo travestimento per chi vuole truffare i tuoi clienti.

Da qualche anno non sono più un dettaglio da tecnici: Gmail, Yahoo e Outlook li richiedono esplicitamente, con regole più severe per chi invia molti messaggi.

Cos'è SPF?

SPF (Sender Policy Framework) è un elenco pubblicato nel DNS con i server autorizzati a inviare posta per il tuo dominio. Quando un server riceve un'email che dice di arrivare da «info@tuaazienda.it», controlla se il server che l'ha consegnata è nell'elenco.

Un record SPF è una riga di testo come questa (i nomi sono di esempio):

v=spf1 include:_spf.fornitoreposta.example include:invii.gestionale.example -all

Significa: possono inviare per il mio dominio i server del fornitore di posta e quelli del gestionale; tutti gli altri no.

Cos'è DKIM?

DKIM (DomainKeys Identified Mail) è una firma digitale apposta a ogni email in uscita. Il server che invia firma il messaggio con una chiave privata; nel DNS del dominio è pubblicata la chiave pubblica corrispondente. Chi riceve verifica la firma: se torna, il messaggio è stato davvero inviato da un sistema autorizzato e non è stato modificato lungo la strada.

Ogni servizio che spedisce a tuo nome (la casella aziendale, la piattaforma della newsletter, l'e-commerce, il gestionale che manda le fatture) dovrebbe avere la sua firma DKIM configurata sul tuo dominio.

Cos'è DMARC?

DMARC mette insieme SPF e DKIM e aggiunge due cose fondamentali:

• una politica: cosa deve fare chi riceve un messaggio che dice di arrivare dal tuo dominio ma non supera i controlli. Le opzioni sono «none» (non fare niente, limitati a segnalare), «quarantine» (mettilo in spam) e «reject» (rifiutalo);
• dei rapporti: i grandi fornitori di posta ti mandano periodicamente un riepilogo di chi ha inviato email a nome del tuo dominio e con quale esito.

Un record DMARC iniziale può essere così:

v=DMARC1; p=none; rua=mailto:dmarc@tuaazienda.example

DMARC introduce anche il concetto di allineamento: non basta che SPF o DKIM passino, il dominio verificato deve corrispondere a quello che il destinatario vede nel campo «Da». È proprio questo che impedisce a un truffatore di usare il tuo nome con un server qualsiasi.

Perché ora sono obbligatori per Gmail e Outlook?

Dal febbraio 2024 Google e Yahoo hanno introdotto requisiti precisi per i mittenti:

• chiunque invii a caselle Gmail deve avere almeno SPF o DKIM configurati, connessioni cifrate e record DNS corretti;
• chi invia più di 5.000 messaggi al giorno a caselle Gmail deve avere SPF, DKIM e DMARC, con allineamento, oltre alla disiscrizione con un clic per i messaggi promozionali e un tasso di segnalazioni come spam basso.

Google ha annunciato che da novembre 2025 avrebbe reso più rigida l'applicazione di queste regole verso i messaggi non conformi. Anche Microsoft, nel 2025, ha introdotto requisiti analoghi per chi invia grandi volumi verso le caselle Outlook.com e Hotmail.

Una piccola azienda di solito non arriva a quei volumi, ma il punto è un altro: i filtri antispam guardano questi controlli per tutti i messaggi. Un dominio senza autenticazione parte svantaggiato.

Quali errori vedo più spesso?

Controllando i domini delle aziende, gli errori sono quasi sempre gli stessi:

1. Due record SPF nello stesso dominio, magari aggiunti da fornitori diversi. Lo standard ne ammette uno solo: con due, SPF fallisce.
2. Troppe inclusioni nel record SPF. Esiste un limite di dieci consultazioni DNS; superarlo rende il record non valido.
3. Servizi dimenticati: la casella funziona, ma le email del gestionale, delle prenotazioni o del sito partono da un server non autorizzato e finiscono in spam.
4. DKIM mai attivato sul servizio di posta, perché non era necessario per «far funzionare» la casella.
5. DMARC assente, oppure fermo per anni su «none» senza che nessuno legga i rapporti.
6. Il modulo contatti del sito che spedisce con il tuo indirizzo come mittente da un server qualunque.

Quest'ultimo caso è frequente e subdolo: il sito sembra funzionare, ma una parte delle richieste dei clienti non arriva, o arriva nello spam.

Come si passa a una politica DMARC più severa senza rompere niente?

Con gradualità, guardando i dati:

1. si pubblica DMARC con p=none e un indirizzo per ricevere i rapporti;
2. per qualche settimana si leggono i rapporti (meglio con uno strumento che li riassume) e si individuano tutti i servizi che spediscono a nome del dominio;
3. si configurano SPF e DKIM per ognuno di quelli legittimi;
4. si passa a p=quarantine, eventualmente su una percentuale dei messaggi;
5. quando i rapporti sono puliti, si arriva a p=reject.

Con p=reject, chi prova a spedire email false a nome della tua azienda viene bloccato dalla maggior parte dei grandi fornitori. È una delle difese più efficaci contro il phishing che sfrutta il tuo nome.

E i domini che non usano la posta?

Anche quelli vanno protetti. Se hai registrato varianti del dominio, o un dominio usato solo per il sito, i truffatori possono usarli per spedire email false proprio perché nessuno li controlla. Per questi domini si pubblicano un SPF che non autorizza nessuno e un DMARC con politica «reject». Bastano due righe.

Come verifico la situazione del mio dominio?

Puoi fare una prova semplice: manda un'email dalla casella aziendale a un indirizzo Gmail, aprila e scegli l'opzione per mostrare il messaggio originale. Vedrai l'esito dei controlli SPF, DKIM e DMARC. Ripeti la prova con le email automatiche del sito, dell'e-commerce e del gestionale: spesso è lì che salta fuori il problema.

Cosa c'entra tutto questo con le email del gestionale e del sito?

Moltissimo, ed è il punto che si trascura più spesso. Una piccola impresa oggi spedisce email da tanti sistemi diversi: la casella dei dipendenti, il modulo contatti del sito, le conferme d'ordine dell'e-commerce, le fatture dal programma di contabilità, le conferme di prenotazione, i promemoria degli appuntamenti. Ognuno di questi sistemi è un mittente a nome del tuo dominio e deve essere autorizzato.

Quando sviluppo un gestionale o un portale che invia email, faccio partire i messaggi da un servizio di invio affidabile, con SPF e DKIM configurati sul dominio del cliente e un indirizzo mittente dedicato agli invii automatici. Così le conferme arrivano nella casella giusta, e un problema su un sistema non compromette la reputazione della posta di tutti.

Ogni quanto vanno ricontrollati?

Ogni volta che aggiungi un servizio che spedisce a tuo nome, e comunque almeno un paio di volte l'anno leggendo i rapporti DMARC. I fornitori cambiano server, le chiavi DKIM vanno rinnovate, qualcuno in azienda attiva una nuova piattaforma per le newsletter senza dirlo a nessuno. I rapporti DMARC servono proprio a questo: ti mostrano in anticipo chi sta spedendo a tuo nome, prima che i clienti ti dicano che le email non arrivano.

Ne parliamo?

Se le tue email finiscono in spam, o non sai quali servizi spediscono a nome della tua azienda, scrivimi dalla pagina contatti. Faccio l'inventario dei servizi, sistemo SPF, DKIM e DMARC e accompagno il passaggio a una politica sicura, nell'ambito della manutenzione e dell'hosting o di una consulenza tecnica dedicata. Se stai attivando ora la posta con il tuo dominio, parti dalla guida all'email aziendale con dominio.

Fonti

• Assistenza Google Workspace, Linee guida per i mittenti di email
• Microsoft Tech Community, i nuovi requisiti di Outlook per chi invia grandi volumi di email
• RFC 7489, Domain-based Message Authentication, Reporting, and Conformance (DMARC)

Crediti delle immagini

• Copertina: foto di Mathyas Kurmann su Unsplash