Le tue email finiscono nello spam? SPF, DKIM e DMARC spiegati in modo semplice

Un cliente dice: “La tua email con il preventivo non è mai arrivata.” E tu sai benissimo di averla inviata. Ti suona familiare?

Allora spesso non dipende da te, ma da record mancanti nel tuo dominio. L'email è vecchia ed è nata quando su internet ci si fidava ancora tutti. In teoria chiunque può indicare qualsiasi mittente. Perché le caselle possano distinguere le email vere da quelle false, esistono tre procedure di verifica: SPF, DKIM e DMARC.

Le tre verifiche, ognuna in una frase

Tutti e tre sono record nel DNS del tuo dominio, cioè nella rubrica di internet. Non si vedono, ma ogni grande provider di posta li legge a ogni email in arrivo.

Perché è importante proprio ora

I grandi provider di posta hanno inasprito le regole. Da febbraio 2024 Google richiede a tutti i mittenti verso Gmail almeno SPF o DKIM, oltre a una connessione crittografata e record DNS validi. Chi invia più di 5.000 email al giorno ha bisogno di SPF, DKIM e DMARC e, per le email pubblicitarie, di una disiscrizione con un clic. Microsoft ha seguito per Outlook.com, Hotmail e Live: dal 5 maggio 2025 le email dei grandi mittenti che non superano la verifica vengono rifiutate – con un messaggio di errore, non solo spostate nello spam.

Non invii 5.000 email al giorno? Allora le regole più severe non valgono per te. Le verifiche però entrano nella valutazione di ogni email. Senza SPF e DKIM anche la singola email con un preventivo finisce più facilmente nello spam. In Germania il BSI (l'Ufficio federale tedesco per la sicurezza informatica) raccomanda tutte e tre le procedure nella sua direttiva tecnica sull'autenticazione delle email (TR-03182).

Ecco come verificare la tua situazione

Invia un'email a una casella Gmail o Outlook e apri lì la vista dettagliata del messaggio, di solito “Mostra originale” o “Dettagli messaggio”. Lì per SPF, DKIM e DMARC trovi “PASS” o “FAIL”. Se ovunque c'è PASS, le basi ci sono. Se da qualche parte c'è FAIL o manca qualcosa, conviene dare un'occhiata alle impostazioni DNS.

Ostacoli tipici:

• Non invii solo dalla tua casella, ma anche tramite strumento di newsletter, shop, programma di fatturazione o sistema di ticket. Ognuno di questi servizi deve comparire nell'SPF o ricevere chiavi DKIM proprie.
• Ci sono due record SPF invece di uno. Ai server di posta non piace per niente.
• DMARC manca del tutto. Inizia con “p=none”: così prima osservi, poi diventi più severo.
• La chiave DKIM è troppo corta. Google richiede almeno 1.024 bit e ne consiglia 2.048.

Diventare più severi passo dopo passo

DMARC conosce tre livelli: “none” (solo osservare), “quarantine” (email sospette nello spam) e “reject” (rifiutare). Chi passa subito a “reject” a volte tiene fuori il proprio programma di fatturazione. Più furbo è: partire con “none”, leggere i report per qualche settimana, inserire tutti i mittenti legittimi e poi inasprire le regole gradualmente. Alla fine così proteggi anche i tuoi clienti, perché i truffatori non potranno quasi più usare il tuo dominio per fatture false.

E se qualcosa finisce comunque nello spam?

Record puliti sono il biglietto d'ingresso, ma non tutta la festa. Le caselle di posta valutano anche il contenuto e la reputazione del tuo dominio. Alcune cose che spesso aiutano:

• Non inviare email di massa dalla tua casella normale a centinaia di destinatari, ma tramite un servizio di newsletter con link di disiscrizione – e solo a persone che hanno dato il consenso.
• Evita oggetti in maiuscolo, tanti punti esclamativi ed email composte solo da un'immagine.
• Invia gli allegati grandi piuttosto come link a un download sicuro.
• Tieni d'occhio il tasso di spam: Google indica come limite massimo 0,3 per cento di segnalazioni, meglio restare ben al di sotto.

Se un'email importante sparisce comunque, aiuta il messaggio di errore che spesso torna indietro. Sembra criptico, ma di solito contiene il motivo in una riga. Inoltralo e basta – per noi è come una radiografia.

Il DNS ti sembra una cantina senza luce? Il Mostro dell'Email configura per te SPF, DKIM e DMARC, controlla tutti i servizi di invio e ti spiega il risultato in due frasi. Per tutto ciò che riguarda i tuoi domini ti aiuta il Mostro dei Domini.