SPF, DKIM, DMARC: Guida alla Configurazione

Hai configurato la campagna di cold email, il contenuto è pronto, ma non sai se i messaggi arriveranno davvero nella casella principale dei destinatari o finiranno filtrati come spam prima ancora di essere letti. Nella maggior parte dei casi il problema non è il testo dell'email: è l'autenticazione tecnica del dominio di invio, cioè se SPF, DKIM e DMARC sono configurati correttamente.

Questa guida spiega cosa sono questi tre record DNS, a cosa servono singolarmente e come configurarli passo per passo, senza competenze tecniche avanzate.

Cosa sono SPF, DKIM e DMARC

SPF, DKIM e DMARC sono tre record DNS che autenticano le email in uscita, dicendo ai server riceventi (Gmail, Outlook, ecc.) che un messaggio parte davvero dal dominio che dichiara di rappresentare e non è stato falsificato. Insieme formano lo standard di autenticazione email più diffuso: senza di essi, molti provider trattano gli invii come sospetti a prescindere dal contenuto.

SPF: chi può inviare per conto del tuo dominio

SPF (Sender Policy Framework) è un record DNS di tipo TXT che elenca i server autorizzati a inviare email a nome del tuo dominio. Quando un'email arriva, il server ricevente controlla se l'IP mittente compare nella lista SPF del dominio dichiarato nell'header "From". Se non compare, il messaggio viene considerato potenzialmente falsificato.

Un record SPF tipico ha questa forma:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Ogni include: aggiunge un provider autorizzato (qui Google Workspace e SendGrid). Il parametro finale (~all o -all) definisce cosa fare con i mittenti non elencati: ~all è un fallimento "morbido" (il messaggio passa ma viene segnalato), -all è un fallimento rigido (il messaggio viene rifiutato). Un errore comune è avere più record SPF sullo stesso dominio: il DNS ne ammette uno solo, quindi ogni nuovo tool di invio va aggiunto come include: nel record esistente, non come record separato.

DKIM: la firma crittografica del messaggio

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica a ogni email inviata, generata con una chiave privata sul server mittente e verificabile con una chiave pubblica pubblicata come record DNS TXT. Se il contenuto del messaggio viene alterato durante il transito, la firma non corrisponde più e la verifica fallisce.

A differenza di SPF, DKIM non dipende dall'IP di invio ma dal contenuto del messaggio stesso, il che lo rende più robusto quando le email passano attraverso relay o inoltri. La configurazione avviene quasi sempre lato provider: il tool di invio (Google Workspace, un ESP, una piattaforma di cold email) genera la chiave e fornisce il record TXT da incollare nel DNS, con un nome tipo selector._domainkey.tuodominio.com.

DMARC: la policy che unisce SPF e DKIM

DMARC (Domain-based Message Authentication, Reporting and Conformance) è il record che dice ai server riceventi cosa fare quando un'email fallisce i controlli SPF e/o DKIM, e permette di ricevere report periodici su chi sta inviando email a nome del tuo dominio. È il livello che rende SPF e DKIM effettivamente utili contro spoofing e phishing.

Un record DMARC base:

v=DMARC1; p=none; rua=mailto:dmarc-reports@tuodominio.com

Il parametro p definisce la policy:

Policy	Effetto	Quando usarla
p=none	Nessuna azione, solo monitoraggio via report	Fase iniziale, per osservare senza rischi
p=quarantine	I messaggi che falliscono vengono messi in spam	Dopo aver verificato che gli invii legittimi passano
p=reject	I messaggi che falliscono vengono rifiutati	Dominio maturo, tutti gli invii legittimi autenticati

Il percorso corretto è progressivo: iniziare con p=none per raccogliere dati per 2-4 settimane, verificare che tutti i sistemi di invio legittimi (CRM, tool marketing, fatturazione) siano correttamente autenticati, poi passare a quarantine e infine a reject. Saltare direttamente a reject senza questa fase rischia di bloccare email legittime che non avevi considerato.

Come configurare i tre record passo per passo

1. Elenca tutti i sistemi che inviano email a nome del tuo dominio: email aziendale, CRM, tool di cold email, piattaforma di fatturazione, servizio di newsletter. Ogni sistema dimenticato è una fonte di falsi negativi su SPF e DKIM.
2. Configura SPF: crea o modifica il record TXT esistente aggiungendo un include: per ogni provider della lista, e termina con ~all in una prima fase.
3. Attiva DKIM su ogni provider: nella maggior parte dei tool di invio è un'opzione nelle impostazioni del dominio, che genera automaticamente il record TXT da copiare nel DNS.
4. Pubblica DMARC con p=none: monitora i report per alcune settimane, verificando che gli invii legittimi risultino allineati.
5. Alza gradualmente la policy a quarantine poi reject, una volta confermato che nessun invio legittimo viene bloccato.

Un errore frequente riguarda l'uso di sottodomini dedicati per la prospezione commerciale: se invii cold email da un sottodominio (ad esempio outreach.tuodominio.com), quel sottodominio ha bisogno del proprio record SPF e DKIM, e il DMARC del dominio principale si applica ereditariamente solo se non ne esiste uno specifico più restrittivo.

Perché questi record influenzano la deliverability

Un dominio senza SPF, DKIM e DMARC correttamente configurati parte svantaggiato agli occhi dei filtri antispam, indipendentemente dalla qualità del contenuto o della lista contatti. Ma l'autenticazione tecnica è solo una parte del quadro: anche con record perfetti, un bounce rate alto — dovuto a indirizzi obsoleti o mai verificati — danneggia la reputazione del dominio nel tempo. Per il quadro completo su come leggere e correggere i segnali di deliverability, vedi la guida sulla deliverability email.

Una lista contatti aggiornata riduce a monte il rischio di bounce: uno strumento di arricchimento CRM in tempo reale mantiene aggiornati email e recapiti man mano che i contatti cambiano azienda o ruolo, così l'autenticazione tecnica lavora su una base dati che non si degrada nel tempo.

Domande frequenti

Devo configurare SPF, DKIM e DMARC tutti e tre?

Sì, sono complementari: SPF verifica l'IP mittente, DKIM verifica l'integrità del messaggio con una firma crittografica, DMARC definisce la policy quando uno dei due fallisce e fornisce visibilità tramite i report. Configurarne solo uno o due lascia lacune che i filtri antispam e gli attaccanti possono sfruttare.

Quanto tempo serve perché SPF, DKIM e DMARC abbiano effetto?

La propagazione DNS richiede generalmente da poche ore a 48 ore. L'effetto sulla deliverability, però, si consolida più gradualmente: i provider come Gmail rivalutano la reputazione del dominio nel tempo, quindi i benefici pieni si vedono in genere entro qualche settimana dalla configurazione corretta.

Posso usare lo stesso record SPF per più tool di invio?

Sì, ed è la modalità corretta: un dominio può avere un solo record SPF, quindi ogni provider aggiuntivo va inserito come include: all'interno dello stesso record, non come record separato — il DNS ignora record SPF multipli, causando fallimenti imprevisti.

DMARC in modalità p=reject blocca troppe email legittime?

Solo se attivato senza la fase preliminare di monitoraggio. Passare direttamente a p=reject senza aver prima verificato con p=none che tutti i sistemi di invio legittimi siano allineati è la causa più comune di email legittime bloccate.

---

Prima di ottimizzare l'autenticazione tecnica, verifica che la lista contatti su cui invii sia aggiornata: un bounce rate alto vanifica anche una configurazione SPF/DKIM/DMARC perfetta. Crea un account gratuito — 100 crediti al mese, nessuna carta di credito richiesta.