SPF, DKIM e DMARC per Google Workspace.
Autenticare Google Workspace significa dimostrare che dietro i server Gmail che inviano a nome del tuo dominio ci sei davvero tu. Bastano tre record DNS più un interruttore nella Admin console: un record TXT SPF che aggiunge l'include condiviso di Google, una chiave DKIM che generi nella console e pubblichi come record TXT (per poi attivarla con “Start authentication”) e un record di policy DMARC. Google Workspace è uno dei pochi mittenti che è anche destinatario, quindi allinearli tutti e tre è ciò che porta le tue email nella posta in arrivo di Gmail, invece di far comparire un avviso “via” o di farle scivolare nello spam.
Perché autenticare Google Workspace?
La posta di Google Workspace passa già dall'infrastruttura di Google, ma finché non la autentichi è solo debolmente riconducibile al tuo dominio: Gmail può mostrare una nota “via”, la posta non può superare DMARC e il tuo indirizzo From non è crittograficamente tuo. Da febbraio 2024 le linee guida per i mittenti di Google richiedono a ogni mittente di superare SPF o DKIM e a ogni mittente di grandi volumi (circa 5.000+ messaggi al giorno verso Gmail) di pubblicare anche una policy DMARC almeno a p=none, con allineamento. Yahoo ha adottato le stesse regole nello stesso mese e Microsoft ha iniziato ad applicarle nel 2025. Poiché qui è Google a valutare la posta in base alle proprie linee guida, un dominio Workspace non autenticato è la via più rapida per finire nello spam o subire un rifiuto netto. Configurare correttamente SPF + DKIM + DMARC allinea entrambi i meccanismi al tuo dominio, elimina il tag “via”, consente di superare DMARC e costruisce la reputazione di invio a tuo nome.
Come funziona davvero SPF con Google Workspace
Google Workspace è un vero provider “include”: aggiungi un unico meccanismo condiviso, include:_spf.google.com, all'unico record TXT SPF del tuo dominio radice: il record completo è v=spf1 include:_spf.google.com ~all. Si tratta di un include davvero condiviso (lo usano tutti i clienti Workspace), a differenza dei provider con delega CNAME. Qui conta più che per la maggior parte dei mittenti perché la posta inviata tramite Google usa un mittente della busta sul tuo dominio, quindi SPF si allinea davvero al tuo dominio organizzativo e contribuisce a superare DMARC (non solo DKIM). Un aggiornamento importante: include:_spf.google.com ora è un singolo record SPF piatto che contiene solo meccanismi ip4:/ip6: e non annida più la vecchia catena include:_netblocks.google.com / _netblocks2 / _netblocks3. Significa che costa una sola ricerca DNS ai fini del limite di 10 dell'RFC 7208, non le tre o quattro che riportano ancora le guide più vecchie e alcuni strumenti di controllo SPF con dati in cache. Google consiglia di chiudere con ~all (softfail) anziché -all, perché chi usa Workspace spesso invia legittimamente anche tramite altri strumenti; passa a -all solo quando hai la certezza che ogni mittente sia elencato. Inoltre sul dominio deve esserci esattamente un record TXT SPF: se usi anche SendGrid, Mailchimp, Microsoft 365 ecc., unisci tutti i meccanismi in quell'unica riga v=spf1 invece di pubblicare un secondo record SPF (due record SPF generano un PermError).
Passo dopo passo
- 1
Apri Authenticate email
Accedi ad admin.google.com come super admin, poi vai su Menu (☰) → Apps → Google Workspace → Gmail → Authenticate email. Questa è la pagina del DKIM; SPF e DMARC si aggiungono direttamente presso il tuo provider DNS, non qui.
- 2
Seleziona il dominio giusto
Se gestisci più di un dominio, scegli il dominio di invio dal menu a tendina in cima alla pagina Authenticate email. Ogni dominio principale, dominio secondario e alias di dominio si autentica separatamente.
- 3
Genera la chiave DKIM
Fai clic su Generate new record. Imposta la lunghezza della chiave su 2048 bit (è la raccomandazione di Google; ripiega su 1024 bit solo se il tuo provider DNS non può memorizzare un valore TXT lungo) e lascia il prefisso del selettore sul valore predefinito google. Fai clic su Generate.
- 4
Copia il record DKIM
Google mostra un record TXT: l'host/nome è google._domainkey e il valore inizia con v=DKIM1; k=rsa; p=… seguito da una lunga chiave pubblica. Copia entrambi. Lascia aperta questa scheda: dovrai tornarci per fare clic su Start authentication.
- 5
Pubblica il record TXT DKIM
Presso il tuo provider DNS, aggiungi un record TXT con host google._domainkey e il valore fornito da Google. Una chiave a 2048 bit supera il limite TXT di 255 caratteri per stringa, quindi alcuni provider richiedono di mantenerla in più blocchi tra virgolette all'interno di un solo record: la maggior parte dei pannelli lo gestisce in automatico; in caso contrario, incolla il valore diviso esattamente come viene mostrato.
- 6
Aggiungi o unisci il record SPF
Aggiungi un record TXT sul dominio radice (host @ o vuoto) con v=spf1 include:_spf.google.com ~all. Se esiste già un record SPF, non crearne un secondo: unisci include:_spf.google.com alla riga v=spf1 esistente insieme agli altri mittenti.
- 7
Pubblica il record DMARC
Aggiungi un record TXT sull'host _dmarc con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Parti da p=none (solo monitoraggio), così non viene toccato nulla mentre confermi l'allineamento; passerai a una policy più restrittiva in seguito.
- 8
Fai clic su Start authentication
Torna alla pagina Authenticate email, attendi che il TXT DKIM si sia propagato, poi fai clic su Start authentication. È il passaggio che molti saltano: generare la chiave non serve a nulla finché non avvii l'autenticazione, dopodiché lo stato diventa “Authenticating email for this domain.”
- 9
Invia un'email di prova e controlla le intestazioni
Invia un messaggio da un indirizzo Workspace, aprilo in un altro account Gmail e usa ⋮ → Show original. Conferma SPF: PASS, DKIM: PASS con “signed-by: yourdomain.com” (selettore google) e DMARC: PASS, tutti allineati al tuo dominio, non a google.com.
- 10
Ripeti per gli altri domini e alias
Il DKIM e il passaggio Start authentication vanno ripetuti per ogni dominio secondario e alias di dominio da cui invii. Anche su ciascuno di questi domini devono esistere i record SPF e DMARC, altrimenti la loro posta non si autenticherà.
Record da aggiungere
Google Workspace genera i valori esatti nella sua procedura guidata di configurazione: questi mostrano la struttura di ciò che aggiungerai presso il tuo provider DNS.
| Tipo | Host | Valore |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.google.com ~allSPF radice: tieni un solo record SPF e unisci gli altri mittenti a questa riga. include:_spf.google.com ora costa 1 ricerca DNS. |
| TXT | google._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(2048-bit public key from the Admin console)Valore di esempio: la chiave reale viene generata per ogni dominio in Apps → Google Workspace → Gmail → Authenticate email. A volte le chiavi a 2048 bit vanno pubblicate come stringhe divise tra virgolette. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comUn solo record DMARC per dominio. Parti da p=none, poi passa a quarantine/reject. |
Tieni esattamente un record TXT SPF (v=spf1) sul dominio radice e unisci al suo interno tutti i mittenti. Avere due record SPF è di per sé un errore.
Il limite di 10 ricerche DNS
SPF ha un tetto fisso di 10 ricerche DNS: se lo superi, restituisce un permerror e smette di essere valido ovunque. Ecco quanto consuma di questo budget la configurazione di Google Workspace.
Google Workspace occupa 1 delle tue 10 ricerche; i meccanismi ip4: e ip6: non consumano ricerche.
DKIM
Il DKIM di Google Workspace si genera nella Admin console, non si copia da un valore fisso. Vai su Apps → Google Workspace → Gmail → Authenticate email, seleziona il dominio, fai clic su Generate new record e scegli 2048 bit con il prefisso del selettore predefinito google. Google mostra quindi un record TXT con host google._domainkey.yourdomain.com e valore v=DKIM1; k=rsa; p=<your public key>. Pubblica quel TXT presso il tuo provider DNS: Google conserva la chiave privata corrispondente e la usa per firmare la posta in uscita. Due aspetti rendono il DKIM di Workspace diverso da quello della maggior parte dei provider. Primo, pubblicare il record non basta: devi tornare alla pagina Authenticate email e fare clic su Start authentication, altrimenti Google non inizierà mai a firmare con la tua chiave (è in assoluto il motivo più comune per cui un record pubblicato correttamente non dà comunque un pass DKIM). Secondo, una chiave pubblica a 2048 bit supera il limite di 255 caratteri di una singola stringa TXT, quindi molti provider DNS la memorizzano come più blocchi tra virgolette all'interno di un solo record; la Admin console mostra il valore già formattato e la maggior parte dei pannelli (GoDaddy, Cloudflare, Namecheap ecc.) lo ricompone correttamente: se in seguito Gmail segnala la chiave come non valida, di solito la colpa è di una concatenazione errata. Il selettore google può restare così; lo cambieresti solo se fosse già usato da un altro servizio sul dominio. Quando puoi, abbandona qualsiasi vecchia chiave a 1024 bit e ricorda che il DKIM si attiva per ogni dominio e per ogni alias, non una volta sola per l'intero account.
DMARC
DMARC è un record di policy separato che pubblichi tu: Google non lo crea al posto tuo. Aggiungi un record TXT su _dmarc.yourdomain.com con v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none è solo monitoraggio: non cambia nulla nel recapito, ma chiede ai server riceventi di inviarti via email i report aggregati, così puoi confermare che la posta di Google Workspace superi SPF e DKIM con allineamento al tuo dominio. Poiché Workspace allinea entrambi i meccanismi (SPF tramite il tuo dominio della busta, DKIM tramite il selettore google sul tuo dominio), dovresti vedere rapidamente solo esiti positivi. Controlla i report rua per una o due settimane, assicurati che ogni mittente legittimo (Workspace più eventuali strumenti di terze parti) si autentichi, poi passa a p=quarantine e infine a p=reject. Tieni esattamente un record _dmarc per l'intero dominio, a prescindere da quanti mittenti usi; non aggiungere mai un secondo record DMARC apposta per Google. Tieni presente che la regola di Google per i mittenti di grandi volumi impone solo p=none come soglia minima, ma è p=reject a proteggere davvero il tuo dominio dallo spoofing.
Verifica che funzioni davvero
Non fidarti solo dello stato nella Admin console: può aggiornarsi in ritardo e indicare ancora “up to 48 hours” quando il DNS è già attivo. Conferma su un messaggio reale: invialo da un indirizzo Workspace a un'altra casella, aprilo in Gmail e scegli ⋮ → Show original. Devi vedere SPF: PASS, DKIM: PASS e DMARC: PASS, con il signed-by DKIM e il dominio SPF che indicano entrambi yourdomain.com (selettore google) anziché google.com. Google pubblica anche un proprio strumento di diagnostica, CheckMX di Admin Toolbox (toolbox.googleapps.com/apps/checkmx), che segnala record SPF/DKIM/DMARC e MX mancanti o malformati. Puoi controllare a campione i record grezzi con dig TXT google._domainkey.yourdomain.com e dig TXT _dmarc.yourdomain.com. Infine, analizza il tuo dominio con il check-up del dominio di Qualisend per confermare che ogni record si risolva e che il tuo SPF resti sotto il limite di 10 ricerche e, quando iniziano ad arrivare i report aggregati DMARC, caricane uno nell'analizzatore di report DMARC: Google dovrebbe comparire come sorgente allineata che supera tutti i controlli.
Insidie comuni
- Fa fallire l'autenticazione
Generare la chiave DKIM non serve a nulla finché non fai clic su Start authentication nella pagina Authenticate email. Un record google._domainkey pubblicato senza che la firma sia mai stata avviata è il motivo n. 1 per cui il DKIM continua a non superare i controlli.
- Fa fallire l'autenticazione
Le chiavi DKIM a 2048 bit sono più lunghe di una singola stringa TXT di 255 caratteri, quindi vengono memorizzate in più blocchi tra virgolette. Se dopo la pubblicazione Gmail segnala la chiave come non valida, la causa è quasi sempre una concatenazione errata (o il tuo pannello che elimina la divisione).
- Fa fallire l'autenticazione
La Admin console può continuare a mostrare “not authenticating” o “up to 48 hours” anche quando il tuo DNS è corretto: lo stato viene ricontrollato con un certo ritardo. Fidati di Show original e Admin Toolbox più che del banner della console.
- Copertura
Il DKIM va configurato separatamente per ogni dominio secondario e alias di dominio, e ciascuno di questi domini ha bisogno anche dei propri record SPF e DMARC. Autenticare il dominio principale non copre gli altri.
- Fa fallire l'autenticazione
Tieni esattamente un record TXT SPF sul dominio radice. Se invii anche tramite SendGrid, Mailchimp, Microsoft 365 ecc., unisci include:_spf.google.com all'unica riga v=spf1: due record SPF generano un PermError.
- Configurazione DNS
include:_spf.google.com ora è un singolo record piatto (1 ricerca), ma le guide più vecchie e alcuni strumenti di controllo SPF con dati in cache lo contano ancora come 3-4, quindi non sovradimensionare e non appiattire in preda al panico sulla base di numeri superati.
- Copertura
Usa ~all, non -all. Google consiglia il softfail perché chi usa Workspace invia spesso legittimamente tramite altri servizi; un -all prematuro può causare un hard fail sulla posta che hai dimenticato di elencare.
- Copertura
La posta inviata tramite un relay di terze parti, un SMTP esterno configurato con “Send mail as” di Gmail o una piattaforma di marketing non viene firmata DKIM da Google: questi percorsi richiedono una propria autenticazione e non si allineano solo perché il DKIM di Workspace è attivo.
Crea il tuo record SPF
Google Workspace è già preselezionato qui sotto. Aggiungi le altre piattaforme con cui invii, poi pubblica l'unico record unificato.
Server propri del dominio
Autorizza il dominio stesso, se invia posta direttamente (non tramite una delle piattaforme sopra).
Altri mittenti e IP
Tutto ciò che non è nella lista: l'host SPF di un altro provider o indirizzi IP specifici.
Aggiungiamo noi il prefisso include:. Inserisci l'hostname indicato nella documentazione del provider.
Policy per tutti gli altri
Cosa devono fare i server riceventi con la posta proveniente da server non elencati sopra (il meccanismo all).
- Pubblicalo come record TXT sul dominio radice: host @ (il dominio senza prefissi), come valore l'intera stringa qui sopra.
- Tieni un solo record SPF per dominio. Unisci tutte le fonti di invio in quest'unica riga. Un secondo record TXT che inizia con v=spf1 li rende entrambi non validi.
- Resta entro le 10 ricerche DNS. Contano come ricerche include:, a e mx, e un include può innescarne altre al suo interno; ip4: e ip6: sono gratuiti.
Autenticazione pubblicata? Il passo successivo è inviare a una lista pulita e verificata.
Verifica una listaSPF per Google Workspace: domande frequenti
Letture correlate
Altri provider: Workspace e caselle
- mailbox.org
- Microsoft 365
- Microsoft 365 (GoDaddy / IONOS)
- Migadu
- Namecheap Private Email
- Proton Mail
- Purelymail
- Rackspace Email
Dopo la pubblicazione, controlla con il check-up del dominio che tutti i record vengano risolti correttamente, poi scopri con l'analizzatore di report DMARC chi invia a tuo nome. Sfoglia tutte le fonti di invio nel generatore. L'autenticazione, però, è solo metà della deliverability: un IP o un dominio di invio in blacklist ti manda comunque nello spam, per quanto pulito sia il tuo SPF, quindi conviene tenere d'occhio le blacklist con il monitoraggio blacklist.
Dominio autenticato: ora mantieni pulita la lista
Superare SPF, DKIM e DMARC ti porta nella posta in arrivo; una lista pulita ti ci fa restare. Verifica la tua: inizia gratis con 100 crediti, senza carta di credito.