SPF, DKIM e DMARC: come autenticare il tuo dominio perché la tua email non finisca nello spam

La tua email dice “inviata” ma il cliente giura che non è arrivata. Prima di rivedere il testo o la lista, controlla quanto segue: la causa tecnica numero uno per cui un’email finisce nello spam — o non entra nemmeno — è l’autenticazione del dominio. E dal 2024 ha smesso di essere opzionale. Questa guida spiega in modo semplice cosa sono SPF, DKIM e DMARC, perché contano tutti e tre insieme, e come attivarli senza bloccarti da solo.

La buona notizia: sono record che si configurano una sola volta nel DNS del tuo dominio. Non è un lavoro di tutti i giorni; è impostarli bene e mantenerli.

Cosa succede se non li hai (la realtà del 2026)

Gmail e Yahoo hanno reso obbligatoria l’autenticazione a febbraio 2024 per chi invia in volume; Microsoft (Outlook, Hotmail, Live) si è aggiunta a maggio 2025. E non è più solo “ti mando nello spam”: da novembre 2025 Gmail rifiuta a livello di server le email non autenticate — non raggiungono nemmeno la cartella spam, rimbalzano.

Si considera “mittente massivo” chi invia 5.000 o più email al giorno a uno stesso provider (gli indirizzi personali di Gmail, per esempio). E un dettaglio chiave: se superi quella soglia una volta, resti classificato come massivo in modo permanente, anche se poi abbassi il volume. La raccomandazione dei tre provider è chiara: chiunque invii sul serio dovrebbe averli tutti e tre, indipendentemente dalle dimensioni.

SPF: chi può inviare a tuo nome

L’SPF (Sender Policy Framework) è un elenco, pubblicato nel tuo DNS, dei server autorizzati a inviare posta usando il tuo dominio. Quando un’email arriva, il provider guarda da quale server è uscita e la confronta con il tuo elenco. Se l’IP non c’è, solleva sospetti.

In pratica è un record TXT alla radice del tuo dominio che include il tuo provider di invio. Tre cose che quasi nessuno cura:

• Il limite di 10 query DNS. Un record SPF può attivare solo 10 ricerche. Se concateni molti strumenti (la tua piattaforma email, il CRM, la fatturazione, Google Workspace…), superi il limite, l’SPF dà PermError e fallisce del tutto. Va verificato e consolidato.
• ~all prima di -all. La fine del record definisce quanto sei rigido. Inizia con ~all (sospetto morbido) e indurisci a -all (rifiuto) solo dopo aver confermato che tutta la tua posta legittima passa. Indurire troppo presto blocca i tuoi stessi invii.
• L’SPF si rompe con l’inoltro. Se qualcuno inoltra la tua email, l’IP di chi inoltra non è nel tuo elenco e l’SPF fallisce. Per questo l’SPF da solo non basta: serve il DKIM.

DKIM: il sigillo che prova che la posta è tua

Il DKIM (DomainKeys Identified Mail) mette su ogni messaggio una firma crittografica. La chiave privata è custodita dal tuo provider di invio; quella pubblica vive nel tuo DNS. Il destinatario verifica la firma e conferma due cose: che l’email è uscita davvero dal tuo dominio e che nessuno l’ha alterata lungo il percorso.

L’importante, in modo semplice:

• Usa una chiave da 2048 bit (l’opzione alta). Yahoo rifiuta le vecchie chiavi da 512 bit anche se tutto il resto è corretto.
• A differenza dell’SPF, il DKIM sopravvive all’inoltro. Per questo è il pilastro dell’autenticazione moderna.
• Conviene ruotare la chiave una volta l’anno; la maggior parte dei provider lo automatizza.

DMARC: la regola che unisce tutto (e ti avvisa)

Il DMARC è l’istruzione che dice al provider cosa fare quando un’email dichiara di essere tua ma non supera SPF né DKIM. Ha tre livelli di politica:

• p=none — osserva soltanto. Non blocca nulla; ti manda report. È il punto di partenza.
• p=quarantine — manda ciò che fallisce nella cartella spam.
• p=reject — rifiuta la posta che fallisce. Massima protezione contro la falsificazione.

Inoltre, il DMARC ti invia report (l’etichetta rua): un riepilogo giornaliero di chi sta inviando — o falsificando — con il tuo dominio. È oro: scopri servizi legittimi che hai dimenticato di autorizzare e, per inciso, gli impostori.

p=none ti mette “in regola” per iniziare, ma i provider hanno già avvisato che è solo la prima fase: restare lì per sempre è un cattivo segnale di fiducia. L’obiettivo di un marchio serio nel 2026 è avanzare almeno a p=quarantine.

La trappola che rompe quasi tutte le configurazioni: l’allineamento

Qui cade la maggioranza. Non basta che SPF o DKIM “passino”: il dominio che il cliente vede nel campo Da: deve coincidere (allinearsi) con il dominio che ha validato SPF o DKIM. Un SPF che tecnicamente passa ma che non si allinea con il tuo Da: fa comunque fallire il DMARC.

È l’errore più comune quando usi più piattaforme: la posta esce “ben firmata”, ma da un altro dominio, e il DMARC la segna come sospetta. Se vedi errori come 421-4.7.32 (Gmail) o 550 5.7.515 (Microsoft), è quasi sempre l’allineamento.

Come implementarlo senza bloccare la tua stessa posta

L’ordine conta, perché farlo male ti lascia senza poter inviare:

1. SPF alla radice, includendo il tuo provider di invio, terminando con ~all e sotto le 10 query DNS.
2. DKIM con chiave da 2048 bit, pubblicando nel tuo DNS il record che ti dà il tuo provider.
3. DMARC su _dmarc.tuodominio, partendo da p=none con rua che punta a una casella che controlli. Qualcosa come: v=DMARC1; p=none; rua=mailto:[email protected]; aspf=r; adkim=r.
4. Osserva i report da una a quattro settimane. Quando confermi che tutta la tua posta legittima passa e si allinea, sali a p=quarantine e, più avanti, a p=reject (e indurisci l’SPF a -all).

Una dimenticanza frequente: il DMARC di tuodominio.com non copre i sottodomini. Se invii da posta.tuodominio.com, quel sottodominio ha bisogno del proprio record.

Non dimenticare la disiscrizione in un clic

Insieme all’autenticazione, i provider richiedono la disiscrizione in un clic per la posta massiva. E attenzione: non è il link “disiscriviti” in fondo all’email. Sono una coppia di intestazioni tecniche (List-Unsubscribe e List-Unsubscribe-Post, secondo la RFC 8058) che permettono a Gmail di mostrare un pulsante “Annulla iscrizione” sopra il messaggio. È, di fatto, il requisito che più mittenti non rispettano. Rendere facile l’uscita a chi vuole andarsene riduce i reclami per spam — e, a Panama, ti aiuta a rispettare il diritto di opposizione richiesto dalla Legge 81.

Come faccio a sapere se è a posto

Non indovinare: misura. Registra il tuo dominio in Google Postmaster Tools (e nei pannelli di Yahoo e Microsoft) per vedere la tua autenticazione e il tuo tasso di reclami come li vedono loro. Esistono verificatori gratuiti di SPF, DKIM e DMARC per una foto rapida. E ricorda il numero che governa tutto: il tuo tasso di reclami deve restare sotto lo 0,3% — idealmente vicino allo 0,1%.

Il quadro completo di cosa sia la recapitabilità, le regole di Gmail e Yahoo e la reputazione è nella nostra guida sulla recapitabilità email.

A Panama: come lo risolviamo

Configurare SPF, DKIM e DMARC bene — allineati, senza superare le 10 query, con la politica che sale per fasi e i report sorvegliati — è proprio il tipo di dettaglio tecnico che affonda le campagne quando si fa a metà. Nel nostro servizio di recapitabilità lo lasciamo impostato e monitorato per te: autenticazione allineata, disiscrizione in un clic, reputazione curata e la politica DMARC che avanza fin dove la tua posta regge senza bloccarsi.

Non sai in che stato è il tuo dominio oggi? Inizia dalla diagnosi gratuita: ti diciamo se la tua autenticazione passa, dove si allinea male e cosa sistemare per primo.