Come configurare DMARC per Google Workspace (Gmail)

DMARC per Google Workspace (Gmail) indica ai server destinatari come comportarsi quando le e-mail provenienti dal tuo dominio non superano i controlli SPF o DKIM, specificando se metterle in quarantena, rifiutarle o semplicemente segnalarle. Google Workspace gestisce la consegna in uscita e la generazione delle chiavi DKIM, ma non pubblica un record DMARC per tuo conto. Si tratta infatti di un record DNS che devi configurare tu stesso, ed è l’unica barriera che si frappone tra il tuo dominio e gli attacchi di spoofing.

A seguito dei requisiti di Google del 2024 relativi ai mittenti di grandi volumi, il DMARC non è più facoltativo per i mittenti che inviano grandi volumi di messaggi: qualsiasi dominio che invii 5.000 o più messaggi al giorno a Gmail deve disporre di un record DMARC valido, pena il rifiuto dei messaggi.

Se stai cercando informazioni su come configurare DMARC specificamente per Gmail, la procedura è la stessa: Gmail utilizza l’infrastruttura di posta di Google, quindi i passaggi di configurazione riportati di seguito valgono sia che tu utilizzi un piano personale di Google Workspace sia che invii messaggi tramite Gmail for Business. Questa guida copre tutto ciò di cui hai bisogno: i prerequisiti SPF e DKIM, il record esatto da pubblicare, una spiegazione dettagliata di ogni tag e un percorso passo dopo passo dal monitoraggio (p=none) all’applicazione completa (p=reject), inclusi esempi di record e gli errori comuni che possono interrompere il flusso di posta durante il processo.

Che cos’è il DMARC e perché è necessario per Google Workspace?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) è uno standard di autenticazione della posta elettronica basato sul DNS che integra SPF e DKIM, indica ai server destinatari come gestire i messaggi che non superano tali controlli e invia rapporti su chi sta utilizzando il tuo dominio per inviare messaggi.

Ecco il punto che spesso sfugge: Google Workspace garantisce la sicurezza del trasporto. Crittografa le connessioni con TLS, filtra lo spam in entrata e garantisce l’invio affidabile della posta in uscita. Ma DMARC è un controllo a livello di dominio che solo il proprietario del dominio può configurare. Google non pubblica un record DMARC per conto dell’utente e nessun filtro antispam da parte di Google impedisce a un malintenzionato di spofare il dominio per inviare e-mail di phishing ad altre persone. È proprio questa lacuna che DMARC colma.

Inoltre, non è più facoltativo. Ai sensi dei requisiti di Google per i mittenti di posta in massa introdotti nel febbraio 2024 e in continua evoluzione, qualsiasi dominio che invii 5.000 o più messaggi al giorno a indirizzi Gmail deve pubblicare un record DMARC, altrimenti Google inizierà a respingere la posta. Anche al di sotto di tale soglia, il DMARC è ormai il requisito minimo per garantire una buona deliverability. 

Se desideri una spiegazione concettuale completa, consulta la nostra guida dettagliata su cos'è il DMARC. 

Prerequisiti: configurare prima SPF e DKIM

DMARC non autentica le e-mail di per sé. Si sovrappone a SPF e DKIM e ne applica il risultato. Affinché DMARC superi il controllo, almeno uno dei due deve superarlo e essere allineato al tuo dominio. Quindi, prima di pubblicare un record DMARC, assicurati che questi due siano già attivi. Di seguito trovi le versioni sintetiche; ciascuna rimanda alla guida completa.

SPF per Google Workspace (Configurazione rapida)

L'SPF è un singolo record TXT presente nel dominio principale che elenca i server autorizzati a inviare e-mail per conto tuo. Per Google Workspace, il record essenziale è:

v=spf1 include:_spf.google.com ~all

v=spf1 apre il record, include:_spf.google.com autorizza i server di posta di Google, mentre ~all genera un soft-fail per tutto il resto. Se invii messaggi tramite servizi aggiuntivi, aggiungi i relativi include allo stesso record (non creare mai un secondo record SPF):

v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net ~all

Per un'analisi approfondita completa su appiattimento, ricerche e casi limite, consulta il nostro guida completa sui record SPF per Google Workspace .

DKIM per Google Workspace (Configurazione rapida)

DKIM aggiunge una firma crittografica alla posta in uscita. Google Workspace genera la chiave per conto tuo; tu la pubblichi nel DNS:

1. Nella Console di amministrazione, vai su App → Google Workspace → Gmail → Autenticazione e-mail.
2. Seleziona il tuo dominio e clicca su "Genera nuovo record" (si consiglia 2048 bit).
3. Copia il record TXT generato da Google. Si tratterà di un nome host del tipo google._domainkey e di un valore lungo che inizia con v=DKIM1; k=rsa; p=….
4. Pubblica quel record TXT presso il tuo provider DNS.
5. Torna alla Console di amministrazione e fai clic su "Avvia autenticazione".

Il record si presenta così:

Host/Name:  google._domainkey.yourdomain.com
Type: TXT
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Per la guida completa, scopri come configurare DKIM per il tuo dominio.

Note: Google Workspace handles DKIM signing (you generate the key in the Admin Console) and SPF is a DNS record you publish yourself, but Google does not create or publish a DMARC record for your domain. That part is entirely on you, and it's what the rest of this guide covers.

Come configurare un record DMARC per Google Workspace

Una volta attivati SPF e DKIM, sei pronto per DMARC. Ecco la procedura completa, passo dopo passo.

Passaggio 1: Crea il tuo record DMARC

Un record DMARC è una singola voce TXT composta da tag. Un semplice record di base si presenta così:

v=DMARC1; p=none; rua=mailto:[email protected];

Puoi crearlo in modo intuitivo con il nostro generatore DMARC, che assembla la sintassi al posto tuo. Ecco a cosa serve ogni tag:

• v: viene utilizzato per definire la versione del protocollo, che è sempre DMARC1. Si tratta di un tag obbligatorio
• p: viene utilizzato per definire la modalità della politica DMARC ed è anch'esso un tag obbligatorio. 
• rua: viene utilizzato per indicare l'indirizzo di segnalazione aggregato. Si tratta di un tag facoltativo, ma è vivamente consigliato per monitorare i risultati dell'autenticazione. 

Note: The one tag people misread is p. p=none, which is the starting point, not the end state, as it only monitors and reports, it doesn't protect anything yet. The goal is to reach p=reject without breaking mail flow.

Fase 2: Pubblicare il record nel DNS

DMARC va configurato nel tuo DNS, presso il tuo registrar di dominio o il tuo provider DNS, e non nella Console di amministrazione di Google. DMARC è un record DNS, non un'impostazione di Google Workspace. Nel pannello DNS, aggiungi:

Non preoccuparti. La propagazione del DNS può richiedere fino a 48 ore, anche se di solito è molto più veloce, spesso entro un’ora.

Fase 3: Verifica il tuo record DMARC

Una volta pubblicato, verifica che funzioni correttamente con il nostro strumento di verifica dei record DMARC. Se il controllo ha esito positivo, verrà visualizzato il tuo record e verrà confermata la validità della sintassi. Ad esempio, mostrerà la policy rilevata come p=none, un indirizzo di segnalazione RUA valido e l'assenza di errori di sintassi. Se lo strumento di verifica non riesce a trovare il record, attendi che il DNS abbia più tempo per propagare le modifiche oppure ricontrolla il campo host/nome.

Fase 4: Controllare i rapporti prima di procedere all'applicazione delle misure

Con l'opzione p=none attiva, Google e altri server destinatari iniziano a inviare rapporti aggregati (RUA) all'indirizzo specificato nel tag RUA. Questi rapporti indicano tutte le fonti che inviano posta a nome del tuo dominio e se ciascuna di esse supera o meno i controlli di allineamento SPF e DKIM.

Quello che stai cercando: fonti legittime che presentano problemi. Una piattaforma di marketing, un CRM, uno strumento di help desk o un servizio di fatturazione che utilizzi effettivamente potrebbero non essere correttamente allineati perché il loro SPF o DKIM non è ancora stato configurato sul tuo dominio. Risolvi questi problemi prima di applicare le misure, altrimenti il passaggio alla quarantena o al rifiuto inizierà a bloccare la tua stessa posta. 

Poiché il codice XML DMARC grezzo è di difficile lettura, puoi utilizzare il nostro guida "Come leggere i report DMARC" per interpretarli. È buona norma pianificare un periodo di monitoraggio di almeno 2-4 settimane, in modo da coprire l'intero ciclo di invio.

Fase 5: Passare alla fase di applicazione (p = quarantena, poi p = rifiuto)

Una volta che i tuoi report indicheranno che tutti i mittenti legittimi vengono accettati, inasprisci la politica in modo graduale:

1. p=nessuna → p=quarantena: i messaggi non validi finiscono nella cartella dello spam anziché nella posta in arrivo. Controlla nuovamente i rapporti.
2. p=quarantena → p=rifiuto: i messaggi non validi vengono bloccati immediatamente. È qui che entra in gioco la vera protezione anti-spoofing.

Per un'implementazione ancora più sicura, utilizza il tag t (t=y) per testare la propria politica prima di passare all'applicazione massima. Per ulteriori informazioni su come scegliere e gestire il livello di applicazione, consultare la nostra guida alle politiche DMARC .

Esempi di record DMARC per Google Workspace

Tre modelli già pronti da copiare, adatti alla fase in cui ti trovi. Sostituisci gli indirizzi e-mail con i tuoi.

Monitoraggio di base (Introduzione)

v=DMARC1; p=none; rua=mailto:[email protected];

Quarantena con segnalazione

v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r;

Piena applicazione

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s;

Note: the strict alignment here (adkim=s, aspf=s) requires the domain in the DKIM signature or SPF to match your sending domain exactly, with no subdomains. Relaxed (r) allows subdomains to align. Example mail from mail.yourdomain.com still aligns with yourdomain.com. Use relaxed while you're stabilizing, and only switch to strict once you're certain every legitimate sender uses your exact domain.

Errori comuni relativi al DMARC in Google Workspace

Pubblicazione di DMARC senza SPF o DKIM attivi

DMARC non ha nulla da applicare se né SPF né DKIM superano i controlli e sono allineati. Impostare DMARC per primo, specialmente con i livelli di quarantena o rifiuto, significa che la tua stessa posta potrebbe iniziare a non arrivare a destinazione. Assicurati sempre che SPF e DKIM funzionino correttamente, poi aggiungi DMARC come ulteriore livello di protezione.

Rimanere su p=none a tempo indeterminato

p=none serve solo a monitorare; non blocca nulla. Molti domini lo pubblicano, vedono arrivare i rapporti, ma non fanno mai alcun passo avanti. Gli spoofers non ne risentono finché non si passa a p=reject. Considerate "none" come una fase di monitoraggio temporanea, non come una soluzione definitiva.

Mancanza di mittenti di terze parti in SPF/DKIM

Gli strumenti di marketing, i sistemi CRM, i sistemi di emissione dei biglietti e i servizi di fatturazione inviano tutti messaggi “a nome tuo”. Se non sono autorizzati nell’elenco di inclusione SPF o non firmano con un DKIM allineato, non supereranno il controllo DMARC e le loro e-mail verranno bloccate una volta che applicherai la politica. Utilizza i tuoi report di monitoraggio per individuare tutti i casi prima di inasprire la politica.

Utilizzo di un nome host DNS errato

L'errore di sintassi più frequente consiste nell'inserire _dmarc nel campo "value" del record anziché nel campo "host/name", oppure nel tralasciare del tutto il trattino basso iniziale. Il campo "host/name" deve contenere _dmarc (che si risolve in _dmarc.yourdomain.com); il campo "value" deve contenere la stringa v=DMARC1; …

Presenza di più record DMARC su un unico dominio

Un dominio può avere esattamente un solo record DMARC. La presenza di due o più record TXT _dmarc fa sì che i destinatari ignorino completamente il DMARC, disattivando la protezione. Se si desidera aggiornare il record, modificare quello esistente invece di aggiungerne un secondo.

In che modo PowerDMARC semplifica l'implementazione di DMARC per Google Workspace

Il DMARC manuale funziona, ma è proprio nella fase operativa — come la lettura dei report XML non elaborati, l’individuazione dei mittenti non conformi e il passaggio in sicurezza dallo stato “none” a “reject” — che la maggior parte dei domini si blocca.

PowerDMARC trasforma quei report XML in dashboard di facile consultazione, ti offre un servizio DMARC in hosting che ti consente di aggiornare la tua politica senza dover modificare ogni volta il DNS, ti guida attraverso le fasi di applicazione automatizzata e invia avvisi in tempo reale nel momento in cui una nuova fonte inizia a inviare messaggi a nome del tuo dominio, consentendoti di raggiungere più rapidamente una protezione completa con p=reject senza compromettere la posta legittima.

Domande frequenti

1. Google Workspace integra DMARC?

No. Google Workspace gestisce la sicurezza del trasporto, il filtraggio dello spam e la generazione delle chiavi DKIM, ma non crea né pubblica un record DMARC per conto dell'utente. Il DMARC è un record DNS che il proprietario del dominio deve pubblicare separatamente.

2. Come si aggiunge un record DMARC a Google Workspace?

Non va aggiunto nella Console di amministrazione, ma pubblicato come record TXT presso il proprio provider DNS con l'host/nome _dmarc e un valore del tipo v=DMARC1; p=none; rua=mailto:[email protected].

3. Qual è il record DMARC corretto per Google Workspace?

Inizia con v=DMARC1; p=none; rua=mailto:[email protected] per il monitoraggio, poi passa a p=quarantine e infine a p=reject una volta che i tuoi mittenti legittimi avranno superato il controllo.

4. Devo configurare SPF e DKIM prima di configurare DMARC?

Sì. DMARC applica i risultati di SPF e DKIM, quindi almeno uno dei due deve essere attivo e allineato affinché DMARC possa superare il controllo. Si consiglia di configurare entrambi prima di implementare DMARC. 

5. Cosa significa "p=none" in un record DMARC?

p=none indica la modalità di monitoraggio. I ricevitori segnalano i messaggi non recapitati, ma non intraprendono alcuna azione al riguardo. È il punto di partenza più sicuro, ma non garantisce alcuna protezione finché non si passa alla quarantena o al rifiuto.

6. Quanto tempo ci vuole prima che un record DMARC diventi operativo?

Il record può propagarsi in pochi minuti, anche se le modifiche al DNS potrebbero richiedere fino a 48 ore. I report aggregati iniziano in genere ad arrivare entro uno o due giorni.

7. Perché le mie e-mail di Google Workspace continuano a non superare il controllo DMARC?

Di solito ciò accade perché un mittente legittimo (spesso un servizio di terze parti) non è autorizzato nel tuo record SPF o non sta firmando con DKIM allineato. Puoi controllare i tuoi report aggregati per identificare la fonte che causa l'errore e correggerne l'allineamento.

8. Il DMARC è obbligatorio ai sensi delle linee guida di Google per i mittenti di messaggi in massa?

Sì. In base ai requisiti di Google per i mittenti di posta in massa, i domini che inviano 5.000 o più messaggi al giorno a Gmail devono disporre di un record DMARC valido, altrimenti la loro posta potrebbe essere respinta. Puoi consultare la nostra guida alla conformità con Google e Yahoo per ulteriori dettagli.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e della posta elettronica presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• La maggior parte degli istituti finanziari dispone di DMARC. Quasi nessuno è protetto. - 22 luglio 2026
• Che cos’è la “fatica da MFA” (push bombing)? - 21 luglio 2026
• Caso di studio DMARC MSP: come Adoptive Technologies fornisce ai clienti una sicurezza centralizzata della posta elettronica grazie a PowerDMARC - 17 luglio 2026