SPF, DKIM e DMARC: autenticare le tue email passo dopo passo

Aggiornato il 23 settembre 2026

Senza questi tre record DNS, i messaggi inviati dal tuo dominio sembrano sospetti a Gmail, Outlook o Yahoo, e chiunque può spacciarsi per te. Ecco come configurarli senza rompere nulla.

A che cosa servono questi tre meccanismi

Meccanismo	Che cosa dimostra	Dove si trova
SPF	Il server che invia è autorizzato a farlo per questo dominio	Record TXT alla radice del dominio
DKIM	Il messaggio non è stato modificato e proviene dal dominio che l'ha firmato	Record TXT `selettore._domainkey.dominio`
DMARC	Che cosa deve fare il destinatario se SPF e DKIM falliscono, e a chi inviare i report	Record TXT `_dmarc.dominio`

Dal 2024 Gmail e Yahoo esigono SPF, DKIM e DMARC dai mittenti di massa, e li applicano sempre più rigorosamente a tutti. Un dominio senza autenticazione vede calare la propria consegnabilità.

Passo 1: SPF

Il record SPF elenca i server autorizzati. Esempio per un dominio che invia tramite un provider email e uno strumento di newsletter:

v=spf1 include:_spf.provider.com include:invio.newsletter.com ~all

Regole da rispettare:

un solo record SPF per dominio: due record v=spf1 rendono lo SPF non valido. Unisci gli include.
al massimo dieci query DNS: ogni include, a o mx conta. Oltre, lo SPF fallisce.
**termina con ~all** (fallimento «morbido») all'inizio, poi con -all quando sei sicuro di aver elencato tutti i mittenti.
un dominio che non invia mai email può pubblicare v=spf1 -all: nessuno potrà usurparlo.

Passo 2: DKIM

DKIM firma ogni messaggio con una chiave privata; la chiave pubblica è pubblicata nel DNS. È il tuo servizio di invio a generare la coppia di chiavi: ti indica il nome del record (ad esempio s1._domainkey.esempio.com) e il valore, oppure un CNAME da creare.

attiva DKIM per ogni servizio che invia a tuo nome: posta, newsletter, fatturazione, negozio;
preferisci chiavi da 2048 bit;
pubblicato il record, attiva la firma nel pannello del provider, poi invia un messaggio a te stesso e verifica l'intestazione DKIM-Signature e il risultato dkim=pass.

Passo 3: DMARC, in tre fasi

DMARC collega SPF e DKIM al dominio visibile nel campo «Da». Inizia in modalità osservazione:

v=DMARC1; p=none; rua=mailto:dmarc@esempio.com

**p=none** per due-quattro settimane: non viene bloccato nulla, ma ricevi report con tutti i server che inviano a tuo nome. Spesso scoprirai un servizio dimenticato.
**p=quarantine**: i messaggi che falliscono finiscono nello spam. Puoi salire gradualmente con pct=25, poi 50, poi 100.
**p=reject**: i messaggi contraffatti vengono rifiutati. È la protezione completa.

I report sono file XML poco leggibili: uno strumento di analisi DMARC, spesso gratuito per piccoli volumi, li riassume in una tabella.

Verificare la configurazione

Con il nostro strumento di ricerca DNS, interroga i record TXT del dominio, di _dmarc.dominio e di selettore._domainkey.dominio. Poi invia un messaggio a una casella Gmail o Outlook e visualizza l'originale: la riga Authentication-Results deve indicare spf=pass, dkim=pass e dmarc=pass.

Gli errori più frequenti

Due record SPF dopo l'aggiunta di un nuovo servizio.
Più di dieci query DNS nello SPF a forza di accumulare include.
DKIM attivato per la posta ma dimenticato per lo strumento di newsletter.
Passaggio diretto a p=reject senza periodo di osservazione: messaggi legittimi vengono bloccati.
Record DMARC creato sul dominio stesso invece che su _dmarc.dominio.

Apri gli strumenti NetCheck

Domande frequenti

Basta SPF senza DKIM?

No. SPF si rompe con l'inoltro automatico, perché il server che inoltra non è nella tua lista. DKIM sopravvive all'inoltro. DMARC richiede solo uno dei due allineato al tuo dominio, ma averli entrambi rende l'autenticazione affidabile.

Quanto tempo serve perché le modifiche abbiano effetto?

Il tempo che il TTL dei record impiega a scadere, di solito da qualche minuto a un'ora. I report DMARC arrivano in genere una volta al giorno.

Serve DMARC se il mio dominio non invia email?

Sì: pubblica v=spf1 -all e v=DMARC1; p=reject. I truffatori prendono di mira proprio i domini non protetti per inviare phishing a loro nome.