SPF, DKIM e DMARC spiegati in modo pratico: cosa sono e perché proteggono le tue email

Se gestisci l’invio di email per la tua azienda, probabilmente hai già sentito parlare di SPF, DKIM e DMARC. Sono tre sigle che tornano sempre quando si parla di deliverability, ma spesso restano un mistero: cosa fanno esattamente, chi li controlla e perché, senza di loro, le tue email rischiano di finire in spam o di non arrivare affatto? In questo articolo vediamo in modo pratico cosa sono questi tre protocolli, come si configurano e perché sono ormai indispensabili per chiunque invii email in modo professionale.

SPF: chi è autorizzato a inviare email per il tuo dominio

SPF (Sender Policy Framework) è un record TXT pubblicato nel DNS del tuo dominio che elenca quali server sono autorizzati a inviare email a tuo nome. Quando un server di posta in arrivo riceve un messaggio, controlla l’indirizzo IP del mittente e lo confronta con quelli indicati nel record SPF: se non corrisponde, il messaggio viene considerato sospetto. Un record SPF tipico comincia con v=spf1, elenca gli host autorizzati con direttive come include: e termina con un meccanismo come ~all (soft fail, consigliato in fase di test) o -all (hard fail, più restrittivo). Chi si affida a un servizio SMTP dedicato deve semplicemente aggiungere l’host del provider al proprio record SPF, senza dover gestire server propri.

DKIM: la firma digitale che garantisce l’integrità del messaggio

DKIM (DomainKeys Identified Mail) funziona in modo diverso: ogni email viene firmata digitalmente con una chiave privata, e il server ricevente verifica la firma usando la chiave pubblica pubblicata in un record DNS del tipo selettore._domainkey.tuodominio.it. Se il contenuto del messaggio viene alterato durante il transito, la firma non è più valida e il controllo fallisce. A differenza di SPF, che si basa sull’IP del mittente, DKIM certifica che il messaggio non sia stato manomesso e che provenga realmente da chi dichiara di averlo inviato. È una protezione complementare a SPF, non un’alternativa: i provider di posta più seri, da Gmail a Outlook, oggi considerano entrambe le verifiche per decidere se un’email merita di arrivare in posta in arrivo.

DMARC: le regole che uniscono SPF e DKIM

DMARC (Domain-based Message Authentication, Reporting and Conformance) è il protocollo che dice ai server di posta cosa fare quando un’email fallisce i controlli SPF o DKIM, o quando questi non sono allineati con il dominio visibile nel campo «From». Si pubblica come record TXT su _dmarc.tuodominio.it e la direttiva più importante è p=, che può valere none (nessuna azione, solo monitoraggio), quarantine (il messaggio va in spam) o reject (il messaggio viene rifiutato). Il record può includere anche un indirizzo rua= per ricevere report aggregati su chi sta inviando email a nome del tuo dominio, utile per individuare tentativi di spoofing. Il punto chiave di DMARC è l’allineamento: SPF o DKIM devono riferirsi allo stesso dominio che appare nel «From» del messaggio, non solo a un dominio tecnico del provider usato per l’invio.

Perché oggi non sono più opzionali

Negli ultimi anni Google e Yahoo hanno reso questi controlli praticamente obbligatori per chi invia volumi significativi di email: superata una certa soglia giornaliera di messaggi verso i loro domini, è richiesto avere SPF e DKIM configurati correttamente e almeno un record DMARC pubblicato, anche solo in modalità di monitoraggio (p=none). Chi non si allinea rischia che le proprie email vengano respinte o filtrate automaticamente, indipendentemente dalla qualità del contenuto inviato. Per questo motivo, prima di avviare qualsiasi campagna di invio massivo di email, vale la pena verificare che questi tre record siano impostati correttamente: è un controllo che richiede pochi minuti ma può fare la differenza tra una email che arriva in posta in arrivo e una che finisce ignorata in spam.

Come semplificare la configurazione

Configurare SPF, DKIM e DMARC da zero su un server di posta proprio richiede competenze tecniche e manutenzione costante, soprattutto quando si usano più strumenti di invio (CRM, piattaforme di newsletter, software gestionali) che devono tutti risultare autorizzati senza compromettere la sicurezza del dominio. Un servizio SMTP professionale si occupa di guidarti nella configurazione di questi record e di mantenere alta la reputazione degli IP di invio, così che SPF, DKIM e DMARC lavorino insieme per proteggere il tuo dominio e migliorare la deliverability delle tue comunicazioni. Se hai dubbi su come impostare questi record per il tuo caso specifico, puoi consultare le domande frequenti o contattarci per una verifica gratuita della tua configurazione attuale.