Name: SendFlow AI
Author: SendFlow AI

SPF, DKIM, DMARC: Guida Pratica per PMI (2026)

Se le tue email finiscono in spam nonostante contenuti perfetti e subject line ottimizzati, il problema potrebbe essere tecnico. SPF, DKIM e DMARC sono i tre protocolli di autenticazione email che determinano se i provider (Gmail, Outlook, Yahoo) considerano le tue email legittime o potenzialmente fraudolente.

In questa guida pratica scoprirai come configurare correttamente questi tre protocolli, anche senza competenze tecniche avanzate. Ti mostrerò passo-passo cosa fare, quali errori evitare e come verificare che tutto funzioni correttamente.

Perché SPF, DKIM e DMARC Sono Fondamentali

Immagina di ricevere un'email che dice di provenire dalla tua banca, ma in realtà è un tentativo di phishing. Come fa Gmail a capire se quell'email è davvero della tua banca o di un truffatore?

La risposta sono SPF, DKIM e DMARC: tre protocolli che permettono ai provider email di verificare l'identità del mittente.

I Numeri Parlano Chiaro

Secondo uno studio di Validity (2025), le email con autenticazione completa (SPF + DKIM + DMARC) hanno:

22% in più di deliverability rispetto a email senza autenticazione
45% in meno di probabilità di finire in spam
67% in più di fiducia da parte dei provider email

Per le PMI italiane e spagnole, questo si traduce in:

Più email che arrivano a destinazione (meno soldi sprecati)
Maggiore reputazione del dominio (effetto composto nel tempo)
Protezione del brand (nessuno può impersonare la tua azienda)

Cosa Sono SPF, DKIM e DMARC (Spiegazione Semplice)

SPF (Sender Policy Framework)

In parole semplici: SPF è una lista di server autorizzati a inviare email per conto del tuo dominio.

Esempio pratico:

Immagini di avere un ristorante e di dare il permesso solo a 3 fattorini specifici di consegnare le pizze con il tuo logo. Se un fattorino sconosciuto si presenta con una pizza che dice "Ristorante Da Paolo", il cliente sa che c'è qualcosa che non va.

SPF funziona allo stesso modo: dici a Gmail, Outlook e altri provider "solo questi server possono inviare email da miodominio.it".

Tecnicamente:

SPF è un record DNS (Domain Name System) che elenca gli indirizzi IP autorizzati a inviare email per il tuo dominio.

Esempio di record SPF:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Questo dice: "Le email da miodominio.it possono provenire dai server di Google (Gmail) e SendGrid. Tutte le altre sono sospette."

DKIM (DomainKeys Identified Mail)

In parole semplici: DKIM è una firma digitale che prova che l'email non è stata modificata durante il viaggio dal tuo server al destinatario.

Esempio pratico:

Immagina di inviare una lettera importante con un sigillo di cera. Se il sigillo è intatto, il destinatario sa che nessuno ha aperto la lettera durante il trasporto.

DKIM funziona allo stesso modo: ogni email viene "sigillata" con una firma crittografica che solo il tuo dominio può creare.

Tecnicamente:

DKIM aggiunge un'intestazione nascosta all'email contenente una firma crittografica. Il provider destinatario verifica questa firma confrontandola con una chiave pubblica pubblicata nel tuo DNS.

Esempio di intestazione DKIM:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=miodominio.it; s=default;
  h=from:to:subject:date;
  bh=abc123...;
  b=xyz789...

DMARC (Domain-based Message Authentication, Reporting and Conformance)

In parole semplici: DMARC è la policy che dice ai provider email cosa fare se SPF o DKIM falliscono.

Esempio pratico:

Immagina di avere un buttafuori al tuo locale. SPF e DKIM sono i documenti di identità che i clienti devono mostrare. DMARC è l'istruzione che dai al buttafuori: "Se i documenti non sono validi, cosa fai? Li lasci entrare comunque? Li mandi via? Chiami la polizia?"

Tecnicamente:

DMARC è un record DNS che specifica:

Policy: Cosa fare con email che falliscono SPF/DKIM (none, quarantine, reject)
Reporting: Dove inviare report su email che falliscono l'autenticazione
Alignment: Come verificare che SPF/DKIM corrispondano al dominio del mittente

Esempio di record DMARC:

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r

Questo dice: "Se SPF o DKIM falliscono, metti l'email in quarantena (spam). Inviami report settimanali su cosa succede."

Come Configurare SPF: Guida Passo-Passo

Passo 1: Identifica i Servizi che Inviano Email per Te

Prima di configurare SPF, devi sapere quali servizi inviano email per conto del tuo dominio.

Esempi comuni per PMI:

Google Workspace / Gmail (se usi Gmail con dominio personalizzato)
Microsoft 365 / Outlook (se usi Outlook con dominio personalizzato)
SendFlow AI (se usi la nostra piattaforma per email marketing)
Mailchimp, Brevo, ActiveCampaign (se usi altri tool di email marketing)
Shopify, WooCommerce (se hai un e-commerce che invia conferme ordine)
Zendesk, Intercom (se usi tool di customer support)

Come trovarli:

Fai una lista di tutti i servizi che inviano email con il tuo dominio
Cerca nella documentazione di ogni servizio "SPF record" o "SPF include"
Annota l'istruzione SPF di ogni servizio

Esempio:

Google Workspace: include:_spf.google.com
SendFlow AI: include:spf.sendflowai.ai
Shopify: include:shops.shopify.com

Passo 2: Crea il Record SPF

Un record SPF ha questa struttura:

v=spf1 [meccanismi] [qualificatore]

Componenti:

v=spf1 = versione SPF (sempre uguale)
meccanismi = lista di server autorizzati
qualificatore = cosa fare con email da server non autorizzati

Meccanismi comuni:

include:dominio.com = autorizza i server di quel dominio
ip4:192.0.2.1 = autorizza un indirizzo IP specifico
a = autorizza l'indirizzo IP del record A del dominio
mx = autorizza i server mail del dominio

Qualificatori:

~all = soft fail (email sospette vanno in spam)
-all = hard fail (email sospette vengono rifiutate)
?all = neutral (nessuna policy, sconsigliato)
+all = pass (accetta tutto, PERICOLOSO, mai usare)

Esempio di record SPF completo per un ristorante che usa Gmail e SendFlow AI:

v=spf1 include:_spf.google.com include:spf.sendflowai.ai ~all

Passo 3: Pubblica il Record SPF nel DNS

Ora devi aggiungere questo record al DNS del tuo dominio.

Dove gestisci il DNS?

Dipende da dove hai registrato il dominio:

Aruba (Italia)
Register.it (Italia)
GoDaddy (Internazionale)
Cloudflare (Internazionale)
Google Domains (Internazionale)

Procedura generale (valida per tutti i provider):

Accedi al pannello di controllo del tuo provider DNS
Cerca la sezione "Gestione DNS" o "DNS Records"
Aggiungi un nuovo record con questi parametri:
- Tipo: TXT
- Nome/Host: @ (oppure lascia vuoto, oppure scrivi il tuo dominio)
- Valore: v=spf1 include:_spf.google.com include:spf.sendflowai.ai ~all
- TTL: 3600 (1 ora) o lascia il valore predefinito
Salva il record

⚠️ ATTENZIONE:

Puoi avere UN SOLO record SPF per dominio
Se esiste già un record SPF, NON crearne un secondo, ma modifica quello esistente aggiungendo i nuovi include:
I cambiamenti DNS possono richiedere fino a 48 ore per propagarsi (di solito 1-2 ore)

Passo 4: Verifica che SPF Funzioni

Dopo aver pubblicato il record SPF, verifica che sia configurato correttamente.

Metodo 1: Tool Online Gratuiti

MXToolbox SPF Checker: https://mxtoolbox.com/spf.aspx
DMARC Analyzer: https://www.dmarcanalyzer.com/spf/checker/
Google Admin Toolbox: https://toolbox.googleapps.com/apps/checkmx/

Inserisci il tuo dominio e verifica che:

✅ Il record SPF esiste
✅ Non ci sono errori di sintassi
✅ Tutti i servizi che usi sono inclusi

Metodo 2: Invia Email di Test

Invia un'email dal tuo dominio a un indirizzo Gmail personale
Apri l'email in Gmail
Clicca sui tre puntini in alto a destra → "Mostra originale"
Cerca la riga Received-SPF:

Dovresti vedere:

Received-SPF: pass (google.com: domain of [email protected] designates 209.85.220.41 as permitted sender)

Se vedi pass, SPF funziona correttamente! ✅

Se vedi fail, softfail o neutral, c'è un problema da risolvere.

Errori Comuni SPF (e Come Risolverli)

Errore 1: "Too many DNS lookups"

SPF ha un limite di 10 lookup DNS. Se superi questo limite, SPF fallisce.

Soluzione:

Rimuovi include: non necessari
Usa indirizzi IP diretti invece di include: quando possibile
Considera di usare un servizio di SPF flattening

Errore 2: "Multiple SPF records"

Hai più di un record SPF per lo stesso dominio.

Soluzione:

Elimina tutti i record SPF tranne uno
Combina tutti gli include: in un unico record

Errore 3: "SPF record not found"

Il record SPF non esiste o non è pubblicato correttamente.

Soluzione:

Verifica di aver pubblicato il record come tipo TXT (non SPF)
Aspetta 1-2 ore per la propagazione DNS
Controlla di aver inserito il nome host corretto (di solito @)

Come Configurare DKIM: Guida Passo-Passo

DKIM è leggermente più complesso di SPF perché richiede la generazione di una coppia di chiavi crittografiche (pubblica e privata).

Passo 1: Genera le Chiavi DKIM

Opzione A: Il Tuo Provider Email Genera le Chiavi per Te (CONSIGLIATO)

La maggior parte dei servizi email (Gmail, SendFlow AI, Mailchimp) genera automaticamente le chiavi DKIM per te.

Google Workspace:

Vai su Admin Console → Apps → Google Workspace → Gmail
Clicca su "Authenticate email"
Clicca su "Generate new record"
Copia il record DKIM generato

SendFlow AI:

Vai su Impostazioni → Domini
Clicca su "Configura DKIM"
Copia il record DKIM generato

Opzione B: Genera le Chiavi Manualmente (AVANZATO)

Se il tuo provider non genera chiavi DKIM, puoi usare tool online come:

DKIM Core: https://dkimcore.org/tools/
EasyDMARC DKIM Generator: https://easydmarc.com/tools/dkim-record-generator

Passo 2: Pubblica il Record DKIM nel DNS

Il record DKIM è un record TXT con un nome host specifico.

Formato:

[selector]._domainkey.tuodominio.it

Esempio:

Se il tuo selector è default, il nome host sarà:

default._domainkey.miodominio.it

Procedura:

Accedi al pannello DNS del tuo provider
Aggiungi un nuovo record TXT con:
- Nome/Host: default._domainkey (o il selector fornito dal tuo provider)
- Valore: La chiave pubblica DKIM (inizia con v=DKIM1; k=rsa; p=...)
- TTL: 3600
Salva il record

Esempio di record DKIM:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Passo 3: Verifica che DKIM Funzioni

Metodo 1: Tool Online

MXToolbox DKIM Checker: https://mxtoolbox.com/dkim.aspx
DMARC Analyzer: https://www.dmarcanalyzer.com/dkim/dkim-check/

Inserisci:

Dominio: miodominio.it
Selector: default (o il selector che hai usato)

Dovresti vedere: ✅ DKIM record found

Metodo 2: Invia Email di Test

Invia un'email dal tuo dominio a Gmail
Apri l'email → "Mostra originale"
Cerca la riga DKIM-Signature:

Dovresti vedere:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=miodominio.it; s=default;

E più in basso:

dkim=pass header.d=miodominio.it

Se vedi pass, DKIM funziona! ✅

Errori Comuni DKIM

Errore 1: "DKIM record not found"

Il record DKIM non è pubblicato o il selector è sbagliato.

Soluzione:

Verifica il nome host (deve includere ._domainkey.)
Controlla il selector (es. default, google, k1)
Aspetta 1-2 ore per la propagazione DNS

Errore 2: "DKIM signature verification failed"

La firma DKIM non corrisponde alla chiave pubblica.

Soluzione:

Verifica che la chiave pubblica nel DNS sia identica a quella generata
Assicurati che il servizio email usi la chiave privata corretta
Rigenera le chiavi se necessario

Come Configurare DMARC: Guida Passo-Passo

DMARC è il protocollo che unisce SPF e DKIM e dice ai provider email cosa fare se l'autenticazione fallisce.

Passo 1: Decidi la Policy DMARC

DMARC ha tre livelli di policy:

1. p=none (Monitoraggio)

Cosa fa: Non blocca nessuna email, ma invia report
Quando usarla: All'inizio, per capire se SPF/DKIM funzionano correttamente
Durata consigliata: 2-4 settimane

2. p=quarantine (Quarantena)

Cosa fa: Email che falliscono SPF/DKIM vanno in spam
Quando usarla: Dopo aver verificato che SPF/DKIM funzionano
Durata consigliata: Permanente per la maggior parte delle PMI

3. p=reject (Rifiuto)

Cosa fa: Email che falliscono SPF/DKIM vengono rifiutate (non consegnate)
Quando usarla: Solo se sei sicuro al 100% della configurazione
Durata consigliata: Solo per aziende con team IT dedicato

Raccomandazione per PMI:

Inizia con p=none per 2-4 settimane, poi passa a p=quarantine.

Passo 2: Crea il Record DMARC

Un record DMARC base ha questa struttura:

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r

Componenti:

v=DMARC1 = versione DMARC (sempre uguale)
p=quarantine = policy (none, quarantine, reject)
rua=mailto:[email protected] = email dove ricevere report aggregati
pct=100 = percentuale di email a cui applicare la policy (100 = tutte)
adkim=r = alignment DKIM relaxed (r = permissivo, s = strict)
aspf=r = alignment SPF relaxed

Esempio per iniziare (monitoraggio):

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100

Esempio dopo 2-4 settimane (quarantena):

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r

Passo 3: Pubblica il Record DMARC nel DNS

Accedi al pannello DNS del tuo provider
Aggiungi un nuovo record TXT con:
- Nome/Host: _dmarc
- Valore: v=DMARC1; p=none; rua=mailto:[email protected]; pct=100
- TTL: 3600
Salva il record

⚠️ NOTA:

L'email rua= deve esistere. Crea una casella email [email protected] o usa un'email esistente.

Passo 4: Verifica che DMARC Funzioni

Metodo 1: Tool Online

MXToolbox DMARC Checker: https://mxtoolbox.com/dmarc.aspx
DMARC Analyzer: https://www.dmarcanalyzer.com/

Inserisci il tuo dominio e verifica che:

✅ Il record DMARC esiste
✅ Non ci sono errori di sintassi
✅ La policy è corretta

Metodo 2: Invia Email di Test

Invia un'email dal tuo dominio a Gmail
Apri l'email → "Mostra originale"
Cerca la riga dmarc=

Dovresti vedere:

dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=miodominio.it

Se vedi pass, DMARC funziona! ✅

Passo 5: Analizza i Report DMARC

Dopo qualche giorno, inizierai a ricevere report DMARC all'email specificata in rua=.

Formato dei report:

I report DMARC sono file XML compressi (.gz) che contengono informazioni su:

Quante email sono state inviate dal tuo dominio
Quante hanno passato SPF/DKIM
Quante hanno fallito
Da quali IP sono state inviate

Come leggere i report:

I report XML sono difficili da leggere manualmente. Usa tool gratuiti come:

DMARC Analyzer: https://www.dmarcanalyzer.com/
Postmark DMARC Digests: https://dmarc.postmarkapp.com/
Dmarcian: https://dmarcian.com/

Questi tool convertono i report XML in dashboard leggibili.

Cosa cercare nei report:

✅ Pass rate alto (>95%): SPF/DKIM funzionano correttamente
⚠️ Fail rate alto (>5%): C'è un problema da risolvere
🔍 IP sconosciuti: Qualcuno sta inviando email impersonando il tuo dominio (phishing)

Checklist Completa: SPF, DKIM, DMARC

Usa questa checklist per verificare che tutto sia configurato correttamente.

SPF

[ ] Ho identificato tutti i servizi che inviano email per il mio dominio
[ ] Ho creato un record SPF con tutti gli include: necessari
[ ] Ho pubblicato il record SPF come tipo TXT nel DNS
[ ] Ho verificato il record SPF con MXToolbox
[ ] Ho inviato un'email di test e verificato Received-SPF: pass
[ ] Non ho più di 10 lookup DNS nel record SPF

DKIM

[ ] Ho generato le chiavi DKIM (o il mio provider le ha generate per me)
[ ] Ho pubblicato il record DKIM nel DNS con il selector corretto
[ ] Ho verificato il record DKIM con MXToolbox
[ ] Ho inviato un'email di test e verificato dkim=pass

DMARC

[ ] Ho creato un record DMARC con policy p=none (per iniziare)
[ ] Ho specificato un'email valida in rua= per ricevere report
[ ] Ho pubblicato il record DMARC nel DNS
[ ] Ho verificato il record DMARC con MXToolbox
[ ] Ho inviato un'email di test e verificato dmarc=pass
[ ] Dopo 2-4 settimane, ho analizzato i report e cambiato policy a p=quarantine

Errori Comuni e Come Risolverli

Errore: "SPF PermError - Too many DNS lookups"

Causa: Il record SPF supera il limite di 10 lookup DNS.

Soluzione:

Conta quanti include: hai nel record SPF
Rimuovi include: non necessari
Usa indirizzi IP diretti (ip4:) invece di include: quando possibile
Considera di usare un servizio di SPF flattening

Esempio:

❌ Prima (12 lookup):

v=spf1 include:_spf.google.com include:sendgrid.net include:spf.protection.outlook.com include:_spf.salesforce.com include:mail.zendesk.com ~all

✅ Dopo (8 lookup):

v=spf1 include:_spf.google.com include:sendgrid.net ip4:40.92.0.0/15 ~all

Errore: "DKIM signature verification failed"

Causa: La firma DKIM non corrisponde alla chiave pubblica nel DNS.

Soluzione:

Verifica che la chiave pubblica nel DNS sia identica a quella generata dal servizio
Controlla che non ci siano spazi o caratteri nascosti nel record DNS
Assicurati che il selector sia corretto
Rigenera le chiavi se necessario

Errore: "DMARC policy not applied"

Causa: SPF o DKIM non sono allineati con il dominio del mittente.

Soluzione:

Verifica che il dominio in From: corrisponda al dominio in SPF/DKIM
Usa adkim=r e aspf=r nel record DMARC per alignment relaxed
Controlla i report DMARC per vedere quale autenticazione fallisce

Domande Frequenti (FAQ)

1. Devo configurare tutti e tre i protocolli?

Sì. SPF, DKIM e DMARC lavorano insieme. Configurare solo uno o due non è sufficiente per massimizzare la deliverability.

SPF verifica che l'IP del server sia autorizzato
DKIM verifica che l'email non sia stata modificata
DMARC unisce SPF e DKIM e dice cosa fare se falliscono

2. Quanto tempo ci vuole per configurare SPF, DKIM e DMARC?

Tempo stimato:

SPF: 15-30 minuti
DKIM: 20-40 minuti (dipende dal provider)
DMARC: 10-15 minuti

Totale: 1-2 ore per la configurazione iniziale.

Propagazione DNS: 1-48 ore (di solito 1-2 ore).

3. Cosa succede se non configuro SPF, DKIM e DMARC?

Le tue email hanno maggiore probabilità di finire in spam, soprattutto se invii volumi elevati o se il tuo dominio è nuovo.

Rischi:

Deliverability ridotta (-20% to -40%)
Reputazione dominio danneggiata (effetto a lungo termine)
Phishing: Qualcuno può impersonare il tuo dominio senza che tu lo sappia

4. Posso usare lo stesso record SPF per più sottodomini?

No. Ogni sottodominio deve avere il proprio record SPF.

Esempio:

miodominio.it → record SPF
marketing.miodominio.it → record SPF separato
shop.miodominio.it → record SPF separato

5. Cosa succede se cambio provider email?

Devi aggiornare il record SPF per includere il nuovo provider.

Esempio:

Se passi da Mailchimp a SendFlow AI:

❌ Prima:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

✅ Dopo:

v=spf1 include:_spf.google.com include:spf.sendflowai.ai ~all

6. I record SPF, DKIM e DMARC scadono?

No. Una volta configurati, rimangono attivi finché non li modifichi o elimini.

Tuttavia:

Devi aggiornare SPF se cambi provider email
Devi rigenerare DKIM se la chiave privata viene compromessa
Devi monitorare i report DMARC per identificare problemi

Tool Gratuiti Consigliati

Verifica Configurazione

MXToolbox: https://mxtoolbox.com/ (SPF, DKIM, DMARC checker)
Google Admin Toolbox: https://toolbox.googleapps.com/apps/checkmx/
DMARC Analyzer: https://www.dmarcanalyzer.com/

Analisi Report DMARC

Postmark DMARC Digests: https://dmarc.postmarkapp.com/ (gratuito)
Dmarcian: https://dmarcian.com/ (freemium)
DMARC Analyzer: https://www.dmarcanalyzer.com/ (freemium)

Generazione Chiavi DKIM

DKIM Core: https://dkimcore.org/tools/
EasyDMARC DKIM Generator: https://easydmarc.com/tools/dkim-record-generator

Conclusione

SPF, DKIM e DMARC sono i tre pilastri dell'autenticazione email. Senza di essi, le tue email hanno maggiore probabilità di finire in spam, indipendentemente dalla qualità dei contenuti.

Riepilogo:

SPF verifica che l'IP del server sia autorizzato
DKIM verifica che l'email non sia stata modificata
DMARC unisce SPF e DKIM e dice cosa fare se falliscono

Prossimi passi:

Configura SPF, DKIM e DMARC seguendo questa guida
Verifica la configurazione con tool online
Monitora i report DMARC per 2-4 settimane
Passa da p=none a p=quarantine in DMARC

Se usi SendFlow AI, la configurazione di SPF e DKIM è semplificata: ti forniamo istruzioni passo-passo personalizzate per il tuo dominio direttamente nel pannello Impostazioni → Domini.

Hai domande? Contattaci su [email protected] o visita la nostra guida completa sulla deliverability.

Articolo scritto da: Team SendFlow AI
Ultima revisione: Febbraio 2026
Tempo di lettura: 12 minuti

SPF, DKIM, DMARC: Guida Pratica per PMI (2026)