SPF, DKIM, DMARC e Reputation — Guida Operativa per PMI • Meteora Web Agency

Le tue email finiscono nello spam? Il cliente non le vede, la fattura non arriva, il preventivo resta in coda. Il problema non è il contenuto: è la reputazione tecnica del tuo dominio. Se non hai configurato SPF, DKIM e DMARC, stai mandando lettere senza busta — e i provider le cestinano.

Noi, di Meteora Web, lo vediamo ogni giorno: aziende che perdono vendite perché i messaggi non arrivano. Veniamo dalla contabilità: sappiamo quanto costa una fattura non pagata perché finita nello spam. Qui non parliamo di teoria — parliamo di record DNS che puoi verificare e correggere oggi.

Cos'è SPF e perché se manca le tue email vengono rifiutate?

SPF (Sender Policy Framework) dice ai server di ricezione: «i messaggi da questo dominio partono solo da questi IP autorizzati». Senza SPF, chiunque può inviare email fingendo di essere te. I provider quindi diffidano. Per un'azienda italiana che usa Gmail, Outlook, o un server dedicato, è il primo strato di protezione.

Esempio di record TXT SPF per un dominio che invia via Google Workspace e server proprietario:
v=spf1 include:_spf.google.com ip4:185.12.34.56 ~all

Cosa fa questo record? Autorizza i server Google e un IP specifico. La parola ~all dice «accetta, ma segna come softfail»; -all è più severo (rifiuta). Parti da ~all e passa a -all quando sei sicuro.

Azione immediata

Accedi al DNS del tuo dominio (es. Cloudflare, Aruba, SiteGround). Cerca un record TXT con nome vuoto o @. Se manca, aggiungi questo valore adattandolo ai tuoi servizi di invio. Poi testa con uno strumento come MxToolbox SPF lookup.

Come funziona DKIM e perché è il tuo secondo fattore di fiducia?

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica al messaggio. Il server di destinazione recupera la chiave pubblica dal DNS e verifica che il messaggio non sia stato alterato. Senza DKIM, anche con SPF, il contenuto può essere manomesso.

Ogni servizio di invio (Google, Mailchimp, server proprio) genera una coppia di chiavi. La chiave privata resta sul server di invio, quella pubblica va in un record TXT DNS con un selettore (es. google._domainkey).

Esempio di record DKIM per Google Workspace:
k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Azione immediata

Vai nel pannello del tuo servizio email (es. Google Admin -> App -> Gmail -> Autenticazione email) e genera una firma. Copia il valore del record nel DNS. Attendi propagazione e verifica con MxToolbox DKIM lookup.

Cosa fa DMARC e come protegge il tuo dominio dallo spoofing?

DMARC (Domain-based Message Authentication, Reporting & Conformance) dice al ricevente: «cosa fare se SPF o DKIM fallisce». Puoi impostare nessuna azione (p=none), quarantena (p=quarantine) o rifiuto (p=reject). Inoltre ricevi report su chi tenta di inviare usando il tuo dominio.

Record TXT DMARC di base per monitoraggio:
v=DMARC1; p=none; rua=mailto:dmarc@tuodominio.it

Attenzione: iniziare con p=reject senza test può bloccare email legittime. Noi consigliamo: inizia con p=none, analizza i report per una settimana, poi passa a p=quarantine e infine a p=reject.

Azione immediata

Configura un indirizzo email per ricevere i report aggregati (rua). Aggiungi il record TXT su _dmarc.tuodominio.it. Usa strumenti come Dmarcian DMARC Check per verificare.

Come si costruisce la reputation del mittente oltre i record DNS?

SPF, DKIM, DMARC sono l'ossatura. Ma la reputation si costruisce con:

Liste pulite: mail a indirizzi attivi che hanno dato consenso esplicito. Mai acquistare liste.
Volume graduale: se mandi 10.000 email da un IP nuovo, i provider lo vedono come anomalia. Inizia con 500, poi aumenta.
Bounce rate sotto il 5%: indirizzi inesistenti o inattivi vanno rimossi subito.
Reclami (spam complaint) sotto lo 0.1%: tieni traccia con i feedback loop di Google, Yahoo, Outlook.
Consistenza: invia con regolarità, non a raffiche ogni sei mesi.

Noi abbiamo seguito clienti di e-commerce che inviano 50.000 mail al mese: un bounce rate del 10% significa 5.000 mail non recapitate. Pulendo la lista in sei mesi siamo scesi al 2% e la deliverability è passata dal 70% al 95%.

Azione immediata

Esporta la tua lista e rimuovi tutti gli indirizzi che non hanno aperto negli ultimi 6 mesi. Poi configura un webhook o usa un servizio di email marketing che gestisca i rimbalzi automaticamente (es. Mailchimp, Sendinblue, o il nostro stack con Laravel).

Quali strumenti usare per monitorare la deliverability nel tempo?

Non basta configurare una volta. La deliverability va monitorata:

Google Postmaster Tools — se invii molto a Gmail, mostra tasso di spam, reputazione IP, autenticazione.
Microsoft SNDS — report per Outlook/Hotmail.
MXToolbox — check rapidi di SPF, DKIM, DMARC.
Mail-Tester.com — invia una mail di test e ricevi un punteggio (10/10 è l'obiettivo).
Dmarcian EU — analisi dei report DMARC aggregati.

Noi, di Meteora Web, abbiamo automatizzato il monitoraggio per i nostri clienti: un crontab che ogni giorno verifica la presenza nei blacklist, controlla i record DNS, e avvisa se qualcosa cambia. Ma anche farlo manualmente una volta al mese fa la differenza.

Azione immediata

Registrati a Google Postmaster Tools e aggiungi il tuo dominio. Invia una mail di test a Mail-Tester.com. Segui i consigli.

Cosa fare adesso — la checklist per la tua deliverability

Verifica se il dominio ha già SPF, DKIM e DMARC con MxToolbox.
Se manca SPF: aggiungi il record autorizzando i tuoi servizi di invio.
Se manca DKIM: genera chiavi dal tuo provider email e pubblica il record DNS.
Se manca DMARC: imposta p=none con rua per raccogliere report.
Pulisci la lista: rimuovi bounce e inattivi.
Monitora reputation con Postmaster Tools e Mail-Tester.
Dopo due settimane di report DMARC, alza la policy a p=quarantine poi a p=reject.

Vuoi approfondire come integriamo questi controlli in un workflow di marketing automation? Leggi la nostra guida pillar su Email Marketing e Marketing Automation.