Perché le vostre email finiscono nello spam: SPF, DKIM e DMARC, nell'ordine

Leggere il verdetto nelle intestazioni del messaggio

Ogni servizio di posta che riceve un'email verifica da dove arriva e registra il risultato nelle intestazioni del messaggio. Per leggerlo, inviate un'email dal vostro indirizzo aziendale a un indirizzo Gmail, apritela, fate clic su Altro (i tre puntini) e poi su Mostra originale. Cercate la riga Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vostro-dominio.com header.s=google;
       spf=pass (google.com: domain of info@vostro-dominio.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@vostro-dominio.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=vostro-dominio.com

Queste tre impostazioni sono diffuse in modo disuguale. Sui 1.730 domini di PMI che ricevono posta della nostra rilevazione mensile, il 96 % pubblica un record SPF, e il 71 % non ha una politica DMARC che agisca sul risultato.

1. SPF: l'elenco dei server autorizzati

SPF è un record TXT alla radice del vostro dominio. Comincia con v=spf1, nomina i server autorizzati a inviare per il dominio e termina con che cosa fare di tutti gli altri server. I due servizi di posta più diffusi pubblicano il valore da usare:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Ogni altro servizio che invia con il vostro dominio va nello stesso record: strumento di newsletter, software di fatturazione, CRM, e il server del vostro sito se i suoi moduli inviano posta da sé. Ogni servizio documenta l'include: da aggiungere; un server si dichiara con il suo indirizzo, con ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Un solo record SPF per dominio. Due record che cominciano con v=spf1 rendono SPF non valido (permerror): uniteli in uno solo.
• Dieci ricerche DNS al massimo. Ogni include, a, mx, ptr, exists e redirect conta, compresi quelli annidati nei vostri include. Oltre dieci, SPF non è valido. ip4 e ip6 non contano.
• Come finisce il record. -all dichiara non autorizzato ogni altro server, ~all lo segnala senza dichiararlo illegittimo. Google consiglia ~all nella sua documentazione, Microsoft suggerisce -all. Una volta in funzione DMARC, è la sua politica a decidere che cosa succede a un messaggio che non supera la verifica.

2. DKIM: una firma su ogni messaggio

DKIM aggiunge a ogni messaggio una firma, che il servizio di posta del destinatario verifica con una chiave pubblica pubblicata nel vostro DNS, sotto un nome del tipo selettore._domainkey.vostro-dominio.com. La firma avviene presso il servizio che invia; a voi spetta pubblicare la chiave che vi fornisce.

• Google Workspace: nella Console di amministrazione Google, Menu > App > Google Workspace > Gmail > Autentica email, poi «Genera nuovo record». Il selettore predefinito è google e Google consiglia una chiave a 2048 bit. Pubblicate il record TXT google._domainkey, poi tornate a fare clic su «Avvia autenticazione».
• Microsoft 365: nel portale Microsoft Defender, in Posta elettronica e collaborazione > Criteri e regole > Criteri per le minacce > Impostazioni di autenticazione della posta elettronica, scheda DKIM (https://security.microsoft.com/authentication?viewid=DKIM). Qui DKIM si basa su due record CNAME, selector1._domainkey e selector2._domainkey, i cui valori esatti il portale mostra per il vostro dominio: copiateli così come sono, poi attivate la firma.
• Gli altri servizi (newsletter, fatturazione, CRM) hanno ciascuno una pagina di autenticazione del dominio che fornisce i loro record DKIM.

Gmail accetta chiavi da 1024 bit in su; 2048 bit è la lunghezza che lo standard raccomanda. Contate fino a 48 ore perché una chiave appena pubblicata sia visibile ovunque.

3. DMARC: l'istruzione che date ai servizi di posta

DMARC collega SPF e DKIM all'indirizzo che vede il destinatario, quello del campo From. Un messaggio supera DMARC quando SPF o DKIM è valido per il dominio di quell'indirizzo: è l'allineamento. Il record dice anche che cosa fare di un messaggio che non supera la verifica, e dove inviare i report.

v=DMARC1; p=none; rua=mailto:dmarc@vostro-dominio.com

1. Pubblicate p=none con un indirizzo rua. I grandi servizi di posta vi inviano ogni giorno un report aggregato, un file XML compresso che elenca i server che hanno inviato con il vostro dominio e con quale esito.
2. Leggete i report per due-quattro settimane. Ogni fonte legittima che non supera la verifica (uno strumento di newsletter dimenticato, il software di fatturazione) si corregge in SPF o in DKIM.
3. Passate a p=quarantine, poi, dopo qualche settimana senza posta persa, a p=reject. Se il vostro team scrive su mailing list, restate a quarantine: lo standard sconsiglia reject per questi domini, perché le liste modificano i messaggi che ridistribuiscono.

Alcune guide meno recenti suggeriscono di procedere per gradi con il tag pct. Lo standard DMARC attuale, la RFC 9989 pubblicata a maggio 2026, non lo riconosce più: si procede per gradi con la politica stessa.

La trappola del modulo di contatto

Molti moduli dei siti inviano il messaggio con l'indirizzo del visitatore come mittente. Il server del sito non ha alcuna autorità sul dominio del visitatore: SPF e DKIM non possono allinearsi e DMARC non viene superato. Quando il servizio di posta del visitatore pubblica una politica rigorosa (yahoo.com pubblica p=reject), il messaggio viene rifiutato o messo nello spam prima di arrivare a voi.

• From: un indirizzo del vostro dominio, per esempio modulo@vostro-dominio.com.
• Reply-To: l'indirizzo del visitatore, così che il tasto Rispondi scriva direttamente a lui.
• Invio: tramite un account SMTP autenticato del vostro servizio di posta, coperto da SPF e firmato con DKIM, invece della funzione di invio predefinita del server.

Quando tutto passa e la posta finisce ancora nello spam

• Blocklist: lo strumento di verifica gratuito di Spamhaus, https://check.spamhaus.org/, controlla un indirizzo IP o un dominio.
• DNS inverso: Gmail chiede a ogni mittente di usare un server di invio il cui indirizzo IP abbia un nome inverso (PTR) valido, che rimandi allo stesso indirizzo. Un servizio di posta se ne occupa per voi; su un server che gestite voi stessi, verificatelo.
• Invii massivi: oltre circa 5.000 messaggi al giorno verso indirizzi Gmail, Google richiede SPF e DKIM, DMARC a p=none o più rigoroso, l'allineamento, la disiscrizione con un clic e un tasso di spam segnalato inferiore allo 0,3 %. Da novembre 2025, Gmail rifiuta una parte del traffico che non rispetta queste regole. Yahoo applica requisiti simili senza pubblicare una soglia, e dal 5 maggio 2025 Outlook.com rifiuta la posta dei domini che inviano più di 5.000 messaggi al giorno senza SPF, DKIM e DMARC.
• Google Postmaster Tools (postmaster.google.com) mostra la reputazione del vostro dominio e il tasso di spam presso Gmail, una volta verificato il dominio con un record DNS. Le dashboard si popolano quando il volume di invio è abbastanza alto.