SPF, DKIM e DMARC sono tre record DNS che rispondono a una sola domanda per ogni provider di posta a cui invii: questo messaggio arriva davvero da chi dice di essere? Configurali bene e i provider si fideranno abbastanza della tua posta da prenderla in considerazione per la posta in arrivo. Configurali male, o saltali, e dal 2024 i grandi provider la rifiutano del tutto sempre più spesso. Ecco cosa fa ognuno, in parole semplici.
In breve#
I tre record si dividono il lavoro di dimostrare la tua identità:
- SPF indica quali server sono autorizzati a inviare posta per il tuo dominio.
- DKIM aggiunge una firma crittografica che dimostra che il messaggio non è stato falsificato né alterato in transito.
- DMARC collega entrambi all'indirizzo "From" visibile, dice ai provider cosa fare quando un messaggio non supera i controlli e ti invia dei report.
Insieme permettono a chi riceve di confermare che la tua posta è davvero tua. Con i requisiti per i mittenti introdotti da Google e Yahoo nel 2024, i mittenti di grandi volumi devono averli tutti e tre: non è più facoltativo. Ma l'autenticazione fa solo sì che la tua posta venga presa in considerazione per la posta in arrivo; sono la reputazione e l'igiene della lista a decidere se ci arrivi davvero.
SPF: chi è autorizzato a inviare#
SPF (Sender Policy Framework) è un record TXT che elenca i server e i servizi autorizzati a inviare posta usando il tuo dominio. Quando riceve un messaggio, il server ricevente confronta l'IP del server di invio con il tuo record SPF:
example.com. TXT "v=spf1 include:_spf.google.com include:sendgrid.net ~all"
Il ~all finale è un soft fail (accetta ma segna come sospetto); -all è un hard fail
(rifiuta del tutto i mittenti non autorizzati). Ogni servizio che invia per tuo conto ha
bisogno di un proprio meccanismo include: in quel record, quindi
genera il record SPF esatto per il tuo provider
invece di modificare la stringa a mano. Un limite da conoscere: SPF controlla il
mittente della busta (envelope), non il "From" visibile, e smette di funzionare quando
la posta viene inoltrata, perché il server che inoltra non è nel tuo record. Questa
fragilità è proprio il motivo per cui DKIM e DMARC esistono accanto a SPF.
DKIM: una firma che dimostra l'integrità#
DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni messaggio. Il tuo sistema di invio firma il messaggio con una chiave privata; tu pubblichi la chiave pubblica corrispondente nel DNS, sotto un selettore specifico:
selector1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0G..."
Il server ricevente recupera la chiave pubblica, verifica la firma e ne ricava due informazioni: il messaggio arriva davvero dal tuo dominio e non è stato alterato in transito. A differenza di SPF, una firma DKIM viaggia insieme al messaggio, quindi di solito sopravvive all'inoltro: per questo è il più robusto dei due controlli.
DMARC: la policy che tiene tutto insieme#
DMARC (Domain-based Message Authentication, Reporting and Conformance) è il record che dà un senso a SPF e DKIM. Fa tre cose: stabilisce una policy per i messaggi che non superano i controlli, richiede l'allineamento tra il dominio autenticato e il "From" visibile e ti invia dei report.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
Il valore p è l'istruzione per i server riceventi:
p=none: solo monitoraggio; nessuna azione, vengono inviati solo i report. Parti da qui.p=quarantine: manda nello spam la posta che non supera i controlli.p=reject: rifiuta del tutto la posta che non supera i controlli.
L'allineamento è la parte che blocca lo spoofing: un messaggio supera DMARC solo se il
dominio che ha superato SPF o DKIM corrisponde al dominio nell'intestazione "From".
Vanno configurati sia SPF sia DKIM, ma basta che uno dei due sia allineato. Parti da
p=none, leggi i report aggregati finché non hai la certezza che ogni flusso legittimo
si autentichi, poi passa a quarantine e infine a reject.
Perché ora è obbligatorio#
L'autenticazione era una buona pratica; dal 2024 è una condizione d'accesso. In base ai
requisiti di Google per i mittenti, chiunque
invii a Gmail deve avere almeno SPF o DKIM e mantenere il tasso di spam in Postmaster
Tools sotto lo 0,3%, mentre i mittenti di grandi volumi (più di 5.000 messaggi al
giorno verso Gmail) devono avere SPF, DKIM e DMARC (con allineamento), oltre alla
disiscrizione in un clic sulla posta di marketing. Yahoo ha introdotto requisiti
equivalenti nello stesso momento, e da fine 2025 Google sta intensificando l'applicazione
delle regole, compresi i rifiuti della posta non conforme. I requisiti descritti sopra sono stati verificati l'ultima volta sulle linee guida di Google a luglio 2026.
In pratica: se invii email di marketing o transazionali, a qualsiasi volume, tutti e tre i record ormai sono il minimo indispensabile, non un optional.
L'autenticazione non è deliverability#
Ecco il confine, detto con onestà, perché è qui che molti inciampano. Superare SPF, DKIM e DMARC dimostra chi sei, non che sei un buon mittente. Un messaggio perfettamente autenticato inviato da un dominio con una scarsa reputazione del mittente, da una lista piena di spam trap o con un tasso di bounce in crescita finirà comunque nello spam. I provider controllano prima l'autenticazione (senza, niente fiducia) e poi valutano reputazione ed engagement per decidere il posizionamento.
Quindi considera l'autenticazione come il biglietto d'ingresso, non come l'intera partita. Configura correttamente i tre record, poi fai il lavoro che ti fa guadagnare davvero la posta in arrivo: verifica la lista per non scrivere a indirizzi morti, tieni bassi bounce e segnalazioni e invia a persone che vogliono ricevere la tua posta. La guida alla deliverability copre tutte le altre leve.
Domande frequenti#
Mi servono davvero tutti e tre i record SPF, DKIM e DMARC?#
Per qualsiasi volume di invio significativo, sì. Dal 2024 Google e Yahoo richiedono SPF o DKIM a ogni mittente e tutti e tre ai mittenti di grandi volumi (oltre 5.000 messaggi al giorno), e DMARC è ciò che permette di far valere gli altri due contro lo spoofing. Anche sotto la soglia dei grandi volumi, avere tutti e tre i record è ormai la base che i provider si aspettano.
Qual è la differenza tra SPF e DKIM?#
SPF autorizza quali server possono inviare per il tuo dominio e viene confrontato con l'IP di invio; DKIM firma il messaggio in modo crittografico, così chi lo riceve può confermare che arriva da te e non è stato alterato. SPF è più semplice ma non regge all'inoltro; DKIM viaggia con il messaggio e sopravvive all'inoltro. Coprono tipi di errore diversi, ed è per questo che ti servono entrambi.
Cosa significa DMARC p=none, ed è sufficiente?#
p=none dice ai server riceventi di non intervenire sulla posta che non supera i
controlli e di limitarsi a inviarti report: è il punto di partenza sicuro per il
monitoraggio, ma non offre alcuna protezione contro lo spoofing. È un primo passo, non un
punto d'arrivo: usa i report per confermare che la tua posta legittima si autentichi,
poi passa a p=quarantine e p=reject per far rispettare davvero la policy.
Superare l'autenticazione garantisce che le mie email arrivino nella posta in arrivo?#
No. L'autenticazione è necessaria ma non sufficiente. Dimostra la tua identità, e questo fa sì che la tua posta venga presa in considerazione, ma il posizionamento dipende da reputazione del mittente, engagement, tassi di segnalazioni e qualità della lista. Un mittente pienamente autenticato ma con una lista sporca o una cattiva reputazione finisce comunque nello spam.
L'autenticazione ti porta fino alla porta; l'igiene della lista ti aiuta ad attraversarla. La verifica email gratuita individua domini inesistenti ed errori di battitura prima che generino bounce, e il piano Free esegue l'intera pipeline di verifica sulla tua lista, perché sono le liste pulite e i tassi di bounce bassi a trasformare un'identità affidabile in un posto nella posta in arrivo.
