DKIM, SPF e DMARC: la guida completa all'autenticazione email per il 2026

Nel febbraio 2024, Google e Yahoo hanno reso obbligatoria l'autenticazione delle email per i mittenti massivi. Se invii più di 5.000 email al giorno, devi necessariamente avere configurati SPF, DKIM e DMARC, altrimenti le tue email verranno rifiutate o finiranno nello spam.

Ma anche se invii meno email, questi tre protocolli sono essenziali per la consegna. Dimostrano ai provider delle caselle di posta che le tue email provengono davvero da te e non sono state manomesse durante il transito.

In questa guida spiegherò cosa fa ciascun protocollo, come lavorano insieme e come configurarli correttamente, anche se non sei un esperto tecnico.

I tre pilastri dell'autenticazione delle email

Pensa all'autenticazione delle email come ai controlli di sicurezza in aeroporto:

I tre lavorano insieme. SPF senza DMARC è come avere un passaporto ma nessun funzionario dell'immigrazione che lo controlli. DKIM senza DMARC è un sigillo che nessuno guarda.

SPF: Sender Policy Framework

Cos'è SPF

SPF è un record TXT del DNS che elenca gli indirizzi IP e i server autorizzati a inviare email per conto del tuo dominio. Quando un server di posta ricevente riceve un'email da you@yourdomain.com, it checks your domain's SPF record to confirm the sending server is authorized.

Come configurare SPF

Aggiungi un record TXT alle impostazioni DNS del tuo dominio:

Type: TXT
Host/Name: @ (or yourdomain.com)
Value: v=spf1 include:_spf.google.com include:sendgrid.net ~all

Analisi della sintassi:

Errori comuni da evitare con SPF

• Più record SPF: puoi avere un solo record SPF per dominio. Se ne hai due, entrambi diventano non validi.
• Troppe ricerche DNS: SPF prevede un limite di 10 ricerche DNS per verifica. Usa strumenti come spf-record.com to validate.
• Usare +all: questo autorizza chiunque a inviare email come il tuo dominio — l'opposto di ciò che vuoi.
• Dimenticare di includere mittenti di terze parti: il tuo ESP, CRM, sistema di help desk e qualsiasi altro strumento che invia email dal tuo dominio.

DKIM: DomainKeys Identified Mail

Cos'è DKIM

DKIM aggiunge una firma digitale a ogni email in uscita. Il server ricevente utilizza la tua chiave pubblica (pubblicata nel DNS) per verificare che l'email non sia stata modificata durante il transito e che provenga davvero dal tuo dominio.

Come configurare DKIM

La maggior parte dei provider di posta elettronica genera le chiavi DKIM per te. Ecco il processo tipico:

1. Genera le chiavi nella dashboard del tuo provider di posta elettronica (Google Workspace, Brevo, SendGrid, ecc.)
2. Aggiungi il record DNS che ti fornisce:

Tipo: TXT
Host/Nome: google._domainkey.yourdomain.com  (varia in base a provider)
Valore: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

3. Abilita la firma DKIM nelle impostazioni del tuo provider
4. Verifica utilizzando uno strumento di verifica DKIM

Selettori DKIM

Il "selettore" (google, s1, smtp, etc.) is an identifier that tells the receiving server which DKIM key to use. Your ESP provides the selector — it's part of the DNS hostname:

<selector>._domainkey.yourdomain.com

Puoi avere più selettori DKIM per servizi diversi (ad es. google._domainkey for Google Workspace, s1._domainkey for your ESP).

Best practice per DKIM

• Usa una chiave a 2048 bit come minimo. Le chiavi a 1024 bit non sono più considerate sicure.
• Ruota le chiavi periodicamente (ogni 6–12 mesi)
• Assicurati che il tuo ESP stia effettivamente firmando le email con DKIM prima di aggiungere il record DNS

DMARC: Domain-based Message Authentication, Reporting & Conformance

Cosa fa DMARC

DMARC è il livello di policy che unisce SPF e DKIM. Indica ai server di ricezione:

1. Cosa verificare (SPF, DKIM o entrambi)
2. Cosa fare se la verifica fallisce (nulla, quarantena o rifiuto)
3. Dove inviare i report sui risultati dell'autenticazione

Come configurare DMARC

Aggiungi un record TXT al tuo dominio:

Tipo: TXT
Host/Nome: _dmarc.yourdomain.com
Valore: v=DMARC1; p=quarantine; rua=mailto:dmarc-report@yourdomain.com; ruf=mailto:dmarc-forensics@yourdomain.com; pct=100

Livelli della policy (p=):

Percorso di adozione consigliato:

1. Inizia con p=none and rua (aggregate reports) for 1–2 weeks
2. Analizza i report DMARC per individuare mittenti non autorizzati
3. Passa a p=quarantine for another 1–2 weeks
4. Passa a p=reject once you're confident all legitimate senders pass

Come lavorano insieme i tre meccanismi

Quando invii un'email, ecco cosa succede sul server ricevente:

1. SPF Controlla: "L'IP del server mittente è presente nel record SPF?"
   → PASS o FAIL

2. DKIM Controlla: "La firma DKIM corrisponde alla chiave pubblica nel DNS?"
   → PASS o FAIL

3. DMARC Controlla: "Cosa devo fare in base ai risultati SPF/DKIM?"
   → NONE: Consegna normalmente
   → QUARANTINE: Invia a nella cartella spam
   → REJECT: Blocca completamente (rimbalza)

Affinché DMARC superi il controllo, almeno UNO tra SPF o DKIM deve superare il controllo E essere allineato con il dominio mittente. Ciò significa:

• Se SPF supera il controllo ma DKIM fallisce → DMARC può superarlo
• Se DKIM supera il controllo ma SPF fallisce → DMARC può superarlo
• Se entrambi falliscono → DMARC fallisce

Verifica della configurazione di autenticazione

Usa questi strumenti gratuiti per verificare la tua configurazione:

1. Google Admin Toolbox CheckMXVai su https://toolbox.googleapps.com/apps/checkmx/ and enter your domain
2. MXToolbox: Verifica SPF, DKIM e DMARC singolarmente su https://mxtoolbox.com/
3. DMARC Analyzer di Dmarcian: carica i report DMARC per un'analisi dettagliata
4. Invia un'email di prova a check-auth@verifier.port25.com — it replies with a detailed SPF/DKIM/DMARC report

Errori comuni che compromettono l'autenticazione

1. Dimenticare di aggiornare SPF quando si cambia ESP

Quando passi da Mailchimp a Brevo (o a qualsiasi altro ESP), aggiorna il tuo record SPF per includere il nuovo provider E mantieni quello vecchio durante la transizione.

2. Chiave DKIM troppo corta

Le chiavi DKIM a 1024 bit sono obsolete. Google e Microsoft potrebbero rifiutarle. Usa sempre un minimo di 2048 bit.

3. DMARC rua Email Doesn't Exist

Il rua address receives aggregate XML reports. If this mailbox doesn't exist or is full, you lose visibility into authentication failures.

4. SPF PermError (troppe ricerche DNS)

Ogni include:, a, mx, and ptr mechanism counts as a DNS lookup. The limit is 10. If you exceed it, SPF fails with a PermError — which means it's treated as if it doesn't exist.

Soluzione: usa un servizio di SPF flattening ospitato o consolida gli include.

Punti chiave

• SPF + DKIM + DMARC sono obbligatori per i mittenti in grande volume (requisito di Google/Yahoo dal febbraio 2024)
• Inizia con p=none, monitora per 2 settimane, poi passa a p=quarantine then p=reject
• Verifica la configurazione usando Google CheckMX, MXToolbox o l'indirizzo di prova di Port25
• Un solo record SPF — più record li invalidano entrambi
• Chiavi DKIM a 2048 bitor higher
• Verifica la tua lista di email con un verificatore per assicurarti di non inviare messaggi a indirizzi non validi: l'autenticazione è solo una metà dell'equazione, la qualità della lista è l'altra metà