SPF, DKIM e DMARC spiegati in modo semplice (e come verificare i vostri in cinque minuti)

Tre sigle tornano ogni volta che si parla di deliverability: SPF, DKIM, DMARC. Spesso le si configura una volta sola, copiando righe trovate nell'aiuto del proprio provider, e poi si dimenticano. Fino al giorno in cui le email finiscono nello spam e nessuno ricorda più con precisione cosa era stato impostato.

Eppure questi tre meccanismi rispondono a una domanda semplice che si pone ogni server che riceve la vostra email: «questo messaggio viene davvero da chi dice di essere?» Senza una risposta chiara, il messaggio viene trattato come sospetto.

Perché è diventato obbligatorio

Per molto tempo questi record sono stati fortemente consigliati. Ora sono richiesti. A febbraio 2024, Gmail e Yahoo hanno imposto ai mittenti che inviano molte email di avere SPF e DKIM validi, una policy DMARC pubblicata, un link di disiscrizione con un clic e un basso tasso di reclami. Microsoft ha annunciato requisiti analoghi per Outlook.com, applicati da maggio 2025.

Le soglie ufficiali riguardano i grandi mittenti, ma nei fatti un dominio senza un'autenticazione corretta vede i propri messaggi filtrare molto prima di raggiungere quei volumi. Per la prospezione, i tre record vanno considerati il minimo indispensabile.

SPF: la lista dei server autorizzati

SPF (Sender Policy Framework) è una riga pubblicata nei DNS del vostro dominio. Dice: «le email di questo dominio possono partire solo da questi server». Quando un server riceve un messaggio firmato dal vostro dominio, verifica che il server di invio figuri nella lista.

Un record SPF assomiglia a questo:

v=spf1 include:_spf.mail.hostinger.com ~all

Leggetelo da sinistra a destra: la versione, poi i server autorizzati (qui quelli del provider), poi cosa fare con gli altri. Il «~all» finale chiede di trattare gli altri server con diffidenza senza rifiutarli, ed è una scelta prudente.

Gli errori più comuni:

• due record SPF sullo stesso dominio: è vietato, e il risultato diventa invalido. Bisogna unire i due in un'unica riga;
• un servizio dimenticato: inviate anche fatture da un software di terze parti, ma non è nella lista;
• troppi «include»: SPF limita a dieci il numero di ricerche DNS. Oltre, il record fallisce.

DKIM: la firma del messaggio

DKIM (DomainKeys Identified Mail) aggiunge a ogni email una firma crittografata. Il server di invio firma con una chiave privata, e la chiave pubblica corrispondente è pubblicata nei vostri DNS. Il destinatario verifica la firma: se è valida, sa che il messaggio viene davvero dal vostro dominio e che non è stato modificato lungo il percorso.

La chiave pubblica si trova a un indirizzo DNS preciso, costruito con un «selettore» scelto dal vostro provider, per esempio:

hostingermail1._domainkey.vostrodominio.it

È qui che si nascondono la maggior parte dei problemi DKIM: una chiave copiata in modo incompleto (sono lunghe), un selettore diverso da quello che il server usa realmente, o una chiave mai pubblicata perché il provider attendeva un'attivazione manuale. L'unica verifica affidabile consiste nell'inviare un'email vera e guardarne l'intestazione all'arrivo.

DMARC: l'istruzione in caso di fallimento

DMARC (Domain-based Message Authentication, Reporting and Conformance) collega i due precedenti. Chiede al server che riceve: «se un messaggio dice di venire dal mio dominio ma fallisce SPF e DKIM, ecco cosa devi farne». Permette anche di ricevere report sui messaggi inviati a vostro nome.

Un record DMARC iniziale assomiglia a questo:

v=DMARC1; p=none; rua=mailto:dmarc@vostrodominio.it

«p=none» significa: non bloccare nulla, ma invia i report. È la policy minima richiesta da Gmail e Yahoo, e un buon punto di partenza. Una volta certi che tutti i vostri invii legittimi superano l'autenticazione, potete passare a «p=quarantine» (mettere in spam i messaggi non autenticati), poi eventualmente a «p=reject».

Un punto sottile: DMARC richiede che il dominio autenticato tramite SPF o DKIM sia lo stesso che compare nell'indirizzo mittente. È quello che si chiama allineamento. Un'email inviata da paolo@vostrodominio.it ma firmata DKIM dal dominio tecnico del vostro provider può superare DKIM e fallire comunque DMARC.

Verificare i vostri record in cinque minuti

Non serve essere amministratori di sistema. Bastano tre verifiche:

1. Consultate i record TXT del vostro dominio con uno strumento di ricerca DNS online. Dovete trovare una sola riga che inizia con «v=spf1», e una riga «v=DMARC1» all'indirizzo _dmarc.vostrodominio.it.
2. Inviate un'email dalla casella in questione a un indirizzo Gmail personale, apritela e visualizzate il messaggio originale. Gmail indica chiaramente «SPF: PASS», «DKIM: PASS» e «DMARC: PASS», con il dominio usato per ciascuno.
3. Verificate che il dominio indicato per DKIM sia davvero il vostro, non quello del provider.

In SmartOutbound questo controllo è automatico: ogni dominio è verificato ogni giorno, un'email di test inviata al collegamento di una casella conferma la firma DKIM effettivamente riscontrata all'arrivo, e il pulsante «Verifica i DNS» della pagina delle caselle rilancia il controllo su richiesta. Se manca DMARC e il vostro dominio è su Hostinger, lo strumento può persino aggiungerlo per voi.

E il resto?

Questi tre record non garantiscono che le vostre email arriveranno nella casella di posta. Garantiscono solo che non saranno respinte per un motivo tecnico evitabile. Il resto dipende dalla reputazione del vostro dominio, dalla qualità delle vostre liste e dal contenuto dei vostri messaggi. Per i domini nuovi bisogna fare i conti anche con il tempo di warmup. E se esitate a fare prospezione dal vostro dominio principale, il nostro articolo sul dominio dedicato vi aiuterà a decidere.