Email aziendali nello spam: SPF, DKIM e DMARC spiegati semplici

Il cliente ti richiama dopo una settimana: "il preventivo non mi è mai arrivato". Lo ritrova nella cartella spam, oppure non lo trova affatto, perché il suo server l'ha respinto senza avvisare nessuno. Se ti è successo più di una volta, la causa quasi sempre non è quello che scrivi ma il dominio da cui scrivi: mancano, o sono impostati male, i tre controlli con cui chi riceve verifica che un messaggio arrivi davvero da te. Si chiamano SPF, DKIM e DMARC, e da quando Gmail, Yahoo e Microsoft hanno smesso di chiudere un occhio sono la prima cosa da guardare.

Perché il problema è esploso negli ultimi anni

Per molto tempo un'email configurata alla buona arrivava comunque, al massimo un po' più spesso nella posta indesiderata. Poi i grandi provider hanno alzato l'asticella. Da febbraio 2024 Google e Yahoo chiedono a chiunque scriva ai loro utenti di autenticare il proprio dominio almeno con SPF o DKIM, e a chi spedisce grandi volumi, oltre 5.000 messaggi al giorno verso Gmail, tutti e tre i controlli più la disiscrizione con un clic. Da novembre 2025 Gmail ha stretto ancora i controlli e ha cominciato a respingere, in modo temporaneo o definitivo, i messaggi che non rispettano le regole. Microsoft ha seguito la stessa strada dal 5 maggio 2025 per le caselle Outlook.com e Hotmail: chi supera i 5.000 invii al giorno e non è in regola si vede rifiutare la posta con un errore 550 5.7.515. Ad aprile 2026 anche l'Agenzia per la Cybersicurezza Nazionale ha pubblicato le proprie linee guida sulla configurazione della posta, con una raccomandazione netta: adottare tutti e tre i protocolli insieme, anche per le organizzazioni che non rientrano nella NIS2. Non a caso è una delle voci che compaiono nei questionari di sicurezza NIS2 che le aziende più grandi mandano ai propri fornitori.

Una piccola azienda non manda 5.000 email al giorno e potrebbe pensare di esserne fuori. In realtà i requisiti minimi valgono per tutti, e il guaio è che oggi quasi nessuna azienda spedisce posta da un posto solo.

SPF, DKIM e DMARC detti in parole semplici

Pensa alla busta di una lettera. SPF è l'elenco, pubblicato dal tuo dominio, dei postini autorizzati a consegnare posta a tuo nome: se la lettera arriva da un server che non compare nell'elenco, è sospetta. DKIM è un sigillo sulla busta, una firma digitale che il destinatario verifica con una chiave pubblicata nel tuo dominio e che dimostra che il messaggio non è stato alterato per strada. DMARC è l'istruzione che lasci a chi riceve: cosa fare se una lettera che dice di venire da te non supera i controlli (consegnarla lo stesso, metterla in quarantena o rifiutarla) e a chi mandare un resoconto periodico di quello che è successo.

Tutti e tre sono righe di testo nei DNS del dominio, cioè nel pannello dove il dominio è registrato. È anche il motivo per cui spesso nessuno se ne occupa: chi ha fatto il sito non segue la posta, chi segue la posta non ha accesso al dominio, e il dominio a volte è intestato a qualcun altro. Se non sai chi abbia le chiavi del tuo, la guida su dominio e accessi del sito ti aiuta a scoprirlo.

Il vero colpevole: chi spedisce email a tuo nome

Proviamo a contare. Le email che scrivi tu partono dal servizio di posta, che sia quello del provider dove hai registrato il dominio, Microsoft 365 o Google Workspace. Le fatture e i solleciti spesso li manda il gestionale. Le conferme d'ordine arrivano dall'e-commerce, la newsletter da una piattaforma come Mailchimp o Brevo, le richieste del modulo contatti dal server che ospita il sito. Sono cinque mittenti diversi che usano tutti il tuo nome, e ognuno va autorizzato: inserito nel record SPF e configurato con la propria chiave DKIM.

Gli errori che troviamo più spesso nascono proprio da qui. Due record SPF sullo stesso dominio, che si annullano a vicenda perché ognuno ha aggiunto il suo senza guardare quello che c'era. Un SPF così lungo da superare il limite di dieci consultazioni DNS fissato dallo standard, oltre il quale il controllo fallisce senza dare segni. La newsletter, o a volte lo stesso provider di posta, che firma con il proprio dominio invece che con il tuo, per cui DKIM passa ma DMARC no, perché i due domini non coincidono. Microsoft 365, per esempio, non firma con il tuo dominio finché qualcuno non pubblica le due chiavi nei DNS e non attiva la firma. Il modulo del sito che spedisce direttamente dal server dell'hosting, mai autorizzato da nessuno: ecco perché le richieste dei clienti a volte arrivano e a volte no.

Come capire in dieci minuti se il problema è il tuo dominio

La prova più semplice si fa con un indirizzo Gmail qualsiasi. Mandati un'email, aprila e dal menu dei tre puntini scegli "Mostra originale": in cima trovi tre righe, SPF, DKIM e DMARC, ognuna con PASS o FAIL. Anche un solo FAIL ti dice da dove partire. Ripeti la prova da ogni sistema che spedisce a tuo nome, quindi una fattura dal gestionale, una conferma dall'e-commerce, un messaggio dal modulo del sito, perché spesso il problema sta in uno solo di questi.

Servizi gratuiti come mail-tester o i controlli di MXToolbox danno un quadro simile e segnalano anche se il server da cui spedisci è finito in qualche lista nera. Se mandi newsletter con una certa regolarità, Google Postmaster Tools mostra come Gmail vede il tuo dominio, compreso il tasso di segnalazioni come spam, che Google chiede di tenere sotto lo 0,3% e idealmente sotto lo 0,1%. Se invece un cliente ti inoltra un messaggio di errore, il codice dice già molto: 5.7.26 da Gmail o 5.7.515 da Outlook significano quasi sempre autenticazione mancante o non allineata.

DMARC protegge anche i tuoi clienti

C'è un secondo motivo, meno ovvio, per sistemare tutto questo. Senza DMARC chiunque può spedire un'email che sembra partire esattamente dal tuo indirizzo, ed è la base di una delle truffe più costose per le piccole aziende: il messaggio falso che comunica al cliente un nuovo IBAN per pagare le fatture. Il rapporto 2025 della Polizia Postale cita le frodi del finto cambio di IBAN e del falso amministratore delegato tra le minacce che non accennano a calare. Con DMARC impostato su quarantena o rifiuto, i provider che lo applicano, e oggi lo applicano tutti i principali, scartano i messaggi che usano il tuo dominio senza autorizzazione prima che arrivino in casella.

Conviene però sapere fin dove arriva questa protezione. DMARC ferma chi si spaccia esattamente per il tuo dominio, non chi ne registra uno quasi uguale cambiando una lettera, e nemmeno chi entra davvero in una delle tue caselle rubando la password. Per questi casi servono altre difese, dall'autenticazione a due fattori all'attenzione delle persone, di cui parliamo nella guida su phishing e truffe via email.

Il passaggio però va fatto con ordine. Si parte con una politica di solo monitoraggio (p=none), si leggono i rapporti per qualche settimana per scoprire i mittenti legittimi che ci si era dimenticati, li si autorizza, e solo dopo si passa a quarantine e infine a reject. Saltare direttamente al rifiuto è il modo più rapido per bloccare le proprie fatture.

Quando i controlli passano ma le email finiscono lo stesso nello spam

L'autenticazione è necessaria, non sufficiente. Se le tre verifiche sono verdi e i messaggi vanno comunque nella posta indesiderata, il nodo è la reputazione: invii a liste comprate o vecchie, molti indirizzi che non esistono più, destinatari che segnalano come spam, oppure un server condiviso con altri clienti dell'hosting che spediscono male. Il contenuto conta meno di quanto si pensi, anche se allegati pesanti, link accorciati e oggetti scritti in maiuscolo non aiutano. In questi casi si lavora sulla pulizia delle liste e, spesso, si spostano gli invii promozionali su una piattaforma dedicata, così una campagna andata male non trascina con sé la posta di tutti i giorni.

E la PEC?

La posta elettronica certificata è un sistema a parte, con gestori accreditati e regole proprie: le impostazioni di cui abbiamo parlato non la riguardano, e un messaggio PEC non finisce nello spam di Gmail per un SPF sbagliato. Vale però anche il contrario: la PEC non ti salva se preventivi e solleciti partono dalla posta normale.

Quanto lavoro serve per sistemare

Meno di quanto si teme. Di solito basta un pomeriggio per fare l'inventario dei mittenti, correggere i record e impostare DMARC in monitoraggio, poi qualche settimana di osservazione dei rapporti prima di stringere le maglie. La parte che porta via più tempo è quasi sempre un'altra: recuperare gli accessi al pannello del dominio. È uno dei primi controlli che facciamo quando prendiamo in carico l'assistenza informatica di un'azienda, insieme alla verifica di backup e accessi, perché una posta che non arriva è uno di quei problemi che costano clienti senza fare rumore.