SPF, DKIM e DMARC in dieci minuti

Puoi scrivere la migliore email della tua vita e nessuno la leggerà. Non perché l'oggetto sia debole, ma perché il server che la riceve non sa se l'hai inviata davvero tu e, nel dubbio, la manda nello spam.

Per sciogliere quel dubbio esistono tre record che si pubblicano nel DNS del tuo dominio: SPF, DKIM e DMARC. Dal 2024 Gmail e Yahoo li chiedono a chi invia email ai loro utenti, e dal 2025 anche Outlook. La buona notizia è che si configurano una volta sola, in una decina di minuti, e poi non vanno più toccati. In questo articolo spieghiamo cosa fa ciascuno, come si configurano in Google Workspace e Microsoft 365 e come verificare che funzionino.

Il problema: chiunque può scrivere il tuo indirizzo

L'email è stata progettata in un'epoca in cui nessuno pensava ai furti d'identità. Il protocollo permette a qualsiasi server di inviare un messaggio che dica «Da: giulia@tuaazienda.it», così come chiunque può scrivere il tuo indirizzo come mittente sul retro di una busta.

SPF, DKIM e DMARC sono il modo per dimostrare che la busta è tua. Ognuno risponde a una domanda diversa:

• SPF: questo server ha il permesso di inviare email per questo dominio?
• DKIM: il messaggio porta la firma del dominio e non è stato modificato lungo il percorso?
• DMARC: se qualcosa di tutto questo fallisce, cosa deve fare chi riceve l'email? E a chi lo deve riferire?

Un buon paragone è una raccomandata: SPF è l'elenco degli uffici postali autorizzati a spedire a tuo nome, DKIM è il sigillo di ceralacca e DMARC sono le istruzioni che lasci all'ufficio di destinazione su cosa fare con una lettera senza sigillo.

SPF: chi può inviare a tuo nome

SPF (Sender Policy Framework) è un record di testo (TXT) del tuo dominio con l'elenco dei server che possono inviare email a suo nome. Quando arriva un messaggio, il server di destinazione guarda da dove proviene e lo confronta con quell'elenco.

Un record SPF ha questo aspetto:

v=spf1 include:_spf.google.com ~all

• v=spf1 indica che è un record SPF.
• include:_spf.google.com autorizza i server di Google Workspace. Con Microsoft 365 sarebbe include:spf.protection.outlook.com.
• ~all dice che qualsiasi altro server «probabilmente non» è autorizzato (fallimento morbido). Con -all il fallimento è rigoroso.

Tre errori comuni:

1. Avere due record SPF. Ce ne può essere solo uno per dominio. Se usi Google Workspace e anche uno strumento di fatturazione che invia email, i due include vanno nello stesso record: v=spf1 include:_spf.google.com include:altroservizio.com ~all.
2. Superare le dieci query. Ogni include conta come una query DNS, e alcuni ne nascondono altri al loro interno. Lo standard fissa un massimo di dieci; oltre, la verifica fallisce.
3. Dimenticare un servizio. Se invii da un server che non è nell'elenco (il tuo sito, il tuo CRM, uno strumento di prospezione con SMTP proprio), quelle email non supereranno l'SPF.

DKIM: la firma di ogni email

DKIM (DomainKeys Identified Mail) aggiunge a ogni email una firma digitale. Il tuo provider firma il messaggio con una chiave privata che ha solo lui, e tu pubblichi nel DNS la chiave pubblica perché chiunque possa verificare la firma. Se qualcuno cambia anche solo una virgola del messaggio lungo il percorso, la firma non torna più.

A differenza dell'SPF, la chiave DKIM non te la inventi: la genera il tuo provider di posta e tu devi solo copiarla nel DNS.

• Google Workspace: nella Console di amministrazione, vai su App › Google Workspace › Gmail › Autentica email, genera una chiave a 2048 bit e copia il record TXT che ti fornisce, con il nome google._domainkey. Poi torna nella console e fai clic su Avvia autenticazione.
• Microsoft 365: nel portale di Microsoft Defender, nelle impostazioni DKIM del tuo dominio, ti vengono indicati due record CNAME (selector1._domainkey e selector2._domainkey). Li crei nel tuo DNS e attivi la firma.

La parte prima di ._domainkey si chiama selettore. Serve perché uno stesso dominio possa avere più chiavi, per esempio una per Google e un'altra per il tuo strumento di fatturazione.

DMARC: cosa fare quando qualcosa fallisce

SPF e DKIM verificano delle cose, ma non dicono cosa fare se falliscono. Lo dice DMARC (Domain-based Message Authentication, Reporting and Conformance), che aggiunge una condizione importante: l'allineamento. Non basta che l'email superi SPF o DKIM; il dominio che li supera deve essere lo stesso che compare nel «Da:» che vede il destinatario.

Il record DMARC è un altro TXT, con il nome _dmarc nel tuo dominio:

v=DMARC1; p=none; rua=mailto:dmarc@tuaazienda.it

• p= è la policy: none (non fare nulla, informami e basta), quarantine (mandala nello spam) o reject (rifiutala).
• rua= è l'indirizzo a cui i grandi provider ti inviano report giornalieri su chi sta inviando email a nome del tuo dominio e se supera le verifiche.

Come andare avanti senza rompere nulla:

1. Parti con p=none e un indirizzo rua. È il minimo che chiedono Google, Yahoo e Microsoft.
2. Per qualche settimana, guarda i report (ci sono servizi gratuiti che li rendono leggibili). Cerca servizi legittimi che falliscono: il sito che invia i moduli, lo strumento di fatturazione, la newsletter.
3. Quando tutto ciò che è legittimo supera le verifiche, passa a p=quarantine e, più avanti, a p=reject. Da lì in poi, chi prova a spacciarsi per il tuo dominio avrà vita molto difficile.

Cosa chiedono Gmail, Yahoo e Outlook

Da febbraio 2024, Google e Yahoo richiedono a tutti i mittenti SPF o DKIM. A chi invia più di 5.000 email al giorno ad account Gmail chiedono inoltre SPF, DKIM e DMARC (con p=none basta), allineamento con il dominio del «Da:», disiscrizione con un clic e un tasso di segnalazioni di spam sotto lo 0,3%. Da maggio 2025, Outlook chiede lo stesso ai mittenti con volumi elevati.

Se fai prospezione dalla tua casella, probabilmente non arrivi a 5.000 al giorno. Ma i filtri non si limitano ad applicare le regole: valutano anche la fiducia. Un dominio con i tre record configurati bene parte avvantaggiato rispetto a uno che non li ha, anche se invia poco.

Come verificare che funzioni

Il modo più semplice non richiede strumenti:

1. Invia un'email dalla tua casella a un account Gmail.
2. Aprila, fai clic sui tre puntini e scegli Mostra originale.
3. In alto vedrai tre righe: SPF: PASS, DKIM: PASS e DMARC: PASS. Se una dice FAIL o non compare, sai già cosa controllare.

Tieni presente che le modifiche al DNS possono richiedere da qualche minuto a qualche ora per propagarsi. Se hai appena creato un record e la verifica fallisce, aspetta un po' prima di toccare altro.

La checklist dei dieci minuti

• Un solo record SPF con tutti i servizi che inviano a tuo nome.
• DKIM generato dal tuo provider (Google Workspace o Microsoft 365), pubblicato nel DNS e attivato.
• Record DMARC su _dmarc con p=none e un indirizzo rua per i report.
• Prova con «Mostra originale» in Gmail: tre PASS.
• Tra qualche settimana, controllare i report e passare a quarantine.

Così, l'email che ti è costata tanta fatica scrivere ha almeno la possibilità che qualcuno la legga.