Spiegazione dei metodi di autenticazione delle e-mail: SPF, DKIM, DMARC e oltre (Guida 2026)

L'autenticazione delle e-mail è uno degli aspetti più importanti della deliverability delle e-mail, nonché uno dei più fraintesi.

La maggior parte dei mittenti sa di aver bisogno di SPF, DKIM e DMARC, ma solo pochi comprendono a cosa serva effettivamente ciascuno di essi, come interagiscano tra loro o perché le e-mail possano comunque finire nella cartella dello spam anche quando tutti e tre sono configurati.

Parte della confusione deriva dal considerare l'autenticazione come una soluzione per garantire la recapitabilità, mentre non lo è. L'autenticazione aiuta i provider di posta elettronica a verificare chi ha inviato un messaggio e se è affidabile. Senza di essa, le tue e-mail potrebbero essere respinte o filtrate. Con essa, stai semplicemente soddisfacendo un requisito minimo.

In questa guida scoprirai a cosa serve ciascun metodo di autenticazione, come interagiscono tra loro, come configurarli correttamente e quali sono gli errori più comuni che causano errori di autenticazione anche quando le impostazioni sembrano configurate correttamente. 

Che cos’è l’autenticazione delle e-mail? 

L'autenticazione delle e-mail è un insieme di metodi che consentono ai provider di posta elettronica come Gmail e Outlook di verificare che un'e-mail provenga effettivamente dal dominio dichiarato e che non sia stata falsificata o alterata durante il trasferimento. 

Funziona tramite i record DNS pubblicati dal dominio mittente: 

1. SPF elenca i server autorizzati a inviare
2. Il DKIM aggiunge una firma crittografica che conferma che il messaggio non è stato manomesso
3. DMARC definisce la politica che tiene conto sia dell'indirizzo "Da" visibile sia indica ai destinatari come comportarsi in caso di verifica fallita. 

Nel loro insieme, questi protocolli confermano l'identità del mittente, uno dei criteri che i provider prendono in considerazione prima di decidere se accettare, filtrare o rifiutare la posta in arrivo.

I 3 metodi principali di autenticazione delle e-mail

L'autenticazione delle e-mail si basa su tre protocolli che operano in sinergia per verificare l'identità del mittente di un'e-mail e l'affidabilità del messaggio. Ciascuno di essi ha una funzione specifica, e comprendere come interagiscono tra loro è fondamentale per risolvere i problemi relativi alla consegna e all'autenticazione.

SPF (Sender Policy Framework)

L'SPF (Sender Policy Framework) è un metodo di autenticazione delle e-mail che utilizza un record TXT del DNS per specificare quali server e indirizzi IP sono autorizzati a inviare e-mail per conto del proprio dominio.

Quando viene ricevuta un'e-mail, il provider di posta elettronica verifica il record SPF del dominio mittente e confronta l'indirizzo IP del server mittente con l'elenco dei mittenti autorizzati. Se il server è autorizzato, il controllo SPF ha esito positivo; in caso contrario, ha esito negativo.

Lo scopo dell'SPF è quello di verificare che il server che invia l'e-mail sia autorizzato a inviare messaggi per quel dominio. Non verifica il contenuto del messaggio, la reputazione, il livello di coinvolgimento né se l'e-mail debba arrivare nella posta in arrivo.

DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) è un metodo di autenticazione delle e-mail che aggiunge una firma crittografica alle e-mail in uscita, utilizzando una coppia di chiavi pubblica e privata, in modo che i provider destinatari possano verificare che il messaggio sia stato firmato dal proprio dominio e non sia stato alterato durante il trasferimento.

Quando viene ricevuta un'e-mail, il provider della casella di posta ricerca la chiave pubblica pubblicata nel DNS del tuo dominio sotto uno specifico selettore e la utilizza per verificare la firma aggiunta dalla tua piattaforma di invio. Se la firma è valida e il messaggio non è stato modificato, il controllo DKIM ha esito positivo. Se le chiavi non corrispondono o il messaggio è stato alterato, il controllo DKIM ha esito negativo.

Lo scopo del DKIM è quello di confermare che l'e-mail sia stata firmata da un dominio autorizzato nella firma DKIM e che le parti firmate del messaggio non siano state alterate dopo l'invio. Di per sé, non dimostra che il dominio visibile nel campo "Da" corrisponda al dominio autenticato. Tale corrispondenza è gestita dal DMARC.

DMARC (e la questione relativa all'intestazione MAIL FROM rispetto a From:)

DMARC (Domain-based Message Authentication, Reporting and Conformance) è un metodo di autenticazione delle e-mail che utilizza un record DNS per collegare i risultati SPF e DKIM al dominio presente nell'indirizzo "Da:" visibile e per indicare ai provider destinatari come comportarsi in caso di autenticazione fallita.

Quando viene ricevuta un’e-mail, il provider della casella di posta verifica se il dominio che ha superato i controlli SPF o DKIM corrisponde al dominio presente nell’indirizzo “Da:” effettivamente visualizzato dal destinatario. Se corrispondono, il controllo DMARC ha esito positivo. In caso contrario, il controllo DMARC ha esito negativo e il provider applica la politica che hai pubblicato: p=none (solo monitoraggio), p=quarantine (invia alla cartella spam) o p=reject (blocca il messaggio).

Lo scopo di DMARC è quello di verificare che il dominio autenticato corrisponda a quello visualizzato dal destinatario, impedendo così a terzi di falsificare il tuo dominio, e di consentirti di gestire le modalità di gestione degli errori.

Verifica che i tuoi record siano effettivamente validi, non solo che esistano.

Una ricerca DNS conferma solo che un record è pubblicato. Non indica se SPF e DKIM superano i controlli quando Gmail e Outlook ricevono la tua email. Gli strumenti gratuiti SPF Checker e DKIM Checker di MailReach effettuano un test end-to-end e segnalano in un unico report eventuali problemi relativi a SPF, DKIM, DMARC, blacklist e DNS inverso.

BIMI (e perché è facoltativo nel cold outreach B2B)

BIMI (Brand Indicators for Message Identification) è uno standard per le e-mail che mostra il logo verificato del tuo marchio accanto ai tuoi messaggi nelle caselle di posta che lo supportano, ma solo una volta che il tuo dominio è in modalità di applicazione DMARC.

Quando viene ricevuta un'e-mail, i provider di supporto verificano che il tuo dominio applichi il protocollo DMARC (p=quarantine o p=reject) e cercano nel tuo DNS un record BIMI che rimandi al tuo logo. Se tali condizioni sono soddisfatte, il tuo logo viene visualizzato accanto al messaggio. La maggior parte dei principali provider richiede inoltre un certificato Verified Mark Certificate (VMC) che attesti la tua titolarità del logo prima di procedere alla sua visualizzazione.

Lo scopo del BIMI è il riconoscimento visivo del marchio nella posta in arrivo, non la deliverability. Non influisce sulla reputazione del mittente, sui risultati dell’autenticazione né sul fatto che l’e-mail raggiunga o meno la posta in arrivo. Per le campagne di outreach a freddo B2B è facoltativo e ha bassa priorità. Si tratta di un elemento di branding, non di una leva per la deliverability; pertanto, se sei un mittente outbound che deve decidere su cosa concentrare il proprio tempo, il BIMI va collocato quasi in fondo alla lista.

Come funzionano insieme SPF, DKIM e DMARC

SPF, DKIM e DMARC sono progettati per funzionare in modo concatenato, in modo che ciascuno risolva un aspetto diverso del problema dell'autenticazione delle e-mail.

• SPF verifica che il server che invia l'e-mail sia autorizzato a inviare messaggi per conto del dominio. 
• Il DKIM verifica che il messaggio non sia stato modificato dopo l'invio. 
• DMARC si sovrappone a entrambi e verifica se il dominio che ha superato i controlli SPF o DKIM corrisponda al dominio che il destinatario vede nell'indirizzo "Da:".

Non è necessario che un'e-mail superi sia il controllo SPF che quello DKIM affinché il DMARC risulti positivo. È sufficiente che uno dei due controlli sia superato e che il dominio risulti allineato con il campo "Da:" visibile. Se nessuno dei due è allineato, il DMARC risulta negativo, anche se il controllo SPF o DKIM è stato superato singolarmente.

Ecco perché i problemi di autenticazione possono creare confusione. Un messaggio può superare i controlli SPF e DKIM, ma comunque non superare il controllo DMARC perché i domini autenticati non corrispondono all’indirizzo “Da:”. Al contrario, un messaggio può non superare il controllo SPF ma comunque superare il controllo DMARC se il controllo DKIM viene superato e i domini corrispondono correttamente.

Insieme, questi tre standard aiutano i provider di caselle di posta elettronica a verificare chi ha inviato l'e-mail, se è stata modificata durante il trasferimento e se l'identità del mittente è attendibile. Se questi tre elementi non funzionano in sinergia, i provider nutrono meno fiducia nel messaggio e sono più propensi a filtrarlo, classificarlo come spam o rifiutarlo.

Requisiti dei provider: Google, Yahoo e Microsoft

Da febbraio 2024, Google e Yahoo hanno reso l'autenticazione un requisito fondamentale per i mittenti di messaggi in massa. I mittenti di messaggi in massa devono disporre di SPF e DKIM, una politica DMARC con impostazione almeno p=none, autenticazione allineata, bassi tassi di reclami per spam e una procedura di cancellazione dall'iscrizione funzionante per i messaggi di marketing o quelli inviati agli iscritti.

Microsoft ha inoltre introdotto dei requisiti per i mittenti ad alto volume per i domini che inviano più di 5.000 e-mail al giorno a indirizzi Outlook.com destinati ai consumatori, tra cui outlook.com, hotmail.com, live.com e msn.com. Tali requisiti prevedono la conformità agli standard SPF, DKIM e DMARC.

La conclusione pratica è semplice: anche se tecnicamente non superi nessuna delle soglie previste per i mittenti di massa, l’autenticazione è ormai un requisito imprescindibile. È necessario che SPF, DKIM e DMARC siano configurati correttamente prima di avviare qualsiasi attività di invio su larga scala.

Come configurare e verificare l'autenticazione e-mail (passo dopo passo)

L'autenticazione delle e-mail funziona al meglio quando SPF, DKIM e DMARC sono configurati insieme. Poiché ogni protocollo si basa sugli altri, è opportuno configurarli in un ordine specifico.

Fase 1: Identifica le fonti da cui provengono le tue e-mail

Inizia elencando tutte le piattaforme che inviano e-mail utilizzando il tuo dominio. In genere queste includono:

• Il tuo provider di posta elettronica (Google Workspace, Microsoft 365, ecc.)
• Piattaforme di marketing
• Sistemi CRM
• Strumenti di acquisizione di nuovi clienti a freddo
• Helpdesk e piattaforme di assistenza
• Sistemi di fatturazione e di emissione delle fatture
• Qualsiasi altra applicazione che invii e-mail per conto tuo

Disporre di un inventario completo rende più semplice configurare correttamente l'autenticazione ed evitare di tralasciare mittenti legittimi.

Fase 2: Configurazione dell'SPF

Pubblica nel tuo DNS un record SPF che autorizzi i server autorizzati a inviare e-mail per conto del tuo dominio.

Quando crei il tuo record SPF:

• Pubblica un unico record TXT SPF per il dominio
• Aggiungi tutte le piattaforme di invio legittime
• Utilizzare i meccanismi di inclusione raccomandati dal fornitore, ove disponibili
• Controllare il registro ogni volta che viene aggiunto un nuovo strumento di invio
• Assicurarsi che i dati siano accurati e aggiornati

Il registro dovrebbe includere tutte le fonti di invio legittime, pur rimanendo accurato e aggiornato man mano che vengono aggiunti nuovi strumenti.

Fase 3: Configurazione di DKIM

Abilita DKIM per ogni piattaforma che invia e-mail per tuo conto.

Il DKIM consente ai provider destinatari di verificare che un messaggio non sia stato alterato dopo l'invio.

Per ciascuna piattaforma di posta elettronica:

• Generare una coppia di chiavi DKIM all’interno della piattaforma
• Pubblica la chiave pubblica nel DNS
• Utilizzare il selettore fornito dal produttore
• Abilita la firma DKIM per la posta in uscita
• Verificare che le firme DKIM risultino valide sui messaggi consegnati

La maggior parte dei provider genera un record DKIM che va pubblicato nel DNS. Una volta configurato, i messaggi in uscita vengono firmati automaticamente, in modo che i provider destinatari possano verificarne l'integrità.

Fase 4: Configurazione di DMARC

Pubblica un record DMARC per definire in che modo i provider destinatari devono gestire i messaggi che non superano l'autenticazione.

Inizia con:

• Un record DMARC pubblicato su _dmarc.yourdomain.com
• Una politica di monitoraggio (p=nessuna)
• Un indirizzo di riferimento aggregato (rua=)
• Analisi periodiche dei rapporti DMARC

Prima di passare alle misure coercitive:

• Verificare che tutti i mittenti legittimi siano autenticati
• Risolvere i problemi di allineamento
• Verifica i risultati SPF e DKIM su tutte le piattaforme di invio

La maggior parte delle organizzazioni inizia con una politica di monitoraggio (p=nessuna) per verificare i risultati dell'autenticazione prima di passare a politiche di applicazione più rigorose, come p=quarantena o p=rifiuto.

Fase 5: Verifica dei risultati dell'autenticazione

Una volta completata la configurazione, verifica che SPF, DKIM e DMARC risultino effettivamente validi sui messaggi consegnati.

Verificare che:

• SPF inoltra i messaggi recapitati
• Il DKIM viene trasmesso sui messaggi consegnati
• DMARC supera il controllo e si allinea correttamente
• L'autenticazione continua a funzionare correttamente anche dopo l'aggiunta di nuovi strumenti o provider

Un record DNS da solo conferma semplicemente l'esistenza della configurazione. La verifica conferma che i provider di caselle di posta siano in grado di autenticare correttamente la tua e-mail in condizioni reali di ricezione.

Verificare nel DNS non è la stessa cosa che verificare nella posta in arrivo.

Questo è il passaggio che la maggior parte dei mittenti salta. Il test gratuito di deliverability di MailReach invia la tua email a caselle di posta di prova negli ambienti Google, Microsoft e Yahoo, per poi mostrarti dove viene smistata: nella posta in arrivo, nella cartella spam o in cartelle filtrate specifiche del provider, come "Promozioni" di Gmail. Riceverai inoltre i risultati relativi a SPF, DKIM e DMARC del messaggio ricevuto, oltre a un elenco ordinato per priorità delle cose da correggere per prime.

Errori comuni nell'autenticazione delle e-mail (e come risolverli)

La maggior parte degli errori di autenticazione delle e-mail è causata da piccoli errori di configurazione che passano inosservati finché le e-mail non iniziano a finire nella cartella dello spam, a non superare i controlli di autenticazione o a essere respinte del tutto.

Gli errori riportati di seguito sono quelli che i mittenti riscontrano più spesso. Capire come si verificano rende molto più facile individuarli, risolverli e prevenirli prima che compromettano la deliverability.

Il record SPF supera il limite di 10 ricerche

SPF consente un massimo di 10 ricerche DNS. Ogni piattaforma di posta elettronica che autorizzi tramite un'istruzione "include:" consuma una parte di tale limite. Man mano che nel tempo vengono aggiunti altri strumenti, è facile superare il limite senza rendersene conto.

Quando il limite viene superato, i provider di caselle di posta non sono più in grado di valutare completamente il record SPF, causando il fallimento dei controlli SPF anche se il record è ancora presente nel DNS.

Come risolverlo:

• Effettua una verifica di tutte le piattaforme che attualmente inviano e-mail per conto del tuo dominio.
• Rimuovere le istruzioni `include:` obsolete o inutilizzate.
• Ove possibile, consolidare i servizi di invio che si sovrappongono.
• Monitorare il numero di ricerche ogni volta che viene aggiunto un nuovo strumento di invio.
• Verifica l'SPF dopo ogni modifica per assicurarti che sia ancora valido.

Record DKIM mancanti per le nuove piattaforme di invio

Il DKIM viene configurato separatamente per ciascuna piattaforma di invio. Un record DKIM valido per Google Workspace non garantisce automaticamente l'autenticazione delle e-mail inviate tramite il proprio CRM, la piattaforma di outreach, il sistema di fatturazione o l'helpdesk.

Ciò accade spesso quando si collega un nuovo strumento che inizia subito a inviare messaggi, ma la cui configurazione DKIM non viene mai completata. Alcune e-mail superano l'autenticazione mentre altre no, rendendo difficile individuare il problema.

Come risolverlo:

• Crea un record DKIM per ogni piattaforma di invio che utilizza il tuo dominio.
• Pubblica il selettore esatto e la chiave pubblica forniti da ciascuna piattaforma.
• Verifica il DKIM dopo la configurazione, invece di dare per scontato che il record funzioni.
• Tenere un elenco di tutti i sistemi di invio e dei relativi selettori DKIM.
• Verificare nuovamente il DKIM ogni volta che un provider effettua una rotazione o aggiorna le proprie chiavi.

Pubblicazione di un record DMARC senza verificare l'allineamento

Il DMARC risulta conforme solo quando SPF o DKIM corrispondono al dominio presente nell'indirizzo "Da:" visibile.

Un record può essere presente nel DNS e comunque non superare il controllo DMARC se il dominio autenticato non corrisponde a quello visualizzato dai destinatari.

Come risolverlo:

• Verificare che l'SPF corrisponda al dominio visibile nel campo "Da:".
• Verifica che la firma DKIM utilizzi lo stesso dominio indicato nell'intestazione "Da:".
• Esaminare i rapporti DMARC per individuare eventuali errori di allineamento.
• Esegui dei test su e-mail reali per verificare che il DMARC superi il controllo al momento della consegna.
• Risolvi i problemi di allineamento prima di andare oltre p=none.

Passaggio a p=Rifiuto troppo precoce

L'applicazione del protocollo DMARC è concepita per avvenire in modo graduale. Passare direttamente al valore p=reject prima di aver identificato tutte le fonti di invio legittime può comportare il blocco di e-mail aziendali autentiche.

Il problema si verifica solitamente quando strumenti trascurati, sistemi di terze parti o applicazioni interne continuano a inviare messaggi di posta elettronica che non sono stati autenticati correttamente.

Come risolverlo:

• Inizia con p=none e raccogli i rapporti DMARC.
• Individua tutti i sistemi che inviano e-mail dal tuo dominio.
• Risolvere innanzitutto gli errori di autenticazione e di allineamento.
• Se desideri una transizione più sicura, valuta l'opzione p=quarantena o un'implementazione graduale prima di optare per p=rifiuto.
• Applicare il rifiuto solo dopo che un monitoraggio costante abbia confermato che tutta la posta legittima viene smistata correttamente.

Affidarsi esclusivamente ai controlli DNS

Una ricerca DNS conferma solo l'esistenza di un record. Non dimostra che i provider di caselle di posta elettronica autenticino correttamente le tue e-mail al momento della ricezione.

Questo crea un falso senso di sicurezza. Nel DNS tutto sembra a posto, mentre i messaggi continuano a finire nella cartella dello spam o a non superare i controlli di autenticazione durante la consegna.

Come risolverlo:

• Invia email di prova alle caselle di posta di Gmail e Outlook.
• Verifica i risultati relativi a SPF, DKIM e DMARC nel messaggio ricevuto.
• Eseguire un test dopo ogni modifica al DNS o alla piattaforma di invio.
• Controlla regolarmente i risultati dell'autenticazione, non solo durante la configurazione.
• Utilizza i test di posizionamento nella posta in arrivo e di autenticazione per verificare le prestazioni in condizioni reali.

Utilizzo di un sottodominio per il cold outreach

Molti mittenti utilizzano un sottodominio per le campagne di cold outreach, ritenendo che ciò isoli completamente il rischio. Sebbene la separazione sia utile dal punto di vista operativo, i provider di posta elettronica possono comunque associare i sottodomini al dominio principale.

Se le attività di sensibilizzazione generano reclami o un scarso coinvolgimento, i segnali relativi alla reputazione potrebbero influire sulle altre comunicazioni associate al marchio.

Come risolverlo:

• Utilizza un dominio secondario dedicato per le attività di outreach a freddo, anziché il dominio principale della tua azienda. Mantienilo semplice: evita trattini, numeri e TLD insoliti, e verifica la sua autenticità in modo indipendente prima di inviarlo.
• Autenticare il dominio secondario in modo indipendente.
• Preriscaldare il dominio di outreach prima di aumentare il volume.
• Mantenere separati il traffico di marketing, quello transazionale e quello di sensibilizzazione.
• Proteggi il tuo dominio aziendale principale da rischi inutili per la reputazione.

Inseguire le liste nere invece di migliorare la reputazione

Un inserimento in una lista nera può spesso sembrare preoccupante, ma la maggior parte delle liste nere pubbliche ha un’influenza minima sul posizionamento dei messaggi nella posta in arrivo di Gmail e Outlook. I moderni provider di posta elettronica si basano principalmente sui propri sistemi di reputazione, sui segnali di coinvolgimento e sui dati relativi ai reclami.

Molti mittenti passano giorni interi a indagare sulle voci presenti nelle blacklist, mentre il vero problema è la scarsa reputazione del mittente.

Come risolverlo:

• Verifica se la lista nera indicata venga effettivamente utilizzata dai principali provider di posta elettronica.
• Concentrati innanzitutto sui tassi di reclamo, sul coinvolgimento e sulla qualità della lista.
• Migliorare le procedure di autenticazione e di invio.
• Monitorare il posizionamento nella posta in arrivo piuttosto che limitarsi a verificare lo stato nella lista nera.
• Considerate i controlli della blacklist come un segnale diagnostico, non come il principale indicatore di deliverability.

Autenticazione delle e-mail vs. posizionamento nella posta in arrivo

I provider di posta elettronica considerano sempre più spesso l'autenticazione come un requisito di base piuttosto che come un indicatore di affidabilità. Man mano che i sistemi di filtraggio diventano più sofisticati, il divario tra la posta autenticata e quella che arriva nella casella di posta in arrivo continuerà ad aumentare. I provider prestano più attenzione che mai alla reputazione, al coinvolgimento, alla coerenza e al comportamento di invio.

Ecco perché i mittenti di maggior successo considerano l’autenticazione delle e-mail come parte integrante di un processo continuo volto a garantire la deliverability. Ogni nuova piattaforma di invio, ogni cambio di dominio, ogni strumento di marketing o ogni campagna di sensibilizzazione rappresenta un’ulteriore occasione in cui l’autenticazione può perdere il proprio allineamento senza che nessuno se ne accorga.

Il passo successivo consiste nel verificare costantemente che funzionino ancora in condizioni reali di ricezione e nell’individuare eventuali problemi prima che lo facciano i gestori delle caselle di posta.

Ogni nuovo strumento, dominio o campagna rappresenta un’occasione in cui SPF, DKIM o DMARC potrebbero perdere silenziosamente la loro efficacia. Esegui un test gratuito di deliverability con MailReach per verificare dove arrivano oggi le tue e-mail e abbinalo a email warmup per costruire quella reputazione del mittente che l'autenticazione da sola non può garantire.

Domande Frequenti

Quali sono i tre principali metodi di autenticazione delle e-mail? 

SPF, DKIM e DMARC. SPF elenca i server autorizzati a inviare messaggi per conto del tuo dominio, DKIM aggiunge una firma che attesta che il messaggio non è stato alterato, mentre DMARC collega entrambi al dominio visibile nel campo "Da:" e indica ai destinatari come comportarsi in caso di errore.

Ho bisogno di DMARC se invio email solo da Google Workspace? 

Sì. È consigliato per tutti i mittenti ed è obbligatorio in caso di invii in massa. Google Workspace è la piattaforma da cui si effettuano gli invii; la pubblicazione di una politica DMARC è una tua responsabilità, non è un’operazione che Workspace gestisce automaticamente. 

Qual è la differenza tra SPF, DKIM e DMARC? 

SPF autorizza i server di invio. DKIM firma il messaggio in modo che i destinatari possano verificare che non sia stato alterato. DMARC definisce la politica e richiede che vi sia corrispondenza tra ciò che è stato trasmesso e il dominio "Da:" visualizzato dal destinatario.

Per quanto tempo dovrei rimanere su p=none prima di passare a p=reject? 

Mantenete il valore p=none finché i rapporti DMARC non indicheranno che tutti i sistemi legittimi che inviano messaggi dal vostro dominio sono stati identificati. Agire troppo presto comporta il rischio di bloccare le e-mail autentiche dell'azienda.

L'autenticazione delle e-mail migliora la deliverability? 

È un requisito indispensabile per competere e senza di essa non è possibile arrivare nella posta in arrivo, ma di per sé non migliora il posizionamento nella posta in arrivo. A farlo sono la reputazione e i contenuti. L’autenticazione apre la strada; la reputazione e i contenuti conquistano la posta in arrivo.