Deliverability delle emailEsempio di record DMARC: template per ogni policyEsempi di record DMARC per p=none, quarantine e reject, oltre all'errore di allineamento che compromette l'autenticazione anche quando SPF e DKIM sono validi. Pronto da copiare e incollare per i mittenti B2B.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
Ecco il record DMARC più semplice e funzionante:
Pubblicalo come record TXT su _dmarc.tuodominio.com. Tutto qui. Il tuo dominio ha ora un record DMARC valido che soddisfa i requisiti minimi di Google, Yahoo e Microsoft.
Se sei di fretta, questo record è tutto ciò di cui hai bisogno per ora. Torna a leggere il resto di questa guida quando sarai pronto a capire cosa fa ogni tag, come passare a policy più rigide senza bloccare le tue email e perché il DMARC può comunque fallire anche quando SPF e DKIM sono validati.
Per tutti gli altri: vediamo insieme cosa significa realmente il record DMARC, cosa fa ogni livello di policy, l'errore di allineamento in cui cascano la maggior parte dei mittenti e come il DMARC si inserisce nella tua strategia complessiva di deliverability come mittente B2B.
Un record DMARC è un singolo record DNS TXT pubblicato su un sottodominio specifico del tuo dominio:
Il record utile più semplice è fatto così:
Tre parti. È tutto ciò che ti serve per iniziare.
Questo imposta la versione. Ogni record DMARC deve iniziare così. Deve comparire per primo, esattamente come è scritto. Niente prima di esso.
Questa è la policy. Dice ai server di posta in arrivo cosa fare con i messaggi che non superano il DMARC. Con p=none, la risposta è: niente. La posta scorre normalmente. Tu raccogli i dati. Nessuna email viene bloccata o filtrata a causa di questo record.
È esattamente per questo che è il punto di partenza ideale. Attivi il monitoraggio senza toccare la consegna.
Questo indica ai provider di posta dove inviare i tuoi report DMARC aggregati: riepiloghi giornalieri in XML che mostrano quali sistemi stanno inviando email usando il tuo dominio e se superano l'autenticazione. Sostituisci l'indirizzo con uno che controlli davvero.
Senza rua= non hai alcuna visibilità. Il record funziona, ma stai volando alla cieca.
Ogni record DMARC contiene un tag di policy (p=) che dice ai server di ricezione cosa fare quando un'email non supera l'autenticazione. Ci sono tre opzioni. Ecco come si presentano e quando usarle. Per un'analisi più approfondita su come SPF, DKIM e DMARC lavorano insieme, consulta la nostra guida su come implementare SPF, DKIM e DMARC.
Non viene intrapresa alcuna azione sui messaggi che falliscono. Le email continuano a fluire normalmente. Ricevi report giornalieri che mostrano ogni sistema che invia email usando il tuo dominio, se superano l'autenticazione e da dove arrivano i problemi.
Usa p=none quando:
Questo è anche il requisito minimo richiesto da Google e Yahoo per i grandi inviati (oltre 5.000 email al giorno) e da Microsoft da maggio 2025 per i messaggi diretti a indirizzi Outlook, Hotmail e Live.
I messaggi che non superano i controlli vengono considerati sospetti. La maggior parte dei server di ricezione li sposta nella cartella spam o posta indesiderata invece di bloccarli del tutto.
Usa p=quarantine quando:
p=reject - Blocco totale
I messaggi non conformi vengono rifiutati prima di arrivare al destinatario. È il livello di protezione anti-spoofing più forte in assoluto.
Usa p=reject solo quando:
Questo è il problema DMARC più comune che riscontriamo, ed è quello che i concorrenti o nascondono in un'appendice o saltano completamente. Quindi affrontiamolo direttamente.
Il superamento di SPF e DKIM non basta. Affinché DMARC passi, almeno uno di questi risultati deve anche allinearsi con il dominio che i tuoi destinatari vedono nell'indirizzo Da: (From).
Ecco cosa significa allineamento in pratica:
Il trigger più comune: colleghi un CRM, un helpdesk, uno strumento di cold outreach o una piattaforma di marketing. Quella piattaforma invia email usando il tuo dominio nell'indirizzo Da:, ma si autentica sotto il proprio dominio dietro le quinte. SPF e DKIM passano per il dominio della piattaforma, ma non si allineano con il tuo dominio Da:. DMARC fallisce.
Lo vediamo continuamente quando i team aggiungono nuovi strumenti senza aggiornare la loro configurazione DNS. La soluzione è configurare ogni piattaforma di invio affinché si autentichi specificamente con il tuo dominio, e non sulla propria infrastruttura condivisa.
Un record DKIM per ogni Email Service Provider (ESP), non per ogni strumento. Se un ESP invia posta per più strumenti nel tuo stack, ti serve una voce DKIM per quell'ESP, configurata per firmare con il tuo dominio.
Come diagnosticare un errore di allineamento:
Se riscontri errori DMARC che non hanno senso, la nostra guida su come risolvere gli errori DMARC analizza le cause specifiche e le soluzioni.
La maggior parte dei domini può iniziare con il semplice esempio p=none qui sopra. Ma alcune situazioni richiedono un approccio diverso.
Se un dominio non invia mai email (domini parcheggiati, registrazioni difensive, domini per la protezione del marchio), il record DMARC corretto è un rifiuto netto (hard reject) senza bisogno di un indirizzo per i report:
Questo dice a ogni provider di caselle di posta di rifiutare qualsiasi email che pretenda di provenire da questo dominio. Poiché non dovrebbe mai esserci nulla di legittimo, non c'è il rischio di interrompere la posta reale.
Questo è il caso d'uso che la maggior parte delle guide su DMARC ignora completamente.
Se fai cold outreach B2B, dovresti usare domini secondari e non sottodomini del tuo dominio principale. I sottodomini condividono la reputazione con il dominio principale. Un problema di deliverability su un sottodominio si ripercuote anche sul tuo dominio principale. I domini secondari (tuazienda.co, tuazienda.io) sono completamente separati e costruiscono la propria reputazione in modo indipendente.
Attieniti a estensioni famose: .com, .co, .io. Evita i TLD esotici: fanno scattare i sospetti prima ancora che la tua email arrivi a destinazione.
Ogni dominio secondario ha bisogno di una configurazione di autenticazione completa e dedicata:
Per il cold outreach B2B, DMARC è solo il livello di autenticazione. Il livello di reputazione è ciò che sposta davvero le email dallo spam alla casella di posta. Scopri come l'email warmup costruisce la reputazione del mittente di cui i tuoi domini secondari hanno bisogno.
Per impostazione predefinita, i sottodomini ereditano la policy DMARC del dominio principale. Se vuoi un controllo esplicito, usa il tag sp=:
p= si applica al tuo dominio principale. sp= si applica a tutti i sottodomini. Se hai sottodomini inutilizzati che non dovrebbero mai inviare email, bloccarli con sp=reject evita che vengano sfruttati per lo spoofing.
Il record DMARC si pubblica in pochi minuti, ma l'implementazione richiede settimane. I team che riscontrano problemi sono quasi sempre quelli che saltano la fase di monitoraggio e scoprono i mittenti mancanti solo quando le email legittime iniziano a rimbalzare.
Ecco la sequenza che funziona:
Lascia le impostazioni così per almeno due o quattro settimane. Assicurati che i report stiano arrivando e analizzali.
È qui che la maggior parte delle aziende ha delle sorprese. Oltre al tuo provider di posta principale, controlla:
I report DMARC sono spesso il primo posto in cui i team scoprono sistemi di invio di cui si erano dimenticati.
Per ogni piattaforma di invio che trovi:
Fai questo passo solo quando i tuoi report mostrano un'autenticazione pulita per tutti i mittenti. Continua a monitorare e fai attenzione a eventuali email legittime che finiscono nello spam.
Passa a p=reject solo dopo mesi di report puliti, con ogni mittente verificato, ogni problema di allineamento risolto e una procedura per controllare i nuovi strumenti prima che inizino a inviare.
Una nota sul tag pct=: potresti imbatterti in record DMARC che usano pct=10 o pct=25 per applicare le regole solo a una percentuale di messaggi. Le linee guida moderne sconsigliano di usarlo, perché i provider di posta non lo gestiscono in modo uniforme. Un'implementazione graduale che passa da p=none a p=quarantine e infine a p=reject è decisamente più affidabile.
I report DMARC ti permettono di capire cosa succede dopo che il tuo record è attivo. Senza i report attivi puoi anche impostare le policy, ma non saprai mai quali sistemi superano i controlli, quali falliscono o chi sta provando a inviare email usando il tuo dominio.
I report aggregati sono riassunti XML giornalieri inviati dai provider di posta aderenti. Ti mostrano chi sta inviando email con il tuo dominio, quali IP sono coinvolti e se passano o falliscono i controlli SPF, DKIM e DMARC.
Questo è quello di cui hai bisogno. Per la maggior parte delle organizzazioni, basta solo rua=.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
Impostalo su una casella di posta dedicata che controlli davvero. Di solito i provider inviano i report una volta al giorno. Aspettati file XML che richiedono un'analisi manuale o uno strumento di reportistica per essere letti facilmente.
I report forensi contengono dettagli sui singoli errori di autenticazione. Sono facoltativi, non vengono inviati con regolarità da tutti i provider e in alcune zone sollevano problemi di privacy. Per la maggior parte dei mittenti, configurare solo rua= è la scelta giusta.
Se il tuo indirizzo rua= usa un dominio diverso da quello che invia le email, il dominio di ricezione deve pubblicare un record DNS che autorizza se stesso a ricevere i report per tuo conto. Senza questo passaggio, i report potrebbero non arrivare, senza che tu riceva alcun avviso.
Controlla sempre che i report arrivino entro pochi giorni dalla pubblicazione del record DMARC. Se non vedi nulla, verifica per prima cosa questo requisito di autorizzazione.
Il DMARC è necessario. Ma non è sufficiente.
Google, Yahoo e Microsoft usano l'allineamento di SPF, DKIM e DMARC per capire se un messaggio è autenticato correttamente. Per chi invia grandi volumi, questo strato di sicurezza è ormai il minimo sindacale. Senza, le tue email rischiano molto di finire nello spam, di essere rifiutate o considerate sospette ancor prima che vengano valutati il contenuto e la reputazione. Ma questo non ti garantisce un posto nella casella di posta principale. Quel risultato dipende da tre fattori chiave:
L'autenticazione è il biglietto d'ingresso. Ti fa entrare in gioco. La reputazione è ciò che sposta le tue email dallo spam alla casella di posta.
Per il cold outreach B2B in particolare, questo fa un'enorme differenza. Stai scrivendo a persone che non ti conoscono. Non c'è alcun rapporto precedente, nessuna cronologia di interazione e nessun riconoscimento del brand da parte del loro provider di posta. Un record DMARC pulito dice ai provider che la tua email arriva davvero da te, ma non serve a fargli capire che vale la pena leggerla.
Ecco perché ogni dominio di outreach secondario ha bisogno del warmup, non basta solo l'autenticazione. MailReach migliora la tua reputazione come mittente grazie a interazioni positive e reali con una rete di oltre 30.000 caselle Google Workspace e Microsoft 365. È lo strato di reputazione che lavora insieme all'autenticazione per far arrivare davvero le tue email nella casella di posta in arrivo. Scopri come funziona l'email warmup e perché la qualità della rete è ciò che distingue un warmup efficace da tutti gli altri.
L'esempio più semplice è v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.com, pubblicato come record TXT su _dmarc.tuodominio.com. v=DMARC1 definisce la versione, p=none dice ai ricevitori di monitorare senza bloccare nulla e rua= indica dove inviare i report aggregati. Questo è il minimo richiesto da Google, Yahoo e Microsoft per chi invia grandi volumi di email.
Per iniziare e rispettare i requisiti dei provider di posta, sì. p=none è anche il punto di partenza corretto perché ti dà visibilità senza interrompere l'invio delle email. Per ambienti di invio complessi con più piattaforme e fornitori, un p=quarantine ben monitorato è spesso la scelta giusta a lungo termine. Non avere fretta di passare a p=reject finché i tuoi report non confermano che ogni mittente è pulito.
L'allineamento. Il solo superamento di SPF e DKIM non basta: il dominio autenticato deve anche corrispondere a quello visibile nel campo Da: (From). Questo problema si verifica più spesso quando uno strumento di terze parti (CRM, helpdesk, piattaforma di outreach) autentica le email usando il proprio dominio anziché il tuo. La soluzione è configurare ogni piattaforma affinché firmi e autentichi i messaggi usando specificamente il tuo dominio.
Di solito no. Un singolo record sul tuo dominio principale gestisce i sottodomini per impostazione predefinita. Usa il tag sp= per impostare una regola specifica per i sottodomini, ad esempio sp=reject per bloccare quelli da cui non invii mai nulla. I domini di outreach secondari, invece, sono completamente separati e richiedono ciascuno il proprio record DMARC.
Sì. Imposta rua=mailto: su qualsiasi casella di posta che controlli e riceverai i report aggregati gratis. Il rovescio della medaglia è che arrivano come file XML grezzi: vanno bene per un dominio piccolo, ma diventano difficili da leggere su larga scala. Per un unico dominio di invio con attività limitata, la tua casella di posta va benissimo.
Il DMARC è necessario ma non sufficiente. Senza di esso, Google, Yahoo e Microsoft possono rifiutare o buttare nello spam la tua email prima ancora di valutarla. Ma averlo non garantisce l'arrivo in inbox, che dipende invece dalla reputazione del mittente e dai contenuti. Il DMARC sistema il pilastro dell'autenticazione. L'arrivo in inbox dipende da tutt'e tre. Dai un'occhiata alla nostra guida su come migliorare la deliverability delle email per avere il quadro completo.
Sì. Dal 5 maggio 2025, Microsoft richiede SPF, DKIM e una policy DMARC minima di p=none per chi invia grandi volumi (5.000+ email/giorno) a indirizzi Outlook.com, Hotmail.com e Live.com. I messaggi non conformi vengono inizialmente dirottati nello spam, seguiti poi dal blocco totale. Google e Yahoo hanno introdotto requisiti simili a febbraio 2024. Ormai tutti e tre i principali provider richiedono il DMARC per l'invio di massa.
Ogni email nello spam equivale a un potenziale cliente perso. Inizia a migliorare il posizionamento nella tua casella di posta oggi stesso con il test spam e l'email warmup di MailReach.
Seguire le regole non basta: scopri dove finiscono le tue email e cosa le sta bloccando. Controlla il tuo spam score con il nostro test gratuito e migliora la deliverability con il warmup di MailReach.
Senza il warmup giusto, le tue migliori campagne sono inutili. Puoi iniziare testando il tuo inbox placement e iniziare a migliorarlo oggi stesso.
Esempio di record DMARC: template per ogni policy
.avif)
Cosa sono le Linee Guida per i Mittenti di Gmail? (Guida 2026)
Stiamo per svelarti la strategia di riscaldamento e invio di cold email più efficiente in assoluto per evitare di finire nello spam. Preparati, è una mossa potentissima per migliorare la deliverability delle tue cold email e ottenere grandi risultati dalle tue campagne.
Deliverability Email SendGrid: Cosa devono sapere i mittenti B2B di cold email nel 2026
Rotazione della chiave DKIM: La guida onesta (e perché la maggior parte dei cold sender non ne ha bisogno)
Smart DMARC: la chiave per una migliore deliverability e protezione delle email
