Le basi dell'emailAutenticazione email di Outlook: configurazione di SPF, DKIM e DMARCSpiegazione dell'autenticazione email di Outlook: configura SPF, DKIM e DMARC per Microsoft 365, rispetta le regole del 2026 e risolvi il problema delle email che finiscono ancora nello Spam.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
Risotto è all'avanguardia nel Zero Trust runtime-first con monitoraggio eBPF, applicazione dinamica del principio del minimo privilegio e automazione della conformità.
La maggior parte dei mittenti segue una guida alla configurazione dell'autenticazione email di Outlook, aggiunge i record DNS richiesti, vede i segni di spunta verdi in uno strumento di validazione e dà per scontato che l'autenticazione sia completata. Dopodiché la deliverability cala, i messaggi iniziano a finire nello Spam o Microsoft segnala problemi di autenticazione che sembrano impossibili dato che sulla carta è tutto corretto.
L'autenticazione email di Outlook è più complessa rispetto alla semplice pubblicazione dei record SPF, DKIM e DMARC. Microsoft 365 ha requisiti di configurazione specifici, trappole comuni e controlli di autenticazione che possono risultare corretti nel DNS ma fallire nel momento in cui Outlook riceve effettivamente la tua email.
In questa guida scoprirai come funziona l'autenticazione email di Outlook, come configurare correttamente SPF, DKIM e DMARC per Microsoft 365, come si sono evoluti i requisiti di Microsoft e come verificare che la tua autenticazione funzioni davvero in condizioni di ricezione reali.
Se invii email tramite Microsoft 365, ora Outlook si aspetta che SPF, DKIM e DMARC siano configurati correttamente prima che i tuoi messaggi possano guadagnare la sua fiducia.
Ecco una rapida cronologia dell'applicazione dell'autenticazione su Outlook:
I requisiti ufficiali di Microsoft mirano ai mittenti con volumi più alti, ma i provider di posta usano sempre più spesso l'autenticazione come segnale di affidabilità per qualsiasi email.
Per i team di outbound B2B la realtà pratica è semplice: che tu invii 200 email al giorno o 20.000, SPF, DKIM e DMARC non sono più opzionali. Sono le fondamenta su cui poggia qualsiasi altro segnale di deliverability.
La sola autenticazione non garantisce l'arrivo nella inbox, ma fallirla può impedire del tutto alle tue email di arrivarci.
L'SPF dice a Outlook quali server sono autorizzati a inviare email per conto del tuo dominio. Nel caso di Microsoft 365, significa pubblicare un record SPF che autorizza l'infrastruttura di invio di Microsoft, insieme a qualsiasi altra piattaforma che invia email usando il tuo dominio.
Quando configuri l'SPF:
Un tipico record SPF per Microsoft 365 è simile a questo:
v=spf1 include:spf.protection.outlook.com ~all
La maggior parte delle organizzazioni avrà bisogno di ulteriori istruzioni include: per altri strumenti di invio.
Uno dei problemi SPF più comuni è il superamento del limite di 10 lookup DNS. Ogni meccanismo include: consuma lookup e, man mano che si aggiungono strumenti nel tempo, il record può diventare troppo complesso da valutare correttamente per i provider di posta in arrivo.
Prima di salvare la configurazione SPF:
Una volta configurato correttamente l'SPF, il passo successivo è attivare il DKIM in modo che Outlook possa verificare che i tuoi messaggi non siano stati alterati durante la consegna.
Una ricerca DNS conferma solo che il record viene letto correttamente, ma non ti dirà se l'SPF passa una volta che Outlook riceve effettivamente il messaggio. L'SPF Checker gratuito di MailReach testa l'autenticazione end-to-end in condizioni di ricezione reali e aiuta a far emergere problemi di configurazione che gli strumenti basati solo sui DNS potrebbero non notare.
Il DKIM aiuta Outlook a verificare che un'email sia stata inviata davvero dal tuo dominio e non sia stata modificata dopo aver lasciato il server di invio. Per Microsoft 365, la configurazione del DKIM richiede qualche passaggio in più perché il tuo dominio personalizzato non viene autenticato automaticamente di default.
Molti mittenti danno per scontato che il DKIM sia già configurato perché Microsoft firma la posta in uscita usando la propria infrastruttura. Tuttavia, quella firma predefinita autentica il dominio di Microsoft, non il tuo. Per autenticare il tuo dominio, devi configurare il DKIM separatamente.
Quando configuri il DKIM:
Se il tuo dominio invia email tramite più piattaforme, ciascuna piattaforma avrà il proprio selettore DKIM e la propria chiave di firma. Un record DKIM creato per Microsoft 365 non autentica automaticamente i messaggi inviati tramite il tuo CRM, la tua piattaforma di outreach, il tuo helpdesk o il tuo tool di marketing.
Uno dei problemi di configurazione più comuni è vedere l'avviso "DKIM non configurato" anche dopo aver aggiunto i record necessari. Spesso è dovuto ai ritardi di propagazione del DNS o a selettori configurati male.
Dopo la configurazione:
La presenza di un record DKIM nel DNS non garantisce che il controllo DKIM vada a buon fine quando Outlook riceve il messaggio. Verifica sempre il risultato dell'autenticazione sulle email recapitate, non limitarti alla configurazione DNS.
Il DKIM Checker gratuito di MailReach fa tutto questo end-to-end, evidenziando le discrepanze tra selettori e chiavi (incluso un dominio che risulta ancora firmato come onmicrosoft.com) che i tool basati solo sul DNS danno per valide.
Il DMARC si basa su SPF e DKIM. Verifica che almeno uno di questi metodi di autenticazione vada a buon fine e corrisponda al dominio mostrato nell'indirizzo Da: visibile. Dice inoltre ai provider di posta cosa fare quando l'autenticazione fallisce.
Molte guide alla configurazione del DMARC consigliano di passare direttamente a p=reject per la massima protezione. Per la maggior parte delle aziende, soprattutto quelle che usano più piattaforme di invio, è rischioso. Se i mittenti legittimi non sono stati autenticati correttamente, una policy DMARC rigida può bloccare email aziendali valide.
Quando configuri DMARC:
Una volta che il reporting DMARC è attivo:
Una volta completato il monitoraggio:
Iniziare in modalità di monitoraggio ti offre visibilità su come vengono inviate le email dal tuo dominio e aiuta a evitare che i messaggi legittimi vengano bloccati da una policy troppo aggressiva.
Molti mittenti si fermano dopo aver controllato il DNS e danno per scontato che tutto funzioni. Il problema è che un record DNS può esistere anche se l'autenticazione fallisce a causa di problemi di allineamento, errori di configurazione, selettori non corrispondenti o configurazioni incomplete.
Segui il procedimento qui sotto per verificare l'autenticazione in condizioni di ricezione reali.
Inizia verificando che i tuoi record SPF, DKIM e DMARC siano pubblicati correttamente.
Controlla che:
Questo conferma che la configurazione è visibile pubblicamente, ma non che l'autenticazione vada a buon fine.
L'autenticazione viene valutata quando Outlook riceve un messaggio.
Invia un'email di prova dalla stessa piattaforma che usi di solito per l'outreach, il marketing o la posta aziendale a:
Usare caselle di posta reali ti aiuta a verificare in pratica come Microsoft elabora i tuoi messaggi.
Apri il messaggio ricevuto e controlla i risultati dell'autenticazione.
Verifica che:
Se l'SPF fallisce, Outlook non può verificare che il server di invio sia autorizzato a mandare email per conto del tuo dominio.
Successivamente, verifica la firma DKIM.
Conferma che:
Un record DKIM può esistere nel DNS mentre la firma effettiva fallisce durante la verifica, ed è per questo che è importante testare la posta recapitata.
Anche il DMARC dovrebbe essere superato sul messaggio ricevuto.
Verifica che:
Questo passaggio conferma che Outlook riconosce la tua autenticazione esattamente come previsto.
Autenticazione e ricezione in inbox non sono la stessa cosa.
Anche se SPF, DKIM e DMARC sono tutti corretti:
Controlla se il messaggio arriva in:
Questo aiuta a capire se hai a che fare con un problema di autenticazione o di reputazione.
Farro manualmente su più caselle di posta è noioso. Il Test Gratuito di Consegnabilità delle Email di MailReach invia messaggi tramite una rete di caselle di posta reali di Google Workspace e Microsoft 365 e ti mostra se finisci in inbox, nello spam o in cartelle filtrate, insieme ai risultati di SPF, DKIM e DMARC e a un elenco di interventi prioritari, così puoi distinguere un problema di autenticazione da uno di reputazione con un solo test.
L'autenticazione dovrebbe essere verificata ogni volta che:
Piccole modifiche alla configurazione possono influenzare i risultati dell'autenticazione senza generare errori evidenti.
Una ricerca DNS ti dice che i record esistono. Un test di autenticazione reale ti dice se Outlook si fida davvero di essi. È questo il fattore che conta.
La maggior parte dei problemi di autenticazione su Outlook è causata da errori di configurazione che sembrano corretti a prima vista, ma che falliscono quando Microsoft valuta effettivamente l'email. La buona notizia è che gran parte di questi problemi segue schemi prevedibili. Una volta capito cosa cercare, di solito sono facili da individuare e correggere.
I record SPF possono contenere un massimo di 10 lookup DNS. Ogni istruzione include: consuma parte di questo limite perché Outlook deve seguire quei riferimenti per determinare se un server mittente è autorizzato.
Questo problema spesso si presenta gradualmente. Un dominio inizia con Microsoft 365, poi aggiunge un CRM, una piattaforma di marketing, un helpdesk, uno strumento di outreach e altri servizi. Il record SPF continua a esistere nel DNS, ma una volta superato il limite di lookup, Outlook non riesce più a valutarlo completamente. L'SPF potrebbe fallire anche se all'apparenza sembra tutto a posto.
Come risolverlo:
Microsoft 365 firma automaticamente le email utilizzando una firma DKIM onmicrosoft.com. Molti mittenti pensano che questo significhi che il DKIM sia configurato alla perfezione.
La firma predefinita di Microsoft autentica il dominio di Microsoft, non il tuo dominio personalizzato. La tua email potrebbe sembrare firmata con DKIM, mentre il tuo dominio rimane non autenticato ai fini dell'allineamento DMARC.
Come risolverlo:
Pubblicare un record DMARC non significa automaticamente che il DMARC venga superato.
Il DMARC richiede che l'SPF o il DKIM siano allineati con il dominio visibile nell'indirizzo Da:. Un messaggio può superare l'SPF e fallire comunque il DMARC se l'autenticazione avviene su un dominio diverso.
Questa è una causa comune di problemi di autenticazione su Outlook perché il record esiste, i controlli sembrano configurati, eppure il DMARC fallisce comunque durante la consegna.
Come risolverlo:
Molte guide sulla configurazione DMARC consigliano di passare direttamente a p=reject per la massima protezione. Per le aziende che usano più strumenti, questo può creare problemi molto rapidamente.
CRM dimenticati, sistemi di fatturazione, helpdesk e applicazioni interne continuano spesso a inviare email dopo l'attivazione del DMARC enforcement. Se questi sistemi non sono autenticati correttamente, le email aziendali legittime potrebbero essere bloccate.
Come risolverlo:
Una ricerca DNS conferma solo che un record esiste. Non garantisce che Outlook validi con successo SPF, DKIM e DMARC quando riceve un'email.
Questo crea una falsa sicurezza. Sembra che tutto sia configurato correttamente nel DNS, ma intanto le email finiscono nello spam o falliscono i controlli di autenticazione durante la consegna.
Come risolverlo:
Molti mittenti pensano che usare un sottodominio separi completamente il cold outreach dall'email principale dell'azienda.
Anche se i sottodominio creano una certa separazione, i provider di posta possono comunque collegarli al dominio principale. Se le campagne di outreach generano lamentele o scarso coinvolgimento, i segnali di reputazione potrebbero comunque influenzare l'intero brand.
Come risolverlo:
Un avviso di blacklist sembra spesso urgente, ed è per questo che molti mittenti si concentrano prima sui controlli delle blacklist quando la deliverability cala.
In realtà, Outlook si affida principalmente ai sistemi di reputazione di Microsoft, ai dati sui reclami, ai segnali di interazione e ai risultati dell'autenticazione. La maggior parte delle blacklist pubbliche ha un impatto minimo sul posizionamento nella casella di posta di Outlook.
Se le email autenticate finiscono regolarmente nello Spam, il problema di fondo è solitamente la reputazione, l'interazione o il comportamento di invio, piuttosto che la presenza in una blacklist.
Come risolverlo:
I provider di caselle di posta continuano a inasprire i requisiti di affidabilità. L'autenticazione sta diventando sempre meno un vantaggio competitivo e sempre più un requisito fondamentale. I domini che performano meglio sono quelli che controllano regolarmente le origini di invio, verificano l'autenticazione dopo le modifiche, monitorano i report DMARC e risolvono i problemi prima che influenzino l'invio.
Il passo successivo non è semplicemente pubblicare i record e andare avanti. Si tratta di verificare che Outlook veda la tua email esattamente come desideri. Questo significa fare test in condizioni di ricezione reali, monitorare l'autenticazione nel tempo e assicurarsi che i nuovi strumenti non introducano problemi silenziosamente.
L'Email Deliverability Test di MailReach verifica l'autenticazione end-to-end anziché solo nel DNS, e i test automatici con Slack o avvisi webhook segnalano anomalie non appena un nuovo strumento compromette un record.
Non per il tuo dominio personalizzato. Microsoft 365 firma con una chiave predefinita onmicrosoft.com di default, che non è la stessa cosa di autenticare il tuo dominio. Devi pubblicare due record CNAME e abilitare la firma DKIM per il tuo dominio nel portale Defender.
Perché l'autenticazione è solo uno dei tre pilastri della deliverability. Microsoft valuta anche la reputazione del mittente (interazione) e il contenuto. Puoi superare SPF, DKIM e DMARC e finire comunque nello spam se la tua reputazione è debole o se il tuo contenuto attiva i filtri.
A seguito delle regole di Google e Yahoo di febbraio 2024, Microsoft richiede ai mittenti ad alto volume (circa 5.000 o più messaggi al giorno verso Outlook.com, Hotmail e Live) di autenticarsi con SPF, DKIM e DMARC, pena il rischio di finire nello spam o di essere bloccati. Per l'outbound B2B, autenticati a prescindere dal volume.
Per i mittenti ad alto volume, sì. Per tutti gli altri è fortemente consigliato e sempre più richiesto. Inizia con p=none per monitorare, poi passa all'enforcement quando i tuoi report confermano che ogni mittente legittimo supera i controlli.
No. Il warmup costruisce la reputazione del mittente, che è un pilastro diverso rispetto all'autenticazione. L'autenticazione è la configurazione DNS; il warmup genera interazione. Entrambi contano, e il warmup serve solo per il cold outreach B2B.
Ogni email nello spam equivale a un potenziale cliente perso. Inizia a migliorare il posizionamento nella tua casella di posta oggi stesso con il test spam e l'email warmup di MailReach.
Seguire le regole non basta: scopri dove finiscono le tue email e cosa le sta bloccando. Controlla il tuo spam score con il nostro test gratuito e migliora la deliverability con il warmup di MailReach.
Senza il warmup giusto, le tue migliori campagne sono inutili. Puoi iniziare testando il tuo inbox placement e iniziare a migliorarlo oggi stesso.
Autenticazione email di Outlook: configurazione di SPF, DKIM e DMARC
Quali sono i requisiti DMARC di Outlook? (Guida 2026)
Recensione Apollo.io 2026: Caratteristiche, Prezzi, Pro e Contro
Prezzi Folderly nel 2026: Quanto stai davvero pagando (e se ne vale la pena)
Email Marketing vs Cold Email: Le Differenze Chiave per la Deliverability
Come leggere un report DMARC (Passo dopo passo per i mittenti B2B)
