Metodi di autenticazione email spiegati: SPF, DKIM, DMARC e non solo (Guida 2026)

L'autenticazione email è una delle parti più importanti della deliverability delle email, ed è anche una delle più fraintese.

La maggior parte dei mittenti sa di aver bisogno di SPF, DKIM e DMARC, ma pochi capiscono cosa fa realmente ciascuno di essi, come funzionano insieme o perché un'email può comunque finire nello spam anche se sono tutti e tre configurati.

Parte della confusione deriva dal considerare l'autenticazione come una soluzione per la deliverability, cosa che non è. L'autenticazione aiuta i provider di posta a verificare chi ha inviato un messaggio e se è affidabile. Senza di essa, le tue email potrebbero essere rifiutate o filtrate. Con essa, rispetti semplicemente un requisito fondamentale.

In questa guida scoprirai cosa fa ogni metodo di autenticazione, come funzionano insieme, come configurarli correttamente e gli errori comuni che causano fallimenti nell'autenticazione anche quando i record sembrano configurati bene. 

Cos'è l'autenticazione email? 

L'autenticazione email è un insieme di metodi che permettono ai provider di ricezione come Gmail e Outlook di verificare che un'email provenga davvero dal dominio dichiarato e non sia stata falsificata o modificata durante il tragitto. 

Funziona tramite i record DNS pubblicati dal dominio mittente: 

1. SPF elenca i server autorizzati all'invio
2. DKIM aggiunge una firma crittografica che conferma che il messaggio non è stato manomesso
3. DMARC imposta la policy che collega entrambi all'indirizzo From visibile e dice ai riceventi cosa fare quando un controllo fallisce. 

Insieme, questi protocolli confermano l'identità del mittente, uno dei segnali valutati dai provider prima di decidere se accettare, filtrare o rifiutare la posta in arrivo.

I 3 metodi fondamentali di autenticazione email

L'autenticazione delle email si basa su tre protocolli che lavorano insieme per verificare chi sta inviando un'email e se ci si può fidare di quel messaggio. Ognuno ha uno scopo diverso e capire come si integrano è essenziale per risolvere i problemi di deliverability e autenticazione.

SPF (Sender Policy Framework)

SPF (Sender Policy Framework) è un metodo di autenticazione email che utilizza un record DNS TXT per specificare quali server e indirizzi IP sono autorizzati a inviare email per conto del tuo dominio.

Quando riceve un'email, il provider di posta cerca il record SPF del dominio mittente e confronta l'indirizzo IP del server di invio con l'elenco dei mittenti autorizzati. Se il server è autorizzato, l'SPF viene superato. In caso contrario, fallisce.

Lo scopo dell'SPF è confermare che il server che invia l'email sia autorizzato a farlo per quel dominio. Non verifica il contenuto del messaggio, la reputazione, il coinvolgimento o se l'email debba raggiungere la casella di posta in arrivo.

DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) è un metodo di autenticazione email che aggiunge una firma crittografica alle tue email in uscita, utilizzando una coppia di chiavi pubblica e privata, in modo che i provider riceventi possano confermare che il messaggio sia stato firmato dal tuo dominio e non sia stato alterato durante il trasporto.

Quando riceve un'email, il provider di posta cerca la chiave pubblica pubblicata nel DNS del tuo dominio sotto uno specifico selettore e la usa per verificare la firma aggiunta dalla tua piattaforma di invio. Se la firma è valida e il messaggio non è cambiato, il DKIM viene superato. Se le chiavi non corrispondono o il messaggio è stato modificato, fallisce.

Lo scopo del DKIM è confermare che l'email sia stata firmata da un dominio autorizzato nella firma DKIM e che le parti firmate del messaggio non siano state alterate dopo l'invio. Di per sé, non dimostra che il dominio From visibile corrisponda al dominio autenticato. Tale corrispondenza è gestita dal DMARC.

DMARC (e la questione MAIL FROM vs intestazione From:)

DMARC (Domain-based Message Authentication, Reporting and Conformance) è un metodo di autenticazione email che utilizza un record DNS per collegare i risultati di SPF e DKIM al dominio presente nel tuo indirizzo From: visibile, e per dire ai provider riceventi cosa fare quando l'autenticazione fallisce.

Quando riceve un'email, il provider di posta controlla se il dominio che ha superato l'SPF o il DKIM corrisponde al dominio nell'indirizzo From: che il destinatario vede effettivamente. Se corrispondono, il DMARC viene superato. Se non corrispondono, fallisce e il provider applica la policy che hai pubblicato: p=none (solo monitoraggio), p=quarantine (invia allo spam) o p=reject (blocca il messaggio).

Lo scopo del DMARC è confermare che il dominio autenticato corrisponda a quello visto dal tuo destinatario, impedendo ad altri di falsificare il tuo dominio, e darti il controllo su come gestire i fallimenti.

Verifica che i tuoi record funzionino davvero, non solo che esistano.

Una ricerca DNS conferma solo che un record è pubblicato. Non ti dice se SPF e DKIM funzionano quando Gmail e Outlook ricevono la tua email. L'SPF Checker e ilDKIM Checker gratuiti di MailReach testano l'intero processo end-to-end e segnalano problemi di SPF, DKIM, DMARC, blacklist e reverse DNS in un unico report.

BIMI (e perché è facoltativo per il cold emailing B2B)

BIMI (Brand Indicators for Message Identification) è uno standard email che mostra il logo verificato del tuo brand accanto ai messaggi nelle caselle di posta compatibili, ma solo quando il tuo dominio ha attivato la policy DMARC.

Quando viene ricevuta un'email, i provider compatibili verificano che il tuo dominio stia applicando una policy DMARC (p=quarantine o p=reject) e cercano nel tuo DNS un record BIMI che rimandi al tuo logo. Se queste condizioni sono soddisfatte, il logo viene mostrato accanto al messaggio. La maggior parte dei provider principali richiede anche un certificato VMC (Verified Mark Certificate) che dimostri la proprietà del logo prima di mostrarlo.

Lo scopo di BIMI è il riconoscimento visivo del brand nella casella di posta, non la deliverability. Non influisce sulla reputazione del mittente, sui risultati dell'autenticazione o sulla ricezione dell'email nella inbox. Per il cold outreach B2B è facoltativo e ha una priorità bassa. È uno strumento di branding, non una leva per la deliverability: quindi, se fai campagne di outbound e devi decidere dove concentrare i tuoi sforzi, BIMI si trova in fondo alla lista.

Come funzionano insieme SPF, DKIM e DMARC

SPF, DKIM e DMARC sono progettati per funzionare insieme come una catena, in cui ciascuno risolve una parte diversa del problema dell'autenticazione delle email.

• SPF verifica che il server che invia l'email sia autorizzato a farlo per conto del dominio. 
• Il DKIM verifica che il messaggio non sia stato alterato dopo l'invio. 
• Il DMARC si basa su entrambi e controlla se il dominio che ha superato il controllo SPF o DKIM corrisponde al dominio che il destinatario vede nell'indirizzo Da:.

Un'email non ha bisogno di superare sia l'SPF che il DKIM perché il DMARC vada a buon fine. Ne basta uno solo che sia valido e si allinei con il dominio visibile nel campo Da:. Se nessuno dei due si allinea, il DMARC fallisce, anche se l'SPF o il DKIM sono passati singolarmente.

Ecco perché i problemi di autenticazione possono confondere. Un messaggio può superare l'SPF e il DKIM, ma fallire comunque il DMARC perché i domini autenticati non si allineano con l'indirizzo Da:. Al contrario, un messaggio può fallire l'SPF ma passare comunque il DMARC se il DKIM è valido e si allinea correttamente.

Insieme, questi tre standard aiutano i provider di posta a verificare chi ha inviato l'email, se è stata modificata durante il trasporto e se l'identità del mittente è affidabile. Senza tutti e tre che funzionano in sinergia, i provider si fidano meno del messaggio ed è più probabile che lo filtrino, lo mandino in spam o lo rifiutino.

Requisiti dei provider: Google, Yahoo e Microsoft

Da febbraio 2024, Google e Yahoo hanno reso l'autenticazione un requisito fondamentale per i mittenti di massa. I mittenti di massa necessitano di SPF e DKIM, di una policy DMARC di almeno p=none, di un'autenticazione allineata, di bassi tassi di reclami per spam e di un sistema di disiscrizione funzionante per i messaggi di marketing o in abbonamento.

Anche Microsoft ha introdotto dei requisiti per i mittenti ad alto volume per i domini che inviano più di 5.000 email al giorno agli indirizzi consumer di Outlook.com, inclusi outlook.com, hotmail.com, live.com e msn.com. Questi requisiti includono la conformità a SPF, DKIM e DMARC.

La conclusione pratica è semplice: anche se tecnicamente non superi ogni soglia per i mittenti di massa, l'autenticazione è ormai d'obbligo. Dovresti configurare correttamente SPF, DKIM e DMARC prima di scalare qualsiasi invio importante.

Come configurare e verificare l'autenticazione delle email (Guida passo dopo passo)

L'autenticazione delle email funziona al meglio quando SPF, DKIM e DMARC sono configurati insieme. Poiché ogni protocollo si basa sugli altri, ha senso impostarli in un ordine specifico.

Passaggio 1: Identifica le tue fonti di invio email

Inizia elencando ogni piattaforma che invia email utilizzando il tuo dominio. Di solito questo include:

• Il tuo provider di posta (Google Workspace, Microsoft 365, ecc.)
• Piattaforme di marketing
• Sistemi CRM
• Strumenti di cold outreach
• Helpdesk e piattaforme di supporto
• Sistemi di fatturazione
• Qualsiasi altra applicazione che invia email per tuo conto

Avere un inventario completo rende più semplice configurare l'autenticazione correttamente ed evita di dimenticare mittenti legittimi.

Passaggio 2: Configura l'SPF

Pubblica un record SPF nel tuo DNS che autorizzi i server autorizzati a inviare email per il tuo dominio.

Quando crei il tuo record SPF:

• Pubblica un singolo record TXT SPF per il dominio
• Aggiungi ogni piattaforma di invio legittima
• Usa i meccanismi di inclusione consigliati dal provider, se disponibili
• Controlla il record ogni volta che aggiungi un nuovo strumento di invio
• Mantieni il record corretto e aggiornato

Il record dovrebbe includere ogni fonte di invio legittima, rimanendo accurato e aggiornato man mano che aggiungi nuovi strumenti.

Passaggio 3: Configura DKIM

Abilita DKIM per ogni piattaforma che invia email per tuo conto.

DKIM permette ai provider di posta in arrivo di verificare che un messaggio non sia stato modificato dopo l'invio.

Per ogni piattaforma email:

• Genera una coppia di chiavi DKIM all'interno della piattaforma
• Pubblica la chiave pubblica nel DNS
• Usa il selettore fornito dal vendor
• Abilita la firma DKIM per la posta in uscita
• Verifica che le firme DKIM vengano superate sui messaggi recapitati

La maggior parte dei provider genera un record DKIM da pubblicare nel DNS. Una volta configurato, i messaggi in uscita vengono firmati automaticamente in modo che i provider di posta in arrivo possano verificarne l'integrità.

Passaggio 4: Configura DMARC

Pubblica un record DMARC per definire come i provider dovrebbero gestire i messaggi che non superano l'autenticazione.

Inizia con:

• Un record DMARC pubblicato su _dmarc.tuodominio.com
• Una policy di monitoraggio (p=none)
• Un indirizzo per i report aggregati (rua=)
• Verifiche regolari dei report DMARC

Prima di passare all'enforcement:

• Conferma che tutti i mittenti legittimi siano autenticati
• Risolvi i problemi di alignment
• Valida i risultati di SPF e DKIM su tutte le piattaforme di invio

La maggior parte delle organizzazioni inizia con una policy di monitoraggio (p=none) per controllare i risultati dell'autenticazione prima di passare a policy più rigide come p=quarantine o p=reject.

Passo 5: Verifica i risultati dell'autenticazione

Dopo la configurazione, assicurati che SPF, DKIM e DMARC funzionino correttamente sui messaggi recapitati.

Verifica che:

• SPF valido sui messaggi recapitati
• DKIM valido sui messaggi recapitati
• DMARC valido e allineato correttamente
• L'autenticazione rimane ottimale anche dopo l'aggiunta di nuovi strumenti o provider

Un record DNS da solo conferma solo che la configurazione esiste. La verifica dimostra invece che i provider di posta riescono ad autenticare con successo le tue email in condizioni reali di ricezione.

Verificare nel DNS non è la stessa cosa che verificare nella casella di posta.

Questo è il passaggio che la maggior parte delle persone salta. Il test gratuito sulla deliverability delle email di MailReach invia la tua email a caselle di test su Google, Microsoft e Yahoo, mostrandoti poi dove va a finire: in inbox, nello spam o in cartelle filtrate specifiche come Promozioni di Gmail. Riceverai anche i risultati di SPF, DKIM e DMARC del messaggio ricevuto, insieme a un elenco prioritario di cosa sistemare per primo.

Errori comuni nell'autenticazione delle email (e come risolverli)

La maggior parte dei problemi di autenticazione delle email è causata da piccoli errori di configurazione che passano inosservati finché le email non finiscono nello spam, falliscono i controlli di autenticazione o vengono completamente rifiutate.

Gli errori qui sotto sono quelli che si incontrano più spesso. Capire come avvengono rende molto più semplice individuarli, risolverli e prevenirli prima che danneggino la deliverability.

Il record SPF supera il limite di 10 lookup

L'SPF consente un massimo di 10 lookup DNS. Ogni piattaforma di invio che autorizzi tramite un'istruzione include: consuma parte di quel limite. Man mano che si aggiungono strumenti nel tempo, è facilissimo superare la soglia senza accorgersene.

Quando si supera il limite, i provider di posta non riescono più a valutare completamente il record SPF, facendo fallire i controlli anche se il record esiste ancora nel DNS.

Come risolverlo:

• Fai un audit di ogni piattaforma che invia email per il tuo dominio.
• Rimuovi le istruzioni include: obsolete o non più utilizzate.
• Consolida i servizi di invio sovrapposti dove possibile.
• Monitora il numero di lookup ogni volta che aggiungi un nuovo strumento di invio.
• Testa l'SPF dopo ogni modifica per assicurarti che funzioni ancora.

Record DKIM mancanti per le nuove piattaforme di invio

Il DKIM viene configurato separatamente per ogni piattaforma di invio. Un record DKIM che funziona per Google Workspace non autentica automaticamente le email inviate tramite il tuo CRM, la piattaforma di outreach, il sistema di fatturazione o l'helpdesk.

Questo succede spesso quando si collega un nuovo strumento che inizia subito a inviare, ma la configurazione DKIM non viene mai completata. Alcune email passano l'autenticazione mentre altre falliscono, rendendo il problema difficile da individuare.

Come risolverlo:

• Crea un record DKIM per ogni piattaforma di invio che usa il tuo dominio.
• Pubblica esattamente il selettore e la chiave pubblica forniti da ciascuna piattaforma.
• Verifica il DKIM dopo la configurazione, invece di dare per scontato che il record funzioni.
• Tieni traccia di tutti i sistemi di invio e dei relativi selettori DKIM.
• Ricontrolla il DKIM ogni volta che un provider ruota o aggiorna le sue chiavi.

Pubblicare un record DMARC senza controllare l'allineamento

Il DMARC viene superato solo quando l'SPF o il DKIM si allineano con il dominio nell'indirizzo Da: visibile.

Un record può esistere nel DNS e fallire comunque il DMARC se il dominio autenticato non corrisponde a quello visto dai destinatari.

Come risolverlo:

• Conferma che l'SPF si allinei con il dominio Da: visibile.
• Conferma che il DKIM firmi usando lo stesso dominio mostrato nell'intestazione Da:.
• Controlla i report DMARC per individuare eventuali errori di allineamento.
• Fai dei test con email reali per verificare che il DMARC venga superato alla consegna.
• Risolvi i problemi di allineamento prima di andare oltre p=none.

Passare a p=Reject troppo presto

L'attivazione del DMARC è pensata per essere graduale. Passare direttamente a p=reject prima di aver identificato ogni fonte di invio legittima può bloccare le vere email aziendali.

Il problema di solito si presenta quando strumenti dimenticati, sistemi di terze parti o applicazioni interne inviano ancora email che non sono state autenticate a dovere.

Come risolverlo:

• Inizia con p=none e raccogli i report DMARC.
• Identifica ogni sistema che invia email a nome del tuo dominio.
• Risolvi prima i problemi di autenticazione e allineamento.
• Valuta p=quarantine o un'implementazione graduale prima di passare a p=reject se vuoi una transizione più sicura.
• Imposta il blocco solo dopo che un monitoraggio costante conferma che tutta la posta legittima passa senza problemi.

Affidarsi solo ai controlli DNS

Una ricerca DNS conferma solo che un record esiste. Non dimostra che i provider di posta autentichino con successo le tue email quando le ricevono.

Questo crea una falsa sicurezza. Sembra che sia tutto a posto nel DNS, mentre i messaggi continuano a finire nello spam o a fallire i controlli di autenticazione durante la consegna.

Come risolverlo:

• Invia email di prova alle caselle di posta Gmail e Outlook.
• Verifica i risultati di SPF, DKIM e DMARC nel messaggio ricevuto.
• Fai dei test dopo ogni modifica al DNS o alla piattaforma di invio.
• Controlla regolarmente i risultati dell'autenticazione, non solo durante la configurazione.
• Usa i test di posizionamento in inbox e di autenticazione per verificare le performance nel mondo reale.

Usare un sottodominio per il cold outreach

Molti mittenti usano un sottodominio per il cold outreach dando per scontato che isoli completamente il rischio. Anche se la separazione aiuta a livello operativo, i provider di posta possono comunque associare i sottodomini al dominio principale.

Se l'outreach genera lamentele o scarso coinvolgimento, i segnali di reputazione potrebbero influenzare altra posta associata al brand.

Come risolverlo:

• Usa un dominio secondario separato per il cold outreach invece del dominio principale della tua azienda. Tienilo pulito: evita trattini, numeri ed estensioni esotiche, e autenticalo in modo indipendente prima di iniziare a inviare.
• Autentica il dominio secondario in modo indipendente.
• Fai il warmup del dominio di outreach prima di aumentare i volumi.
• Tieni separati il traffico di marketing, quello transazionale e quello di outreach.
• Proteggi il dominio principale della tua azienda da rischi di reputazione inutili.

Inseguire le blacklist invece di sistemare la reputazione

Essere inseriti in una blacklist può sembrare allarmante, ma la maggior parte delle liste nere pubbliche ha scarso impatto sulla ricezione in arrivo su Gmail e Outlook. I provider di caselle di posta moderni si affidano principalmente ai propri sistemi di reputazione, ai segnali di coinvolgimento e ai dati sulle segnalazioni.

Molti mittenti passano giorni a indagare sulle voci nelle blacklist quando il vero problema è una scarsa reputazione del mittente.

Come risolverlo:

• Controlla se la blacklist in questione viene effettivamente utilizzata dai principali provider di posta.
• Concentrati prima sui tassi di reclamo, sul coinvolgimento e sulla qualità della lista.
• Migliora l'autenticazione e le pratiche di invio.
• Monitora il posizionamento nella posta in arrivo anziché solo lo stato nelle blacklist.
• Considera i controlli delle blacklist come un segnale diagnostico, non come la principale metrica di deliverability.

Autenticazione email vs Posizionamento in inbox

I provider di posta considerano sempre più l'autenticazione un requisito di base piuttosto che un segnale di fiducia. Man mano che i filtri diventano più sofisticati, il divario tra email autenticate ed email che finiscono in inbox continuerà a crescere. I provider prestano più attenzione che mai a reputazione, coinvolgimento, coerenza e comportamento di invio.

Ecco perché i mittenti di maggior successo considerano l'autenticazione email come parte di un processo di deliverability continuo. Ogni nuova piattaforma di invio, cambio di dominio, strumento di marketing o campagna di outreach crea una nuova occasione in cui l'autenticazione può saltare senza che nessuno se ne accorga.

Il passo successivo è verificare continuamente che funzionino ancora in condizioni reali di ricezione e intercettare i problemi prima che lo facciano i provider di posta.

Ogni nuovo strumento, dominio o campagna è un'occasione perché SPF, DKIM o DMARC perdano inaspettatamente la loro configurazione corretta. Esegui un test di deliverability gratuito con MailReach per vedere dove finiscono oggi le tue email, e abbinalo a un email warmup per costruire quella reputazione del mittente che l'autenticazione da sola non può darti.

Domande Frequenti

Quali sono i tre principali metodi di autenticazione email? 

SPF, DKIM e DMARC. SPF elenca i server autorizzati a inviare per conto del tuo dominio, DKIM aggiunge una firma che prova che il messaggio non è stato alterato, e DMARC collega entrambi al dominio visibile nel campo Da: e dice ai ricevitori cosa fare in caso di problemi.

Ho bisogno di DMARC se invio solo da Google Workspace? 

Sì. È consigliato per qualsiasi mittente ed è obbligatorio per volumi elevati. Google Workspace è la piattaforma da cui invii; pubblicare una norma DMARC è una tua responsabilità, non qualcosa che Workspace gestisce in automatico. 

Qual è la differenza tra SPF, DKIM e DMARC? 

SPF autorizza i server di invio. DKIM firma il messaggio in modo che i ricevitori possano verificare che non sia stato modificato. DMARC imposta le regole e richiede che ci sia corrispondenza tra ciò che è stato verificato e il dominio del campo Da: visibile al destinatario.

Per quanto tempo dovrei rimanere su p=none prima di passare a p=reject? 

Rimani su p=none finché i report DMARC non mostrano che ogni sistema legittimo che invia a nome del tuo dominio è tracciato. Passare troppo presto rischia di bloccare le vere email aziendali.

L'autenticazione email migliora la deliverability? 

È necessaria per competere e non puoi raggiungere l'inbox senza di essa, ma non migliora da sola il posizionamento nella posta in arrivo. Ci pensano la reputazione e il contenuto. L'autenticazione apre la porta; reputazione e contenuti conquistano l'inbox.