Autenticazione Email: Metodi, Migliori Pratiche e Importanza nel 2026

L'autenticazione email è il processo tecnico che verifica la tua identità come mittente utilizzando protocolli come SPF, DKIM e DMARC. Dice ai provider di posta: "Questa email è legittima, non falsificata o spam."

Senza un'autenticazione adeguata, le tue email—non importa quanto pulite o ben scritte—hanno molte più probabilità di finire nello spam o di essere bloccate del tutto. E nel 2026, con filtri più stretti e algoritmi più intelligenti, quel rischio è ancora più alto.

Questa guida analizza i protocolli essenziali, ti mostra come configurarli correttamente (senza interrompere il tuo attuale flusso di email) e condivide strumenti per convalidare la tua configurazione, così puoi proteggere il tuo dominio e migliorare il posizionamento nella posta in arrivo con fiducia.

I Tre Elementi Essenziali – SPF, DKIM e DMARC

Non c'è autenticazione email affidabile senza SPF, DKIM e DMARC. Questi tre protocolli formano le fondamenta della fiducia del tuo dominio con i provider di posta.

Pensali come i tre lati di un triangolo della fiducia. Ognuno gestisce una parte diversa del processo di verifica e si completano a vicenda. Se un lato manca o è disallineato, l'intera struttura diventa più debole. Il risultato? Un impatto diretto sulla tua capacità di raggiungere la posta in arrivo.

SPF (Sender Policy Framework)

SPF specifica quali indirizzi IP o server sono autorizzati a inviare email per conto del tuo dominio. Se un'email proviene da una fonte non autorizzata, i provider di posta sono più propensi a contrassegnarla come falsificata o spam. SPF è il tuo primo strato di protezione contro la falsificazione del dominio.

DKIM (DomainKeys Identified Mail)

DKIM allega una firma digitale alle tue email utilizzando un sistema di chiavi private-pubbliche. Dimostra che il contenuto non è stato alterato durante il transito. Se DKIM manca o non è valido, anche le email legittime possono sembrare sospette.

DMARC (Domain-based Message Authentication, Reporting & Conformance)

DMARC si basa su SPF e DKIM. Indica ai provider di posta come gestire le email che non superano i controlli di autenticazione: consegnarle, inviarle allo spam o rifiutarle del tutto. Ti invia anche report dettagliati su chi sta usando il tuo dominio e su come stanno andando le tue email.

Senza DMARC, non puoi vedere chi sta inviando dal tuo dominio né impedire ad altri di falsificarlo. Inoltre, non saprai se SPF o DKIM stanno fallendo, il che significa che i problemi di deliverability possono passare del tutto inosservati. 

Guida passo-passo alla configurazione

Per far funzionare SPF, DKIM e DMARC, segui attentamente questi passaggi:

Passaggio 1: Elenca i tuoi Email Service Providers (ESP)

Prima di toccare qualsiasi impostazione DNS, prenditi un minuto per elencare tutte le piattaforme che inviano email usando il tuo dominio. Questo include strumenti come:

• Google Workspace (Gmail): email quotidiane
• Outlook/Office365: email interne o transazionali
• Brevo (ex Sendinblue): newsletter o campagne
• Mailgun, Amazon SES, SendGrid: email automatizzate o attivate da app
• Qualsiasi CRM, strumento per cold email o servizio SMTP (anche se attivato da MailReach)

Passaggio 2: Accedi alle impostazioni DNS del tuo dominio

Ora che sai quali provider stai usando, è ora di aggiornare i record DNS del tuo dominio.

Per iniziare:

1. Accedi al tuo registrar di dominio o host DNS. È l'azienda dove hai acquistato o gestisci il tuo dominio, come:

• GoDaddy
• Namecheap
• Google Domains
• Cloudflare
• Bluehost
• OVH
• Hostinger

2. Trova le impostazioni DNS.

Il nome del menu varia, ma cerca qualcosa come:

• “Impostazioni DNS”
• “Gestisci DNS”
• “Editor di zona DNS”
• “DNS avanzate”

3. Scegli il dominio che vuoi modificare. Se hai più domini, assicurati di lavorare su quello giusto, quello da cui vengono effettivamente inviate le tue email.

Attenzione: 💡 Non devi capire tutto in questa sezione, solo come aggiungere un record TXT. È tutto ciò di cui hanno bisogno SPF, DKIM e DMARC.

Suggerimento: Se non sei sicuro di dove trovarlo, cerca semplicemente:

Come accedere alle impostazioni DNS su [nome del tuo registrar]

La maggior parte dei registrar ha semplici documenti di aiuto o dashboard con link diretti ai DNS.

Passo 3: Configura l'SPF

Inizia accedendo al tuo registrar di dominio o all'account di hosting DNS, ovunque tu gestisca i tuoi record DNS (come GoDaddy, Cloudflare o Namecheap). Cerca una sezione chiamata “Impostazioni DNS” o “Editor di Zona.”

Se il tuo dominio ha già un record SPF, lo vedrai come un record TXT che inizia con v=spf1. Se non ce l'ha, ne creerai uno nuovo.

Mettiamo che tu usi Google Workspace e SendGrid. Dovresti aggiungere un singolo record SPF così:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

È consentito un solo record SPF per dominio. Se usi più di uno strumento email, combina tutte le voci "include:" in un'unica riga, non creare record separati.

Dopo aver salvato le modifiche, potrebbero volerci da pochi minuti a qualche ora prima che vadano online. Per sicurezza, concedi fino a 48 ore per la propagazione completa del DNS.

Una volta fatto, usa l'SPF Checker di MailReach per confermare che sia configurato correttamente. Segnalerà eventuali problemi come errori di sintassi o troppi lookup, così potrai risolverli prima che influiscano sulla deliverability.

Passo 4: Aggiungi il DKIM.

Per configurarlo:

• Genera la tua coppia di chiavi DKIM dal pannello di amministrazione della tua piattaforma email (es. Google Workspace, Zoho, Outlook). Cerca una sezione chiamata “Autenticazione Email” o “Impostazioni DKIM.” La chiave privata rimane con il tuo provider e firma ogni email in uscita.
• Copia la chiave pubblica e il selettore forniti dalla tua piattaforma. Questi vengono usati per creare il record DNS.
• Aggiungi un record TXT alle impostazioni DNS del tuo dominio.

Esempio di formato:

Name: default._domainkey.yourdomain.com

Value: v=DKIM1; k=rsa; p=yourPublicKeyHere

• Incollalo esattamente come fornito. Anche piccoli errori di formattazione come interruzioni di riga o caratteri mancanti possono impedire al DKIM di funzionare.
• Salva e aspetta che le modifiche DNS si propaghino. Possono volerci da pochi minuti a 48 ore.

Per confermare che tutto funzioni, esegui un test usando il DKIM Checker gratuito di MailReach. Questo verificherà se il tuo dominio sta firmando correttamente le email in uscita.

Puoi avere più record DKIM?

Sì. Se invii email da più provider (ad esempio, Gmail per la comunicazione interna e SendGrid per le campagne in uscita), dovrai creare un record DKIM separato per ogni provider.

Ogni servizio email genera il proprio selettore e la propria chiave pubblica, che devono essere aggiunti al DNS del tuo dominio. Questi selettori aiutano i provider di mailbox a sapere quale chiave usare quando verificano la firma di un messaggio.
Questa è una distinzione importante rispetto all'SPF:

• SPF: Un record per dominio (con tutti i provider elencati in un unico record)
• DKIM: Un record per provider di invio (ognuno con un selettore e una chiave unici)

Passo 5: Implementa DMARC

• Inizia con una policy “monitor-only” così puoi testare senza influenzare la deliverability:

            → p=none ti permette di ricevere report senza bloccare nessuna email.

• Accedi al tuo provider DNS e aggiungi un nuovo record TXT.
  Esempio di formato:
  → Name: _dmarc.yourdomain.com
  → Value: v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
  
  
• Usa un indirizzo email valido nel campo rua per ricevere i report DMARC. Questa casella di posta dovrebbe essere in grado di gestire allegati XML di grandi dimensioni.
  
  
• Salva e attendi la propagazione DNS. La maggior parte delle modifiche ha effetto in meno di 24 ore, ma alcuni provider potrebbero impiegare fino a 48.
  
  
• Controlla i report DMARC in arrivo dopo 24-48 ore. Ti mostreranno se i tuoi SPF e DKIM sono validi, quali strumenti stanno inviando dal tuo dominio e se c'è qualcosa di sospetto.

Una volta che sei sicuro che SPF e DKIM passano costantemente, puoi cambiare gradualmente la tua policy in: 

→ quarantine (invia i fallimenti allo spam), oppure

→ reject (blocca completamente i fallimenti).

Errori comuni di configurazione da evitare

Anche un record scritto perfettamente può fallire se è configurato male. SPF, DKIM e DMARC si basano tutti su voci DNS precise, allineamento del dominio coerente e comportamento di invio corretto. Un singolo errore in uno qualsiasi di essi può silenziosamente affossare la tua deliverability senza preavviso.

Analizziamo i principali errori di configurazione per protocollo e come individuarli in anticipo.

Errori comuni nella configurazione dell'autenticazione email SPF

1. Troppe ricerche DNS
   SPF permette solo 10 ricerche DNS per record. Ogni include, a o mx conta per questo limite. Supera il limite e il tuo record verrà completamente ignorato.
   
   
2. Record SPF multipli
   Puoi avere un solo record SPF per dominio. Se ne pubblichi più di uno, entrambi falliranno. Unisci tutte le voci in un unico record, strutturato correttamente.
   
   
3. Piattaforma di invio mancante
   Se la tua piattaforma email (es. CRM, strumento di cold outreach) non è esplicitamente elencata nel record SPF, quelle email potrebbero fallire silenziosamente. Aggiungi l'include corretto:  per ogni strumento, controlla la loro documentazione per i dettagli.
   
   
4. Passare a -all troppo presto
   Un hard fail (-all) dice ai provider di posta di rifiutare tutti i mittenti non autorizzati. Sembra sicuro, ma se non hai ancora validato tutto, potresti bloccare email legittime.. Usa ~all (soft fail) durante i test per evitare problemi.

Errori comuni nella configurazione dell'autenticazione email DKIM

1. Nome del record TXT errato
   Il formato del selettore DKIM deve essere esatto:
   default._domainkey.yourdomain.com
   Anche un singolo errore di battitura, un punto mancante o un prefisso errato lo romperà.
   
   
2. Formattazione della chiave pubblica errata
   Alcuni provider consegnano la chiave pubblica in blocchi. Se sposti spazi o interruzioni di riga durante la copia, i provider di posta non saranno in grado di analizzarla.
   
   
3. Dimenticare di abilitare la firma
   Anche con il record DNS corretto, le tue email non saranno firmate a meno che DKIM non sia attivamente abilitato all'interno della tua piattaforma email. Questo è spesso un interruttore nascosto nelle impostazioni di amministrazione.
   
   
4. Riutilizzo dei selettori
   Se due strumenti (come SendGrid e HubSpot) usano lo stesso nome di selettore (es. default), i loro record possono sovrascriversi a vicenda. Questo causa fallimenti silenziosi, specialmente quando si usano più piattaforme di invio. 

Usa selettori unici per ogni strumento e segui le istruzioni specifiche del provider.

Errori comuni nella configurazione dell'autenticazione email DMARC

1. SPF e DKIM non sono allineati
   DMARC passa solo se SPF o DKIM hanno successo E il dominio di invio corrisponde a quello nel tuo indirizzo Da:. Se la tua piattaforma usa il suo dominio (come @mail.sendgrid.com), anche un SPF/DKIM valido non conterà.
   
   
2. Iniziare con una policy rigida
   Lanciare con p=reject prima che i tuoi record siano stabili è rischioso. Potresti bloccare email legittime senza accorgertene. Inizia con p=none per monitorare in sicurezza. Passa a quarantine o reject solo quando sei sicuro che tutto sia allineato.
   
   
3. Ignorare i report aggregati (rua)
   Molti team configurano i report DMARC ma non li guardano mai. Questa è un'occasione persa per individuare spoofing, errori di allineamento o configurazioni errate del mittente. Configura un analizzatore di report DMARC e controlla i report settimanalmente, specialmente dopo aver cambiato mittenti o strumenti email.
   
   
4. Errori di sintassi nel record TXT
   I tag DMARC sono sensibili. Un punto e virgola, due punti o un segno di uguale fuori posto — come aspf: r invece di aspf=r — può invalidare l'intera policy.

Come fare il debug della tua configurazione di autenticazione email

Se le tue email finiscono nello spam, non vengono inviate o mostrano errori SPF/DKIM/DMARC, ecco come fare il debug della configurazione con sicurezza:

1. Invia un'email di prova dal tuo strumento live
   Invia un messaggio a una casella di posta Gmail. Aprilo, clicca sul menu a tre puntini e scegli “Mostra originale.” 

Vedrai un report come: spf=pass, dkim=fail, dmarc=fail  

Questo ti aiuta a individuare quale protocollo sta fallendo.

2. Esegui controlli diagnostici usando dati reali
   Usa gli strumenti di autenticazione email per convalidare la tua configurazione dal punto di vista della casella di posta:
   
   • Usa l'SPF Checker di MailReach per confermare include, sintassi e limiti di lookup.
   • Usa il DKIM Checker di MailReach per vedere se i messaggi in uscita sono firmati e corrispondono.
   • Usa gli strumenti di monitoraggio DMARC per convalidare l'allineamento del dominio e ispezionare i pattern di errore.
     
     
3. Controlla l'allineamento del tuo dominio
   Assicurati che il dominio nel tuo Return-Path, From: e nella firma DKIM corrispondano tutti. Se non lo fanno, anche i record validi falliranno DMARC.
   
   
4. Monitora continuamente
   I test una tantum non bastano. Un piccolo cambiamento DNS o un nuovo strumento possono silenziosamente compromettere l'autenticazione. MailReach segnala tempestivamente deviazioni, spoofing e fallimenti silenziosi per aiutarti a prevenire problemi di deliverability.

Gestisci più caselle di posta? L'email warmup di MailReach simula l'attività reale della casella di posta per proteggere la tua reputazione di mittente. 

Come MailReach semplifica l'autenticazione email (senza mal di testa)

Non devi essere un esperto DNS per evitare lo spam. MailReach ti aiuta a convalidare la tua configurazione, a monitorare la tua reputazione di mittente e a individuare tempestivamente i fallimenti silenziosi, su tutte le tue caselle di posta di invio.

Ecco come ti aiuta in ogni fase:

• Visibilità SPF & DKIM: La dashboard di warmup di MailReach rileva i fallimenti SPF o DKIM in condizioni di invio reali. Ti aiuta a evitare congetture o di dover scavare nei log DNS.
  
  
• Rilevamento errori DMARC: Anche se non è uno strumento di monitoraggio DMARC, MailReach ti segnala quando le tue email non superano i controlli DMARC durante il warmup o i test spam, aiutandoti ad agire prima che la deliverability diminuisca.
  
  
• Warmup che crea fiducia: MailReach invia interazioni realistiche e simili a quelle umane tra le caselle di posta di Gmail e Outlook: risponde, inoltra e archivia le email per aiutare a ricostruire o migliorare la reputazione del tuo dominio. Allo stesso tempo, conferma se le tue configurazioni SPF, DKIM e DMARC funzionano davvero.
  
  
• Spam Test con Diagnostica di Autenticazione: Invia la tua email di campagna tramite lo Spam Test di MailReach per controllare dove finisce—Posta in arrivo, Promozioni o Spam—su oltre 30 provider. Avrai anche visibilità su quali controlli di autenticazione sono stati superati o falliti e perché.
  
  
• API per la Scalabilità: Per i team che gestiscono decine di mittenti, l'API Warmup di MailReach ti permette di automatizzare i controlli di autenticazione, i warmup e gli avvisi dal tuo backend.

Pronto a smettere di tirare a indovinare e a far arrivare le tue email nella posta in arrivo?

Prova MailReach e prendi il controllo della tua deliverability email con l'unico strumento di warmup pensato per chi invia email B2B e B2C nel mondo reale.

Domande Frequenti

E se configuro solo SPF o DKIM?

Supererai comunque il DMARC se uno tra SPF o DKIM è valido e allineato con il tuo dominio mittente. Ma affidarsi a uno solo lascia delle lacune. Se SPF fallisce a causa di un problema di inoltro, DKIM può fungere da soluzione di riserva. Configurare entrambi garantisce un'autenticazione più affidabile e minori rischi per la deliverability.

Quanto tempo ci vuole perché arrivino i report DMARC?

I report aggregati DMARC di solito iniziano ad arrivare entro 24 ore dalla pubblicazione del tuo record. Questi vengono inviati quotidianamente dai principali provider di caselle di posta e includono riepiloghi di quali fonti hanno superato o fallito SPF e DKIM. Otterrai le informazioni più utili dopo qualche giorno di invio costante di email.

Quanto è importante il processo di autenticazione nell'email marketing?

È fondamentale. L'autenticazione email è la base della fiducia tra il tuo dominio e i provider di caselle di posta. Senza di essa, le tue email hanno maggiori probabilità di finire nello spam, di essere bloccate o di essere falsificate da malintenzionati. 

Una corretta configurazione di SPF, DKIM e DMARC è ciò che distingue un mittente affidabile da uno sospetto agli occhi di Gmail, Outlook e altri.

Cosa significa quando un'email non è autenticata?

Un'email non autenticata manca di una verifica adeguata tramite SPF, DKIM o DMARC. I provider di caselle di posta non possono confermare se proviene dal tuo dominio o se è stata manomessa durante la consegna. Un'email del genere ha maggiori probabilità di essere contrassegnata come spam, segnalata come sospetta o completamente rifiutata.