Le email della tua azienda finiscono in spam? SPF, DKIM e DMARC spiegati semplice

Perché succede

Chi riceve la posta decide se metterla in arrivo, nello spam o rifiutarla, e lo fa guardando più cose insieme. Una è l'autenticazione: nelle sue «Linee guida per i mittenti di email» Google scrive che i messaggi non autenticati possono essere segnati come spam o respinti. Così anche un messaggio del tutto regolare può finire nel posto sbagliato.

Sul lato del dominio i punti da controllare sono tre, uno per sigla:

• Un servizio che spedisce a nome tuo ma non è nell'SPF. Oltre alla casella, col tuo dominio possono spedire anche altri servizi, per esempio quello delle newsletter. Devono comparire tutti nel record SPF: Google avverte che i messaggi dei mittenti esterni lasciati fuori hanno più probabilità di finire in spam.
• Nessuna firma DKIM del tuo dominio. Senza firma, chi riceve non può controllare che nessuno abbia cambiato il messaggio per strada, e chi invia molte email resta fuori dai requisiti di Gmail e Yahoo, che chiedono SPF e DKIM insieme.
• Nessun DMARC. Senza un criterio pubblicato da te, chi riceve non ha istruzioni sui messaggi che usano il tuo dominio senza superare i controlli. È lo spazio che sfrutta chi vuole spacciarsi per la tua azienda.

L'autenticazione però non basta da sola. Nella pagina «Controllo dell'autenticazione dei messaggi di Gmail» Google spiega che mette insieme le segnalazioni degli utenti, altri segnali e l'esito dei controlli, e che anche chi manda spam può autenticare la posta. Per questo non ti promettiamo la posta in arrivo: mettiamo in ordine la parte che dipende dal tuo dominio.

SPF, DKIM e DMARC in tre righe

• SPF è l'elenco dei server autorizzati a spedire posta per il tuo dominio. Chi riceve controlla se il server che gli ha consegnato il messaggio è in elenco.
• DKIM è una firma digitale che il server di invio appone a ogni messaggio. La chiave per verificarla sta nel DNS del dominio: se la firma corrisponde, il messaggio viene da quel dominio e non è stato modificato durante il viaggio.
• DMARC è la regola che decidi tu per i messaggi che portano il tuo dominio nel mittente ma non superano né SPF né DKIM: nessun intervento (criterio «none»), la quarantena («quarantine») o il rifiuto («reject»). Con DMARC puoi anche chiedere ai server che ricevono di mandarti dei rapporti.

Un dettaglio che conta: per superare DMARC non basta che SPF o DKIM siano a posto. Il dominio che verificano deve corrispondere a quello che il destinatario vede nel campo «Da:»: di regola basta lo stesso dominio principale, anche con un sottodominio. Si chiama allineamento, e Google e Yahoo lo chiedono a chi invia molte email.

Come controllare il tuo dominio

Per un primo controllo bastano un'email e una casella Gmail, senza strumenti a pagamento.

1. Manda un'email di prova da una casella del tuo dominio a un indirizzo Gmail che puoi aprire.
2. Guarda i dettagli in Gmail. Dal computer apri il messaggio e clicca sulla freccia sotto il nome del mittente. Se compaiono «Proveniente da» con il nome del dominio e «Firmato da» con il dominio di invio, il messaggio è autenticato; un punto interrogativo accanto al nome del mittente vuol dire che non lo è. Lo spiega la stessa pagina di Google sul controllo dell'autenticazione.
3. Con un altro programma di posta, come Outlook o Apple Mail, apri le intestazioni del messaggio e cerca la riga «Authentication-Results»: «spf=pass» o «dkim=pass» vogliono dire che quel controllo è riuscito. In Gmail le intestazioni complete si aprono da Altro › Mostra originale, come descritto nella pagina «Tracciare un'email con l'intestazione completa».
4. Scopri chi gestisce il DNS. I tre record sono pubblicati nel DNS del dominio, e si modificano dal pannello di chi gestisce il DNS del dominio. Se in azienda nessuno sa chi ha gli accessi, la prima cosa da chiarire è questa: le credenziali del dominio sono dell'azienda.

Se «Firmato da» manca, o mostra il dominio di un altro servizio al posto del tuo, quel messaggio non porta una firma DKIM del tuo dominio. Il controllo vale per il messaggio che hai mandato: ripetilo per ogni servizio che spedisce col tuo dominio.

Cosa chiedono Gmail e Yahoo a chi invia molte email

Dal 1° febbraio 2024 Google ha requisiti precisi per chi scrive agli account Gmail personali, quelli che finiscono in @gmail.com o @googlemail.com. Yahoo ha cominciato ad applicare regole simili da febbraio 2024, in modo graduale, e la disiscrizione con un clic da giugno 2024. Per Google «molte email» vuol dire più di 5.000 messaggi al giorno verso account Gmail; Yahoo parla di un volume significativo e, nelle sue domande frequenti, dice che non indica una soglia. Il riassunto, dalle pagine ufficiali di Google e di Yahoo:

Tutti e due chiedono anche messaggi scritti secondo gli standard di Internet (RFC 5322). Anche se non arrivi a quelle soglie, Google consiglia di configurare sempre SPF, DKIM e DMARC su tutti i domini da cui spedisci. Se la posta la spedisce un fornitore, Google chiede di verificare che autentichi le email del tuo dominio con SPF e DKIM.

Le regole cambiano, e Yahoo stessa avverte che i requisiti possono essere aggiornati: date e valori qui sopra sono quelli delle pagine ufficiali al 21 ottobre 2026.

Lo sistemiamo noi

Mettere in regola la posta del dominio è una delle voci del servizio Sicurezza informatica e posta: SPF, DKIM e DMARC sul tuo dominio li configuriamo noi.

• Prima la ricognizione di caselle e account.
• Poi i tre record nel DNS del dominio, con la firma DKIM attiva sul servizio che spedisce.
• Le credenziali sono dell'azienda: restano a te, documentate.
• Alla fine il report scritto, con cosa è stato configurato e cosa resta da tenere d'occhio.

Si comincia con una prima valutazione gratuita, e il preventivo ti arriva via email prima di iniziare. Lavoriamo in sede in Brianza e da remoto. L'intervento singolo va a tariffa oraria; se ti serve un supporto continuativo si fissa insieme, e i contratti IT Care sono descritti nella pagina dell'assistenza IT.

Il resto della sicurezza della posta, dal codice in più sugli account al phishing fino alla mail del fornitore con l'IBAN cambiato, è nella pagina Sicurezza informatica e posta, insieme alla guida dell'NCSC britannico che citiamo lì. Per chiedere il preventivo scrivici via email o su WhatsApp, oppure usa il modulo per le aziende.

Domande frequenti