Come configurare SPF, DKIM e DMARC per la mail aziendale

Se preventivi, fatture o mail a freddo finiscono nello spam, controlla il DNS prima di riscrivere un solo oggetto. I provider di posta decidono se fidarsi di un messaggio soprattutto in base a quanto il tuo dominio dimostra di averlo inviato. Tre record forniscono quella prova, e a molti domini aziendali ne manca almeno uno.

Da febbraio 2024 Gmail e Yahoo richiedono SPF, DKIM e DMARC a chi invia più di 5.000 messaggi al giorno ai loro utenti, e chiedono un tasso di segnalazioni di spam inferiore allo 0,3%. Le caselle Outlook.com, Hotmail e Live di Microsoft hanno aggiunto regole analoghe per i grandi volumi a maggio 2025. Magari ne invii molti meno di 5.000 al giorno. I controlli ti riguardano comunque, perché i piccoli mittenti non autenticati vengono filtrati per primi.

Servono circa un’ora. Non devi scrivere codice. Ti serve l’accesso al luogo in cui risiede il DNS del tuo dominio e alla console di amministrazione del tuo provider di posta.

Table of contents

Open Table of contents

• Cosa fa ogni record
• Passo 1: fai l’inventario di tutto ciò che invia con il tuo dominio
• Passo 2: controlla cosa hai oggi
• Passo 3: pubblica un solo record SPF
• Passo 4: attiva DKIM per ogni mittente
• Passo 5: aggiungi DMARC con p=none e leggi i report
• Passo 6: passa all’applicazione
• Chiedi a Claude o ChatGPT di farlo
• Verifica e mantieni tutto in salute

Cosa fa ogni record

1. SPF è un elenco, pubblicato nel DNS, dei servizi autorizzati a inviare posta con il tuo dominio. Il server ricevente confronta il server mittente con quell’elenco.
2. DKIM è una firma che il tuo provider di posta allega a ogni messaggio. La chiave pubblica corrispondente sta nel tuo DNS, così il destinatario può verificare che il messaggio non sia stato alterato e sia passato davvero dal tuo provider.
3. DMARC dice ai riceventi cosa fare quando SPF e DKIM falliscono per il tuo dominio e dove inviare i report. Richiede inoltre che il dominio autenticato coincida con l’indirizzo visibile nel campo Da.

Senza DMARC, SPF e DKIM sono solo indicativi. Con DMARC ricevi un report su chi invia posta a tuo nome, compreso il mittente che avevi dimenticato.

Passo 1: fai l’inventario di tutto ciò che invia con il tuo dominio

È il passo che molti saltano, ed è per questo che poi rompono la propria posta. Annota tutto ciò che invia dal tuo dominio:

• Le tue caselle (Microsoft 365, Google Workspace o ciò che GoDaddy ha attivato)
• La tua piattaforma di email marketing
• Il tuo CRM e lo strumento di fatturazione
• I moduli del sito e la posta transazionale di WordPress
• Il tuo helpdesk e ogni strumento di prenotazione

Se usi una casella Microsoft 365 tramite GoDaddy, la mia guida su come funziona oggi l’accesso alla posta GoDaddy spiega perché l’amministrazione sta nel portale Microsoft. È lì che attiverai DKIM.

Passo 2: controlla cosa hai oggi

Apri uno strumento gratuito come MXToolbox, Check MX di Google Admin Toolbox o il verificatore DMARC di dmarcian e inserisci il tuo dominio. Annota tre cose:

• C’è esattamente un record TXT che inizia con v=spf1? Due sono un errore, non un backup.
• Il tuo provider mostra DKIM come attivo nella firma?
• Esiste un record TXT su _dmarc.tuodominio.com?

Meglio ancora: invia un messaggio di prova dal tuo indirizzo aziendale a un account Gmail, aprilo, scegli “Mostra originale” e leggi le righe SPF, DKIM e DMARC in alto. Ognuna deve dire PASS.

Passo 3: pubblica un solo record SPF

Aggiungi un unico record TXT alla radice del dominio. Elenca ogni mittente con un include: e termina con una policy.

Include comuni:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• La tua piattaforma di email marketing e il tuo CRM pubblicano ciascuno il proprio valore include nella documentazione. Copialo da lì e non da un articolo di blog, compreso questo.

Un risultato tipico è v=spf1 include:spf.protection.outlook.com include:valore-del-tuo-esp ~all.

Due regole spiegano la maggior parte degli errori SPF. Primo, un solo record per dominio: unisci i nuovi mittenti alla riga esistente invece di aggiungere un secondo record. Secondo, SPF consente 10 ricerche DNS in totale, e ogni include: conta, anche quelli annidati. Oltre dieci, i riceventi trattano SPF come errore permanente. Se sei vicino al limite, elimina i servizi che non usi più prima di aggiungerne.

Usa ~all (soft fail) finché scopri ancora mittenti, e valuta -all quando i report DMARC sono puliti.

Passo 4: attiva DKIM per ogni mittente

DKIM si configura dentro ogni servizio di invio e poi si pubblica nel DNS.

• Microsoft 365: nel portale Microsoft Defender apri le impostazioni DKIM sotto l’autenticazione della posta, scegli il dominio e attiva la firma. Prima ti dà due record CNAME (selector1._domainkey e selector2._domainkey) da aggiungere al DNS. L’attivazione fallisce finché non si sono propagati, e possono volerci alcune ore.
• Google Workspace: nella console di amministrazione, sotto autenticazione Gmail, genera una chiave per il dominio, pubblica il record TXT mostrato e fai clic su Avvia autenticazione.
• Tutto il resto: la tua piattaforma di email marketing, il CRM e lo strumento di fatturazione hanno una schermata “autenticazione del dominio” o “dominio di invio” che ti dà i record da incollare nel DNS.

Fallo per ogni mittente del tuo inventario, non solo per la casella. Una piattaforma di marketing che firma con il proprio dominio invece del tuo supera DKIM e fallisce comunque l’allineamento DMARC.

Passo 5: aggiungi DMARC con p=none e leggi i report

Crea un record TXT chiamato _dmarc con questo valore:

v=DMARC1; p=none; rua=mailto:dmarc-reports@tuodominio.com

p=none non cambia nulla nella consegna. Avvia i report. I report DMARC grezzi sono file XML che nessuno legge, quindi punta rua a un servizio di report gratuito. Diversi fornitori di monitoraggio DMARC offrono un piano gratuito che trasforma l’XML in un elenco di fonti di invio con conteggi di successi e fallimenti.

Lascia p=none per due-quattro settimane. Cerca i mittenti legittimi che falliscono, come un vecchio strumento di fatturazione o un plugin di moduli dimenticato, e correggi ciascuno aggiungendolo a SPF o attivando il suo DKIM.

Passo 6: passa all’applicazione

Quando tutti i tuoi mittenti reali passano:

1. Passa a p=quarantine; pct=25, così un quarto dei messaggi che falliscono va nello spam. Osserva per una settimana.
2. Porta pct a 100.
3. Passa a p=reject.

Arrivare a reject impedisce ad altri di falsificare il tuo dominio in mail di phishing ai tuoi clienti, il che protegge il tuo nome quanto il tasso di consegna.

Chiedi a Claude o ChatGPT di farlo

Incolla questo in uno dei due, con i tuoi dati. Ti evita di leggere la guida di ogni provider.

Gestisco la posta del dominio [tuodominio.com]. Le mie caselle sono su [Microsoft 365 / Google Workspace]. Invio posta anche da [elenca piattaforma di marketing, CRM, strumento di fatturazione, moduli del sito]. Dammi: (1) l’esatto record TXT SPF da pubblicare come unica riga unita, (2) i passaggi per configurare DKIM nella schermata di amministrazione di ogni servizio, (3) un record DMARC iniziale con report rua e (4) un piano per arrivare a p=reject in quattro passi. Dimmi quali valori devo copiare dalla documentazione di ciascun fornitore invece di fidarmi di te, e conta le ricerche DNS del record SPF.

Prima di pubblicare ciò che ti restituisce, controlla i valori include: sulla pagina di aiuto aggiornata di ogni fornitore. I modelli inventano host include verosimili, e uno sbagliato fallisce in silenzio.

Verifica e mantieni tutto in salute

Quando il DNS si è propagato, ripeti il test “Mostra originale” di Gmail da ogni mittente, non solo dalla tua casella. Invia dal CRM, dallo strumento di fatturazione e da un modulo del sito. Ogni messaggio deve mostrare PASS per SPF, DKIM e DMARC.

Poi metti un promemoria ricorrente in calendario per rivedere i report DMARC ogni trimestre. Ogni volta che adotti un nuovo strumento che invia mail ai clienti con il tuo dominio, autenticalo lo stesso giorno. Se stai costruendo una lista o invii newsletter, come costruire una lista email tratta il lato dell’invio, e i migliori servizi di email marketing per piccole imprese elenca piattaforme che ti guidano nell’autenticazione del dominio durante la configurazione.