SPF, DKIM e DMARC: perché le tue email finiscono nello spam (e come evitarlo)

Hai scritto un preventivo, l’hai inviato e il cliente non l’ha mai visto: era nello spam. Oppure la newsletter che prima arrivava a tutti adesso torna indietro con un errore. Nella maggior parte dei casi il problema non è il testo del messaggio, ma il dominio da cui parte: se non dimostra di essere autorizzato a spedire, i grandi provider di posta lo trattano con sospetto.

Gli strumenti per dimostrarlo sono tre e si configurano tutti nel DNS del dominio: SPF, DKIM e DMARC.

Perché adesso sono (quasi) obbligatori

Da febbraio 2024 Gmail e Yahoo chiedono a chi invia email di autenticarle: almeno SPF o DKIM per tutti, e per chi spedisce grandi volumi (oltre 5.000 messaggi al giorno verso Gmail) anche SPF, DKIM e DMARC insieme, la disiscrizione con un clic per le email promozionali e un tasso di segnalazioni come spam molto basso. Da maggio 2025 anche Microsoft applica regole simili agli indirizzi Outlook.com e Hotmail.

Anche se non mandi migliaia di email al giorno, conviene adeguarsi: i filtri premiano i domini autenticati e penalizzano gli altri. È lo stesso principio dei filtri antispam: più segnali di affidabilità dai, meno rischi di finire nel posto sbagliato.

SPF: chi può spedire per il tuo dominio

SPF (Sender Policy Framework) è un record TXT che elenca i server autorizzati a inviare posta per il tuo dominio. Quando un messaggio arriva, il server del destinatario controlla se il mittente tecnico è in quella lista.

iltuodominio.it.  TXT  "v=spf1 a mx include:_spf.google.com ~all"

• a e mx: possono spedire il server del sito e quelli della posta del dominio;
• include:: aggiunge i server di un servizio esterno (qui Google Workspace; ogni servizio indica il suo);
• ~all: tutto il resto è sospetto. Con -all è rifiutato; non usare mai +all, che autorizza chiunque.

Due regole che si dimenticano spesso: ci deve essere un solo record SPF per dominio (se ne hai due, nessuno dei due vale) e il controllo può fare al massimo 10 ricerche DNS, quindi non esagerare con gli include.

DKIM: la firma digitale dei messaggi

DKIM (DomainKeys Identified Mail) firma ogni email con una chiave privata che resta sul server di posta. La chiave pubblica sta nel DNS, in un record TXT con un nome del tipo selettore._domainkey.iltuodominio.it. Chi riceve verifica la firma: se torna, il messaggio viene davvero dal tuo dominio e nessuno l’ha modificato per strada.

default._domainkey.iltuodominio.it.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...IDAQAB"

La chiave la genera il servizio che spedisce (il pannello dell’hosting, Google Workspace, Microsoft 365, la piattaforma della newsletter): tu devi solo pubblicarla nel DNS. Oggi è consigliata una chiave da 2048 bit.

DMARC: cosa fare con chi non passa i controlli

DMARC mette insieme SPF e DKIM e aggiunge due cose fondamentali. La prima è l’allineamento: il dominio che il destinatario vede nel campo “Da” deve coincidere con quello verificato da SPF o da DKIM, altrimenti un truffatore potrebbe superare i controlli con un altro dominio e usare il tuo nel mittente. La seconda è una politica: cosa deve fare il destinatario con i messaggi che non passano.

_dmarc.iltuodominio.it.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@iltuodominio.it"

• p=none: nessuna azione, solo monitoraggio. È il punto di partenza (e il minimo richiesto da Gmail, Yahoo e Microsoft);
• p=quarantine: i messaggi non autenticati finiscono nello spam;
• p=reject: vengono rifiutati. È la protezione completa contro chi si spaccia per te.
• rua=: l’indirizzo che riceve i rapporti giornalieri dei provider, utilissimi per scoprire chi spedisce a nome tuo.

Il percorso consigliato è graduale: parti da p=none, leggi i rapporti per qualche settimana, sistema i servizi che non risultano autenticati e solo dopo passa a quarantine e poi a reject.

Come verificare se è tutto a posto

1. Invia un’email a un indirizzo Gmail, aprila e scegli Mostra originale dal menu: in alto trovi l’esito di SPF, DKIM e DMARC. Devono essere tutti e tre PASS.
2. Controlla i record con uno strumento come MXToolbox o fai un test completo con mail-tester.com.
3. Verifica che il server che spedisce abbia anche il DNS inverso (record PTR) e usi una connessione cifrata (TLS): sono due requisiti che i provider controllano.

Gli errori più comuni

• Due record SPF sullo stesso dominio, magari uno aggiunto dal gestionale e uno dall’hosting: vanno uniti in uno solo.
• Dimenticare i servizi esterni: newsletter, CRM, fatturazione, e-commerce che spediscono a nome del dominio devono comparire nell’SPF e firmare con DKIM. Se usi l’email marketing, è il primo controllo da fare.
• Passare subito a p=reject senza aver letto i rapporti: rischi di bloccare anche le tue email legittime.
• Modificare il DNS sbagliato: se il dominio usa i DNS di un altro provider, i record aggiunti nel pannello dell’hosting non hanno effetto. Vanno messi dove il dominio punta davvero.

Su DNS Bazar

Sui nostri hosting con Plesk, quando i DNS del dominio sono gestiti da noi, la firma DKIM si attiva dalle impostazioni della posta e i record SPF e DMARC di base vengono creati insieme al dominio: resta solo da aggiungere eventuali servizi esterni. Se qualcosa non torna, apri un ticket e controlliamo insieme la configurazione del tuo dominio.