Un'email inviata dall'indirizzo professionale di una PMI può oggi essere respinta ancor prima di raggiungere la casella di posta del destinatario, senza che alcun messaggio di errore chiaro avvisi il mittente. Da quando Google e Yahoo hanno inasprito i propri requisiti nel febbraio 2024, seguiti da Microsoft nel maggio 2025, autenticare il dominio di invio tramite SPF, DKIM e DMARC è diventato il prezzo d'ingresso per qualsiasi casella di posta professionale che voglia vedere i propri messaggi arrivare a destinazione.

Cosa significano concretamente queste tre sigle

SPF, Sender Policy Framework, è un record DNS che elenca i server autorizzati a inviare email a nome del tuo dominio. DKIM, DomainKeys Identified Mail, aggiunge una firma crittografica a ogni messaggio, dimostrando che non è stato modificato lungo il percorso. DMARC, Domain-based Message Authentication, Reporting and Conformance, collega i due e indica ai provider di posta cosa fare quando un'email non supera questi controlli, generando al contempo report che rivelano chi invia email spacciandosi per il tuo dominio.

Perché non è più facoltativo

Questi tre protocolli esistono da tempo, ma fino a poco fa restavano semplici raccomandazioni di buone pratiche. Dal 2024, Google e Yahoo impongono la loro configurazione per qualsiasi dominio che invii un volume importante di messaggi, con soglie precise intorno alle cinquemila email al giorno verso indirizzi personali Gmail o Yahoo. Microsoft ha seguito nel 2025 con regole simili per Outlook e Hotmail. Una PMI che invia occasionalmente preventivi o newsletter non supera necessariamente questa soglia, ma i filtri antispam di questi servizi di posta ora favoriscono nettamente i domini autenticati, qualunque sia il volume inviato, il che rende questa configurazione utile ben oltre i grandi mittenti inizialmente presi di mira.

La differenza tra rifiuto e classificazione come spam

Esiste una distinzione importante da comprendere. Un dominio senza DMARC o con una configurazione incompleta vede generalmente le proprie email filtrate nella cartella spam del destinatario, che resta comunque visibile anche se poche persone la consultano. Per i grandi mittenti che superano le soglie fissate da Google e Microsoft, il mancato rispetto dei requisiti può arrivare fino al rifiuto puro e semplice del messaggio a livello di server, con un codice di errore tecnico che il destinatario non vedrà mai e che il mittente noterà solo monitorando i propri registri di invio.

Un problema ancora molto diffuso

Una parte importante dei domini professionali resta oggi priva di un record DMARC correttamente configurato, il che li espone a spoofing e problemi di consegna. Questo dato varia a seconda degli studi, ma tutti convergono sulla stessa conclusione: la maggioranza dei domini non ha ancora completato questo adeguamento, mentre la finestra di tolleranza dei grandi provider di posta si sta progressivamente chiudendo.

Come verificare la propria configurazione

Il metodo più semplice consiste nell'inviare un'email di prova a un indirizzo Gmail, quindi aprire quel messaggio e consultare l'opzione Mostra originale, che indica chiaramente se i controlli SPF, DKIM e DMARC sono andati a buon fine o falliti. Strumenti online gratuiti, come MXToolbox, permettono inoltre di controllare la presenza e la validità di questi record DNS senza dover inviare un'email di prova.

La configurazione in pratica

L'implementazione tecnica avviene a livello dei record DNS del dominio, generalmente tramite l'interfaccia di amministrazione dell'hosting o del registrar. Un'insidia frequente riguarda le aziende che usano più strumenti di invio, come la propria posta professionale, un software di fatturazione e uno strumento per newsletter: ciascuno deve essere correttamente dichiarato e firmato, altrimenti le email inviate da questi strumenti di terze parti falliranno l'allineamento DMARC anche se il dominio principale è configurato correttamente. Si raccomanda di iniziare con una politica DMARC in sola modalità di monitoraggio, per poi passare progressivamente a una politica più rigorosa una volta convalidata la configurazione nell'arco di alcune settimane.

Punti da verificare prima della pubblicazione: confermare alla data di pubblicazione le soglie esatte di volume adottate da Google, Yahoo e Microsoft per qualificare un mittente come grande mittente, così come le date di entrata in vigore citate per Microsoft, e verificare che i dati citati sulla proporzione di domini ancora non conformi restino coerenti con gli studi disponibili più recenti.