Verifica SPF, DKIM e DMARC della posta aziendale

Controlla se la posta del tuo dominio è autenticata correttamente: senza SPF, DKIM e DMARC le email finiscono in spam o possono essere falsificate.

Verifica la posta del tuo dominio

Inserisci il dominio aziendale: controlliamo record MX, SPF, DKIM e DMARC e ti diciamo cosa sistemare.

La verifica controlla in pochi secondi i quattro record DNS da cui dipende la consegna della posta aziendale: MX, SPF, DKIM e DMARC. Serve a chi gestisce la posta di un'azienda per capire perché le email finiscono in spam, prima di attivare un nuovo servizio di invio o dopo un cambio di fornitore.

Cosa sono SPF, DKIM e DMARC

SPF, DKIM e DMARC sono tre standard di autenticazione della posta elettronica, pubblicati come record DNS del dominio, che permettono ai server destinatari di verificare che un'email arrivi davvero dall'azienda che dichiara di inviarla. Lavorano insieme: nessuno dei tre, da solo, basta a proteggere il dominio.

SPF (Sender Policy Framework) elenca i server autorizzati a inviare posta per il dominio. DKIM (DomainKeys Identified Mail) aggiunge a ogni messaggio una firma digitale, verificabile con una chiave pubblica pubblicata nel DNS. DMARC (Domain-based Message Authentication, Reporting and Conformance) dice ai destinatari cosa fare quando SPF e DKIM non tornano (consegnare, mettere in spam o rifiutare) e invia all'azienda report periodici su chi spedisce email a nome del dominio.

Da febbraio 2024 Gmail e Yahoo richiedono SPF, DKIM e DMARC a chi invia grandi volumi di posta, e Microsoft ha introdotto requisiti analoghi per Outlook.com. Un dominio senza autenticazione oggi vede peggiorare la consegna delle proprie email anche quando non invia newsletter.

Come leggere i risultati

I valori che contano di più sono la regola finale dell'SPF e la policy del DMARC.

Valore	Significato	Indicazione
SPF -all	I server non elencati vanno rifiutati.	Configurazione consigliata, una volta censiti tutti i servizi di invio.
SPF ~all	I server non elencati sono sospetti (softfail).	Accettabile se affiancato da un DMARC attivo.
SPF ?all / +all	Nessuna indicazione / chiunque è autorizzato.	Da correggere: +all annulla la protezione.
Oltre 10 lookup	Il record SPF richiede troppe interrogazioni DNS.	La verifica fallisce: va semplificato.
DMARC p=none	Solo monitoraggio, nessuna azione sulle email false.	Fase iniziale: leggere i report e poi irrigidire.
DMARC p=quarantine	Le email non autenticate vanno in spam.	Passaggio intermedio verso reject.
DMARC p=reject	Le email non autenticate vengono rifiutate.	Massima protezione contro lo spoofing.
DKIM 1024 bit	Chiave considerata debole.	Rigenerare a 2048 bit dal pannello del fornitore.

SPF -all

Significato: I server non elencati vanno rifiutati.
Indicazione: Configurazione consigliata, una volta censiti tutti i servizi di invio.

SPF ~all

Significato: I server non elencati sono sospetti (softfail).
Indicazione: Accettabile se affiancato da un DMARC attivo.

SPF ?all / +all

Significato: Nessuna indicazione / chiunque è autorizzato.
Indicazione: Da correggere: +all annulla la protezione.

Oltre 10 lookup

Significato: Il record SPF richiede troppe interrogazioni DNS.
Indicazione: La verifica fallisce: va semplificato.

DMARC p=none

Significato: Solo monitoraggio, nessuna azione sulle email false.
Indicazione: Fase iniziale: leggere i report e poi irrigidire.

DMARC p=quarantine

Significato: Le email non autenticate vanno in spam.
Indicazione: Passaggio intermedio verso reject.

DMARC p=reject

Significato: Le email non autenticate vengono rifiutate.
Indicazione: Massima protezione contro lo spoofing.

DKIM 1024 bit

Significato: Chiave considerata debole.
Indicazione: Rigenerare a 2048 bit dal pannello del fornitore.

Come configurare SPF, DKIM e DMARC

L'ordine conta: prima si autorizzano i server, poi si firma, infine si applica la policy. La guida completa a SPF, DKIM e DMARC entra nel dettaglio di ogni passaggio.

1
Censire tutti i servizi che inviano posta a nome del dominio: la casella principale (Microsoft 365, Google Workspace, server interno), il gestionale, il CRM, la piattaforma di newsletter, il centralino che spedisce i fax via email.
2
Pubblicare un unico record SPF che li includa tutti, terminato da ~all o -all, restando sotto i 10 lookup DNS.
3
Attivare la firma DKIM su ogni servizio di invio e pubblicare le chiavi indicate dai fornitori, con lunghezza di 2048 bit.
4
Pubblicare un record DMARC con p=none e un indirizzo rua per ricevere i report, e analizzarli per alcune settimane.
5
Correggere i mittenti che non superano i controlli, poi portare la policy a quarantine e infine a reject.
6
Ripetere la verifica ogni volta che si aggiunge un servizio di invio o si cambia fornitore di posta.

Quello che vediamo nelle aziende

I problemi più frequenti non riguardano la casella principale, ma i servizi aggiunti nel tempo: il gestionale che spedisce le fatture, la piattaforma di newsletter, il modulo contatti del sito. Spesso vengono attivati senza aggiornare l'SPF, oppure aggiungendo un secondo record SPF invece di modificare quello esistente, e le email partono non autenticate. Un altro caso tipico è il DMARC lasciato a p=none per anni: il dominio è monitorato, ma chi lo usa per le truffe via email non trova alcun ostacolo.

Domande frequenti

Perché le email della mia azienda finiscono in spam?

Le cause più comuni sono un SPF che non comprende tutti i server di invio, l'assenza della firma DKIM o di un record DMARC, oppure l'indirizzo IP del server di posta in una blacklist. La verifica mostra subito i primi tre; per il quarto si usa la verifica blacklist.

Posso avere due record SPF?

No. Lo standard (RFC 7208) ammette un solo record SPF per dominio: con due record la verifica fallisce. I servizi vanno uniti in un unico record con più include.

Come trovo il selettore DKIM del mio dominio?

Si legge nell'intestazione DKIM-Signature di un'email inviata, nel valore s=. Microsoft 365 usa di solito selector1 e selector2, Google Workspace google. Lo strumento prova i selettori più diffusi: se il tuo non compare, la firma DKIM può essere comunque attiva con un selettore personalizzato, e lo conferma l'intestazione di un'email inviata.

Passare subito a DMARC p=reject è rischioso?

Sì, se non si conoscono tutti i servizi che inviano posta a nome del dominio: le loro email verrebbero rifiutate. Il percorso corretto parte da p=none con i report attivi e arriva a reject solo quando i report mostrano che tutti i mittenti legittimi sono autenticati.

Un dominio che non invia email deve avere SPF e DMARC?

Sì. Proprio perché non viene usato, è un bersaglio comodo per chi vuole inviare email false. Basta un SPF "v=spf1 -all" e un DMARC con p=reject per dichiarare che nessuna email legittima parte da quel dominio.

La verifica legge il contenuto della posta?

No. Interroga solo i record DNS pubblici del dominio, gli stessi che consulta qualsiasi server di posta prima di consegnare un messaggio. Non si collega ai server e non accede alle caselle.

Fonti e approfondimenti

A cura del team tecnico di VAY· Aggiornato il 28 ottobre 2026

Guide collegate

Tutti gli strumenti →