Guide · Email e domini

SPF, DKIM e DMARC spiegati: perché le tue email finiscono nello spam

Scritto da Aldo · threat hunter in un blue team
Ultimo aggiornamento: 9 novembre 2026 · 5 min di lettura

Le tue fatture finiscono nella cartella spam dei clienti, o tornano indietro. Nove volte su dieci il problema non è il contenuto. I server che ricevono semplicemente non riescono a confermare che la posta arrivi davvero dal tuo dominio. A deciderlo sono tre record DNS.

I tre record in parole semplici

SPF: chi può inviare

SPF è un record TXT del tuo dominio che elenca i server autorizzati a inviarne la posta. Uno tipico, per un'azienda che usa Google Workspace e uno strumento per newsletter:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Ogni include: richiama la lista di un fornitore. La parte finale dice cosa fare con tutto il resto: -all significa “rifiuta”, ~all significa “tratta con sospetto”. SPF controlla il mittente nascosto della busta (il Return-Path), non la riga From che vedono le persone, ed è per questo che da solo non basta.

La trappola: durante la valutazione SPF consente al massimo dieci interrogazioni DNS. Ogni include, a, mx ed exists conta, comprese quelle dentro le liste dei fornitori. Aggiungi un servizio di troppo e SPF fallisce per ogni messaggio, in silenzio.

DKIM: una firma su ogni messaggio

Il tuo servizio di posta firma ogni messaggio in uscita con una chiave privata e pubblica la chiave pubblica nel DNS sotto un selettore, in selettore._domainkey.tuodominio. Il destinatario controlla la firma; se corrisponde, il messaggio è passato davvero da un server che possiede la tua chiave e non è stato alterato lungo la strada. I record DKIM non si scrivono a mano: ogni servizio di posta ti dà il record da pubblicare, e la firma si attiva nelle sue impostazioni.

DMARC: legarlo all'indirizzo From, e decidere una policy

DMARC si trova in _dmarc.tuodominio. Dice: un messaggio è valido solo se SPF o DKIM sono superati per lo stesso dominio dell'indirizzo From (si chiama allineamento), ed ecco cosa fare quando non lo sono.

v=DMARC1; p=none; rua=mailto:dmarc-reports@tuodominio

p=none raccoglie solo report; p=quarantine manda i messaggi falliti nello spam; p=reject li rifiuta. L'indirizzo rua riceve ogni giorno report riassuntivi dai grandi destinatari, con l'elenco di tutti i server che hanno inviato posta a tuo nome. È grazie a quei report che trovi i servizi che avevi dimenticato.

Un esempio concreto: un dominio che non invia nessuna email

Abbiamo avviato il report del dominio di iplover su example.com, il dominio di documentazione, il 9 novembre 2026. La sezione email, così come appariva:

Così dovrebbe apparire un dominio che non invia mai posta, e vale la pena copiarlo per ogni dominio che possiedi ma non usi per le email:

• v=spf1 -all non autorizza alcun server, quindi ogni messaggio che dice di provenire da lì fallisce SPF.
• p=reject con sp=reject chiede ai destinatari di rifiutare i messaggi falliti per il dominio e i suoi sottodomini. adkim=s e aspf=s richiedono un allineamento esatto (rigoroso) invece di ammettere i sottodomini.
• Un record null MX dice che il dominio non accetta nemmeno posta in arrivo.

La nota su DKIM è onesta sul proprio limite: nessuna chiave sui selettori che abbiamo provato. Un dominio che non invia nulla non ha motivo di pubblicarne una. Per un dominio che invia, “non trovata” può anche significare un selettore che non abbiamo indovinato; le intestazioni di un messaggio che hai inviato (cerca s= nella riga DKIM-Signature) ti dicono quello vero.

Controlla il tuo dominio

dig +short TXT tuodominio.it | grep spf1
dig +short TXT _dmarc.tuodominio.it
dig +short TXT selettore._domainkey.tuodominio.it   # usa il tuo selettore reale

Su Windows: nslookup -type=TXT _dmarc.tuodominio.it. Oppure avvia il report del dominio, che fa tutto questo e conta per te le interrogazioni SPF.

Il test migliore in assoluto: invia un messaggio a un account Gmail che controlli, aprilo, scegli Mostra originale e leggi le righe SPF, DKIM e DMARC in alto. È esattamente ciò che il destinatario ha concluso su di te.

Se la tua posta finisce nello spam: cosa sistemare

Quando i report mostrano solo i tuoi servizi che superano i controlli, inasprisci DMARC un passo alla volta: p=quarantine, poi p=reject. Passare subito a reject prima di aver trovato ogni mittente è il modo in cui le aziende perdono le proprie fatture.

Cosa questi record non possono fare

SPF, DKIM e DMARC proteggono il tuo dominio esatto dalla falsificazione. Non impediscono a qualcuno di registrare un dominio simile, non rendono gradita la posta che sembra spam e non dicono nulla sull'onestà del contenuto di un messaggio. Sono il minimo che permette ai destinatari di fidarsi del tuo dominio, non una garanzia di arrivare in posta in arrivo.