Le email dell'azienda finiscono in spam: SPF, DKIM e DMARC spiegati a chi non fa il sistemista

Il sintomo tipico: un cliente dice di non aver mai ricevuto il preventivo, poi lo ritrova in spam. Oppure una fattura torna indietro con un messaggio incomprensibile. Il più delle volte non è un problema del destinatario, né del contenuto del messaggio: è il dominio aziendale che non dimostra di essere chi dice di essere.

Per anni si è potuto ignorare la questione. Oggi non più: i grandi fornitori di posta hanno trasformato quelle che erano buone pratiche in requisiti.

Cosa chiedono oggi Gmail e Outlook

Dal 1° febbraio 2024 Gmail chiede a chiunque invii email ad account Gmail personali di autenticare la propria posta con SPF oppure DKIM. A chi invia circa 5.000 messaggi o più al giorno chiede di più: SPF e DKIM insieme, un record DMARC (anche con la politica meno restrittiva), l'allineamento del dominio del mittente, una connessione cifrata e un tasso di segnalazioni come spam sotto lo 0,30% [1]. I messaggi che non rispettano i requisiti possono finire in spam o essere respinti con un errore 5.7.26, e da novembre 2025 Gmail ha dichiarato di aumentare il rigore dei controlli, con rifiuti temporanei e permanenti [1][2].

Microsoft ha fatto lo stesso per Outlook.com, Hotmail e Live: dal 5 maggio 2025 i domini che inviano 5.000 messaggi o più alle sue caselle personali devono superare SPF e DKIM e avere un record DMARC almeno con politica «none», allineato ad almeno uno dei due. I messaggi non conformi vengono prima spostati nella posta indesiderata, poi respinti con l'errore 550 5.7.515 [3].

I tre controlli, senza gergo

DMARC ha un secondo effetto, spesso più importante del primo: protegge chi riceve posta falsificata a nome tuo. Senza DMARC con una politica restrittiva, chiunque può spedire una finta fattura che sembra arrivare dal tuo dominio, e il tuo cliente non ha modo di accorgersene. Le politiche possibili sono tre: «none» (solo osservazione e rapporti), «quarantine» (in spam) e «reject» (rifiuto) [5].

Come verificare il tuo dominio in cinque minuti

1. Manda un'email dalla casella aziendale a un indirizzo Gmail personale.
2. Aprila in Gmail, clicca sui tre puntini accanto a «Rispondi» e scegli «Mostra originale».
3. In cima trovi tre righe: SPF, DKIM e DMARC, ciascuna con PASS o FAIL.
4. Tre PASS: il dominio è in ordine per quella casella. Anche un solo FAIL, o una voce assente, va sistemato.

Attenzione: la prova vale per il servizio da cui hai inviato. Se l'azienda spedisce posta anche da altri sistemi, ciascuno va verificato a parte.

Gli errori che si trovano più spesso

• Posta inviata da sistemi dimenticati. Il gestionale che manda le fatture, il modulo del sito, la piattaforma delle newsletter, la stampante che invia le scansioni: ognuno spedisce a nome del dominio e ognuno deve essere autorizzato nell'SPF o firmare con DKIM. È la causa più comune di messaggi che «a volte» finiscono in spam.
• Due record SPF invece di uno. Chi aggiunge un servizio spesso crea un secondo record invece di modificare quello esistente; ma un dominio deve averne uno solo, e con due il controllo fallisce [4].
• Troppi «include» nell'SPF. La valutazione dell'SPF può fare al massimo dieci interrogazioni DNS; oltre quel limite il controllo fallisce con un errore permanente [4]. Succede quando ci si accumulano servizi negli anni.
• DKIM mai attivato. Microsoft 365 e Google Workspace lo supportano, ma sul dominio personalizzato va attivato e pubblicato nel DNS: non sempre succede da sé.
• DMARC fermo a «none» per sempre. È il punto di partenza giusto, non quello d'arrivo: finché resta lì, i tuoi messaggi falsificati continuano a essere consegnati.

Come si mette in ordine, in pratica

1. Inventario: tutti i sistemi che spediscono a nome del dominio. È la parte che richiede più tempo, e quella che quasi tutti saltano.
2. SPF: un solo record, con tutti e soli i servizi dell'inventario.
3. DKIM: attivato su ogni servizio che lo supporta, a partire dalla casella principale.
4. DMARC con politica «none» e un indirizzo per ricevere i rapporti: per qualche settimana si osserva chi spedisce a nome del dominio e se supera i controlli.
5. Quando i rapporti mostrano che tutta la posta legittima passa, si sale a «quarantine» e poi a «reject», gradualmente: è la sequenza che raccomanda anche Google [5].

Saltare direttamente a «reject» senza la fase di osservazione è il modo più rapido per bloccare le fatture del gestionale che nessuno aveva messo nell'inventario. La fase intermedia serve proprio a scoprirlo prima che se ne accorga un cliente.

Quando farlo fare a qualcuno

Se l'azienda spedisce solo dalla casella principale, con un pomeriggio e la documentazione del proprio fornitore di posta ci si arriva da soli. Se invece ci sono gestionale, sito, newsletter e magari un vecchio fornitore di cui nessuno ricorda le credenziali, l'inventario e la migrazione a «reject» richiedono qualche ora di lavoro da parte di chi sa leggere i rapporti DMARC. È un intervento che rientra nella messa in sicurezza, a 60 euro l'ora, e che si fa di solito in poche ore più il periodo di osservazione.