SPF, DKIM e DMARC: perché le mail aziendali finiscono in spam

Immaginiamo la scena. Una mattina il titolare di un’azienda con più sedi riceve la telefonata di un cliente storico: “Ho pagato la vostra fattura sul nuovo IBAN, ma la banca dice che il conto non è vostro.” La mail sembrava perfetta. Logo, firma, numero di fattura corretto. E il mittente era il loro indirizzo, non uno simile.

Nei progetti che seguiamo capita spesso così: il tema emerge quando qualcuno ha già perso dei soldi. Oppure quando il commerciale si accorge che le offerte finiscono da settimane nello spam dei clienti.

In entrambi i casi la causa è quasi sempre la stessa: tre record DNS mancanti, sbagliati o lasciati a metà. Vediamo cosa sono, senza tecnicismi.

Perché le mail vengono falsificate (e perché funziona)

La posta elettronica è nata senza un controllo sul mittente. Scrivere “amministrazione@vostrazienda.it” nel campo Da è facile quanto scrivere un indirizzo falso sul retro di una busta.

Le truffe del falso fornitore e del falso IBAN, che gli addetti ai lavori chiamano BEC (Business Email Compromise), vivono anche di questo. Secondo l’FBI, nel 2025 le truffe BEC hanno causato oltre 3 miliardi di dollari di perdite dichiarate negli Stati Uniti, su 24.768 denunce (IC3, Internet Crime Report 2025).

In Italia il quadro non è più tranquillo. Il Rapporto Clusit 2026 indica che il nostro Paese ha subito il 9,6% degli incidenti gravi censiti nel mondo nel 2025, e che phishing e ingegneria sociale sono all’origine del 12,4% dei casi italiani, in crescita del 66% (sintesi del Rapporto Clusit 2026).

I tre record spiegati come una portineria

Immaginate la portineria della vostra sede.

• SPF è l’elenco dei corrieri autorizzati a ritirare e spedire posta a vostro nome. Dice quali server possono inviare mail con il vostro dominio: il provider di posta, la piattaforma delle newsletter, il CRM.
• DKIM è il timbro con firma sulla busta. Ogni mail parte con una firma digitale che il destinatario controlla con una chiave pubblicata nel vostro DNS. Se qualcuno altera il messaggio, la firma non torna.
• DMARC sono le istruzioni lasciate al portiere: cosa fare con chi si presenta a vostro nome senza essere in elenco o senza timbro. Lasciarlo passare (p=none), metterlo in sala d’attesa, cioè nello spam (p=quarantine), o respingerlo (p=reject). In più il portiere vi manda un resoconto di chi si è presentato.

SPF e DKIM da soli non bastano: senza DMARC il destinatario non sa cosa volete che faccia.

Cosa hanno imposto Google, Yahoo e Microsoft

Dal 1° febbraio 2024 Gmail chiede a tutti i mittenti almeno SPF o DKIM. A chi spedisce più di 5.000 messaggi al giorno chiede SPF e DKIM insieme, un record DMARC (anche solo p=none), l’allineamento tra dominio del mittente e autenticazione, la disiscrizione con un clic e un tasso di segnalazioni spam sotto lo 0,3% (Google, linee guida per i mittenti). Yahoo ha avviato requisiti analoghi nello stesso mese (Yahoo Sender Hub).

Dal 5 maggio 2025 Microsoft applica regole simili su Outlook.com, Hotmail e Live a chi supera i 5.000 invii: i messaggi non conformi vengono respinti con l’errore 550 5.7.515 (Microsoft Support).

Una newsletter a qualche migliaio di contatti, sommata a fatture e solleciti automatici, si avvicina presto alla soglia dei 5.000 invii, oltre la quale servono tutti e tre i record. Ma SPF o DKIM sono richiesti a tutti, a prescindere dai volumi. Anche se inviate 10 mail al giorno, senza SPF o DKIM rischiate che finiscano nello spam del destinatario.

Come verificare il vostro dominio in 5 minuti

1. Mandate una mail a un indirizzo Gmail e apritela: menu con i tre puntini, “Mostra originale”. In alto trovate SPF, DKIM e DMARC con l’esito, PASS o FAIL.
2. Inserite il dominio in uno strumento gratuito come MXToolbox, Google Admin Toolbox o Internet.nl. Vi dicono se i record esistono e se hanno errori evidenti.
3. Guardate la riga DMARC. Se non c’è, o c’è con p=none da anni, il vostro indirizzo è falsificabile.

Ripetete la prova con una mail spedita dalla newsletter, dal CRM e dal programma di fatturazione. È lì che di solito salta fuori la sorpresa.

Gli errori che vediamo più spesso

• Due record SPF sullo stesso dominio. Ne è ammesso uno solo: con due, la verifica fallisce.
• Troppi servizi nell’SPF. Lo standard prevede al massimo 10 interrogazioni DNS per la verifica (RFC 7208). Ogni servizio aggiunto ne consuma una o più, e oltre il limite l’SPF va in errore.
• DMARC fermo a p=none da anni. Serve per osservare, non protegge. Su 1,8 milioni di domini analizzati a inizio 2026, il 52,1% aveva un DMARC valido ma solo il 22,9% lo applicava davvero con quarantine o reject (EasyDMARC, 2026).
• Servizi terzi dimenticati. Newsletter, CRM, programma delle fatture, multifunzione che spediscono le scansioni: ognuno invia a vostro nome e va autorizzato.
• Dominio non allineato. SPF e DKIM risultano validi, ma sono legati al dominio del provider di newsletter invece che al vostro. Senza allineamento con il vostro dominio, il DMARC fallisce.
• Nessuno legge i report. Arrivano in XML e restano in una casella che nessuno apre.

Il percorso graduale: da p=none a reject

Passare subito a reject è il modo più rapido per bloccare le proprie fatture. Il percorso che seguiamo è questo:

1. Fotografia, 2-4 settimane. DMARC con p=none e un indirizzo per i report. Si scopre chi spedisce davvero a nome del dominio.
2. Sistemazione. Ogni servizio legittimo viene autorizzato nell’SPF e, dove possibile, firmato con DKIM. Quelli dismessi si tolgono.
3. Quarantena. p=quarantine, controllando ogni settimana i report e correggendo quello che emerge.
4. Reject. Quando i report sono puliti, p=reject. Da qui chi falsifica il vostro dominio esatto viene respinto.
5. Manutenzione. Ogni nuovo strumento che spedisce mail viene verificato prima di andare in uso.

Di solito servono dai due ai quattro mesi, secondo quanti servizi spediscono a vostro nome.

Un’avvertenza onesta: DMARC protegge il vostro dominio esatto, non quelli simili (come vostrazienda-it.com) né una casella violata con la password rubata. Per questo serve anche una regola interna semplice: ogni cambio di IBAN si conferma per telefono, a un numero già noto, mai a quello scritto nella mail.

Perché pensiamo che “a noi non succede”

Nel 1980 lo psicologo Neil Weinstein ha descritto il bias di ottimismo: tendiamo a stimare i nostri rischi più bassi di quelli degli altri (Weinstein, 1980). In azienda diventa “siamo piccoli, chi vuoi che ci prenda di mira”.

Chi falsifica le mail però non sceglie per dimensione. Prova in automatico migliaia di domini e si ferma su quelli senza protezione. Il rischio non dipende da quanto siete grandi, ma da quanto siete facili.

Come lavoriamo noi

Partiamo da un controllo del dominio e dall’elenco dei servizi che spediscono a vostro nome. Poi impostiamo i record per gradi, leggiamo i report con voi e arriviamo a p=reject senza fermare le mail che servono. Se volete cominciare da una verifica, c’è il nostro check-up gratuito. Se state valutando investimenti in sicurezza, può esservi utile anche la guida ai voucher cloud e cybersecurity.

Domande frequenti

Servono per forza tutti e tre i record?

Sì. SPF e DKIM dicono chi siete, DMARC dice cosa fare con chi finge di esserlo. Uno senza gli altri lascia scoperto il dominio.

Se passo a p=reject rischio di perdere mail importanti?

Solo se ci arrivate senza la fase di osservazione. Con i report e un passaggio graduale il rischio si riduce al minimo.

Valgono anche se mandiamo poche mail?

Sì. Gmail e Yahoo chiedono SPF o DKIM a tutti i mittenti, anche a chi invia poche mail; SPF, DKIM e DMARC insieme servono a chi supera i 5.000 invii al giorno. In più la falsificazione del dominio colpisce chiunque: la protezione serve a prescindere dai numeri.

DMARC blocca anche i domini che imitano il mio?

No, protegge solo il dominio esatto. Per i domini simili servono attenzione, formazione del personale e procedure di verifica sui pagamenti.

Parliamone

Se volete capire in che stato è il vostro dominio, prenotate una call di 30 minuti. Oppure scriveteci a posta@swdweb.it.

Leonardo Pantaleo, CEO di SWD Group