Metodi di autenticazione delle e-mail: come SPF, DKIM e DMARC proteggono il tuo dominio

I metodi di autenticazione delle e-mail sono i protocolli, principalmente SPF, DKIM e DMARC, che consentono ai server di ricezione di verificare che un messaggio provenga effettivamente dal tuo dominio. Senza di essi, chiunque può falsificare il tuo indirizzo mittente e la tua posta legittima rischia maggiormente di finire nella cartella dello spam.

Se configurati correttamente, questi metodi proteggono il tuo marchio dall’usurpazione d’identità, garantiscono che le email legittime arrivino nella casella di posta in arrivo e ti mostrano esattamente come viene utilizzato il tuo dominio. Ora che Google, Yahoo, Microsoft e Apple impongono l’autenticazione per i mittenti di email di massa, la configurazione non è più facoltativa. Questa guida illustra i principali metodi di autenticazione delle email, come funziona ciascuno di essi, perché influiscono sulla deliverability e come implementarli.

Per i team che gestiscono più domini o servizi di invio, la parte più difficile non è pubblicare i record una volta sola, ma mantenere la visibilità man mano che ogni nuovo CRM, piattaforma di marketing, helpdesk o dominio regionale modifica i quadro di SPF, DKIM e DMARC sotto di voi.

Che cos’è l’autenticazione delle e-mail?

L'autenticazione delle e-mail è un insieme di metodi che verificano che un messaggio provenga effettivamente dal dominio dichiarato e non sia stato falsificato durante il transito. Questi metodi, principalmente SPF, DKIM e DMARC, vengono pubblicati come record TXT nel DNS. Quando un server ricevente controlla un messaggio in arrivo, fa riferimento a questi record DNS per confermare la titolarità del dominio e decidere se consegnarlo, indirizzarlo nella cartella dello spam o rifiutarlo.

Da sapere

L'autenticazione viene spesso confusa con tre concetti correlati. L'autenticazione verifica chi ha inviato il messaggio. L'autorizzazione stabilisce cosa è consentito fare al mittente. La crittografia protegge il contenuto durante il trasferimento. La reputazione del mittente riflette la cronologia degli invii di un dominio e il tasso di reclami. Tutti e quattro questi elementi influenzano la deliverability, sebbene l'autenticazione costituisca la base su cui si fondano gli altri tre.

Metodi principali di autenticazione delle e-mail: SPF, DKIM e DMARC

Questi sono i metodi che consentono il funzionamento dell'autenticazione delle e-mail; ciascuno di essi gestisce una fase diversa del processo di verifica.

Considera SPF, DKIM e DMARC come tre livelli di verifica dell'identità. SPF conferma che il server mittente è autorizzato a inviare messaggi per conto del tuo dominio. DKIM conferma che il messaggio non è stato alterato durante il transito. DMARC verifica che tali risultati corrispondano all'indirizzo "Da" visibile e indica ai provider come comportarsi nel caso in cui non corrispondano.

SPF (Sender Policy Framework)

Lo Sender Policy Framework (SPF) costituisce il primo livello di difesa. L'SPF impedisce lo spoofing specificando gli indirizzi IP autorizzati a inviare e-mail da un determinato dominio. Verifica l'autenticità del mittente esclusivamente nel campo MAIL FROM e non tiene conto dell'indirizzo "Da" visibile al destinatario, poiché l'SPF si concentra sull'involucro del messaggio, ovvero il campo Return-Path, piuttosto che sull'intestazione visibile. Se l'IP corrisponde, la verifica ha esito positivo; in caso contrario, ha esito negativo.

DKIM (DomainKeys Identified Mail)

Mentre l’SPF verifica il server mittente, il DKIM verifica che il contenuto non sia stato manomesso durante il transito. Aggiunge una firma digitale utilizzando chiavi crittografiche: il server del mittente firma ogni messaggio con una chiave privata, generando una firma DKIM allegata alle intestazioni, mentre il server ricevente recupera la chiave pubblica corrispondente dal DNS per verificarla. Se la firma corrisponde e il contenuto non è stato modificato, il controllo DKIM ha esito positivo, confermando che il messaggio proviene effettivamente dal dominio dichiarato e non è stato alterato durante il percorso.

DMARC (Autenticazione, segnalazione e conformità dei messaggi basati sul dominio)

DMARC è il protocollo che riunisce tutti questi elementi. Verifica se un’e-mail in arrivo superi i controlli SPF o DKIM e se il dominio utilizzato in tali controlli corrisponda all’indirizzo del mittente. È proprio questo requisito di corrispondenza che rende DMARC efficace nell’individuare i messaggi contraffatti che riescono a eludere i controlli SPF o DKIM da soli, e specifica l’azione che il sistema ricevente deve intraprendere in caso di esito negativo.

Le opzioni della politica DMARC vengono eseguite in un ordine prestabilito:

• p=none: solo monitoraggio. I messaggi non subiscono alcuna modifica, mentre si ricevono report aggregati sui risultati dell'autenticazione relativi a tutti i mittenti. Questo è il punto di partenza consigliato.
• p=quarantena: i messaggi non riusciti finiscono nella cartella spam o posta indesiderata. Utilizza questa opzione solo quando sei sicuro che tutti i mittenti legittimi vengano filtrati correttamente.
• p=rifiuto: i messaggi non validi vengono bloccati sul server di ricezione. Questo è il livello di sicurezza più elevato e protegge completamente il tuo dominio dallo spoofing.

DMARC genera inoltre due tipi di report: i report aggregati RUA, che riassumono i risultati relativi a tutti i mittenti, e i report forensi RUF, che forniscono dettagli a livello di singolo messaggio sugli errori; entrambi vengono inviati in formato XML agli indirizzi indicati nel record DMARC.

Metodi aggiuntivi: ARC, MTA-STS, TLS-RPT e BIMI

Il trio principale copre la maggior parte delle esigenze. Altri quattro protocolli estendono la protezione a scenari specifici: inoltro, trasporto crittografato, visibilità del trasporto e visualizzazione del marchio.

ARC (Catena di ricezione autenticata)

Se inoltri le e-mail tramite mailing list, sistemi di ticket o altri intermediari, a volte i messaggi inoltrati non superano i controlli SPF o DKIM. ARC risolve questo problema conservando i risultati di autenticazione originali ad ogni passaggio. Quando un messaggio passa attraverso un intermediario fidato, ARC registra i risultati ad ogni fase e crea una catena firmata crittograficamente, che il server finale verifica per confermare che l’e-mail fosse stata originariamente autenticata anche se l’inoltro ha compromesso la firma originale. Questa è una causa comune di errori DMARC.

MTA-STS (Mail Transfer Agent Strict Transport Security)

MTA-STS richiede connessioni SMTP crittografate tra i server di posta, impedendo agli aggressori di intercettare o convertire il traffico in testo in chiaro durante gli attacchi man-in-the-middle. Una volta configurato, indica ai server mittenti che devono utilizzare TLS per consegnare la posta al tuo dominio e rifiuta la consegna se non è possibile stabilire una connessione sicura.

I servizi MTA-STS e TLS-RPT in hosting semplificano l'implementazione eliminando la necessità di ospitare manualmente i file delle policy e di analizzare i report di trasporto, il che rappresenta un vantaggio per le organizzazioni dei settori finanziario, sanitario e pubblico che richiedono il transito crittografato come misura di conformità.

TLS-RPT (Segnalazione TLS SMTP)

TLS-RPT offre ai proprietari dei domini visibilità sui problemi di consegna legati alla crittografia TLS, indicando quando i messaggi non è stato possibile consegnare in modo sicuro. Se utilizzato insieme a MTA-STS, aiuta i team a individuare più rapidamente attacchi di downgrade, configurazioni errate delle politiche e errori relativi ai certificati. Senza di esso, gli errori di crittografia si verificano in modo silenzioso, senza alcun segnale che indichi l’impossibilità di stabilire una connessione sicura.

BIMI (Indicatori di marca per l'identificazione dei messaggi)

BIMI visualizza il logo verificato del marchio nella casella di posta del destinatario accanto ai messaggi autenticati, fornendo una prova visiva della loro legittimità. Affinché funzioni, il tuo dominio deve disporre di una politica DMARC di almeno p=quarantine. Il logo aumenta il riconoscimento del marchio, aiutando i destinatari a identificare immediatamente le e-mail autentiche, il che può aumentare i tassi di apertura. BIMI è anche un bersaglio per lo la contraffazione del logo quando i domini non sono adeguatamente protetti.

Per visualizzare il segno di spunta blu su Gmail è necessario un certificato Verified Mark (VMC), e l'utilizzo di BIMI in hosting con il supporto VMC riduce il lavoro di configurazione manuale richiesto. Se sei pronto a configurarne uno, questa guida su come pubblicare un record BIMI illustra i passaggi da seguire.

Come funziona l'autenticazione delle e-mail

L'autenticazione si svolge attraverso una sequenza di controlli automatici tra il server mittente e quello ricevente. Il flusso end-to-end si presenta come segue.

1. Il mittente invia un messaggio. Il tuo server di posta invia un'e-mail per conto del tuo dominio.
2. Il server ricevente interroga il DNS. Cerca i record DNS del dominio mittente per individuare la configurazione SPF, DKIM e DMARC.
3. Verifica SPF. Il server verifica se l'IP mittente è elencato come autorizzato nel record SPF del dominio. Se c'è corrispondenza, il controllo ha esito positivo.
4. Verifica DKIM. Il server recupera la chiave DKIM pubblica dal DNS e verifica la firma crittografica presente nelle intestazioni del messaggio. Se la firma è valida e il contenuto non è stato modificato, il controllo ha esito positivo.
5. Verifica dell'allineamento e della politica DMARC. DMARC verifica se il dominio che ha superato il controllo SPF o DKIM corrisponde al dominio "Da" visibile. In caso contrario, applica la politica del dominio: nessuna azione, quarantena o rifiuto.
6. Decisione finale sulla consegna. Il provider consegna, mette in quarantena o rifiuta il messaggio e invia i rapporti aggregati DMARC al proprietario del dominio.

Perché l'autenticazione delle e-mail è importante?

La mancata autenticazione comporta rischi concreti per l'azienda in cinque ambiti che tendono ad aggravarsi a vicenda. Un'autenticazione inadeguata raramente causa un unico problema isolato.

Protegge la reputazione del tuo marchio

L'autenticazione impedisce ai truffatori di utilizzare il tuo dominio per inviare messaggi fraudolenti. Quando gli hacker falsificano il tuo dominio, i destinatari associano il tentativo di phishing al tuo marchio, anche se tu non c'entri nulla. Impedire che ciò accada è fondamentale per mantenere intatta la fiducia dei clienti.

Previene il phishing e lo spoofing

SPF, DKIM e DMARC operano in sinergia per verificare l’identità del mittente prima che il messaggio raggiunga il destinatario, rendendo molto più difficile spacciarsi per un marchio affidabile. Senza questi controlli, gli hacker possono falsificare liberamente gli indirizzi dei mittenti e lanciare campagne di “business email compromise”. La differenza tra phishing e lo spoofing è importante in questo contesto, poiché l’autenticazione contrasta lo spoofing che rende convincente il phishing.

Migliora la consegnabilità delle e-mail

Le e-mail autenticate hanno meno probabilità di essere contrassegnate come spam da provider come Gmail o Outlook, quindi i messaggi legittimi arrivano nella posta in arrivo. Molti provider ora richiedono DKIM e DMARC per garantire una consegna efficace, e il rispetto di tali standard aumenta i tassi di consegna nella posta in arrivo.

Soddisfa i requisiti di conformità

Google, Yahoo, Microsoft e Apple richiedono tutte l'adozione di SPF, DKIM e DMARC per i domini che inviano più di 5.000 e-mail al giorno; Google applicherà questa regola in modo rigoroso a partire da novembre 2025, respingendo i messaggi non conformi.

Per i settori soggetti a regolamentazione, quali quello finanziario, sanitario, dell’istruzione, della vendita al dettaglio e del settore pubblico, l’autenticazione supporta anche programmi più ampi di conformità e gestione dei rischi. I requisiti imposti da Google, Microsoft, PCI DSS, dai programmi allineati al GDPR e dalle normative governative regionali considerano sempre più spesso SPF, DKIM e DMARC come controlli essenziali piuttosto che come semplici best practice.

Ti offre visibilità e controllo

DMARC, in particolare, fornisce report su come il tuo dominio viene utilizzato per l'invio di e-mail. Questi report mettono in luce mittenti non autorizzati, errori di autenticazione e tentativi di spoofing: si tratta proprio dei dati su cui devi intervenire. Senza l'autenticazione, non hai alcuna visibilità sulle prestazioni o sulla sicurezza delle e-mail all'interno della tua infrastruttura di invio.

Funge da vantaggio strategico

I gestori di caselle di posta elettronica premiano sempre più spesso i mittenti correttamente autenticati. Le organizzazioni che adottano questa pratica rafforzano la fiducia dei destinatari, riscontrano meno problemi di consegna e proteggono la propria infrastruttura di invio dagli abusi, il che le pone in una posizione di vantaggio rispetto ai concorrenti che non lo fanno.

Come implementare l'autenticazione delle e-mail

L'implementazione consiste nel configurare i record DNS che i server destinatari utilizzano per convalidare ogni messaggio inviato dal tuo dominio. Segui i cinque passaggi in ordine, dal primo record TXT fino alla piena applicazione.

1. Esegui una verifica dell'infrastruttura di invio. Identifica tutte le fonti che inviano messaggi per conto del tuo dominio: server di posta primari, sistemi di automazione del marketing, CRM, helpdesk, sistemi di fatturazione e qualsiasi fornitore di servizi transazionali. La maggior parte degli errori di autenticazione è riconducibile a un mittente trascurato, quindi questo passaggio è determinante per garantire la correttezza dell'implementazione.
2. Pubblica il tuo record SPF. Crea un unico record TXT che elenchi tutti gli indirizzi IP e i servizi di invio autorizzati. Ogni voce inclusa viene conteggiata ai fini del limite di 10 ricerche; il superamento di tale limite comporta il fallimento della verifica SPF per tutti i messaggi.
3. Configurare la firmaDKIM. Generare una coppia di chiavi tramite il proprio provider o server di posta. La chiave privata rimane sul server di invio e firma la posta in uscita; la chiave pubblica viene inserita nel DNS come record TXT in modo che i destinatari possano verificare ogni firma.
4. Aggiungi il tuo record DMARC. Pubblica un record TXT DMARC iniziando con una politica p=none di solo monitoraggio, in modo da poter osservare i risultati prima di applicarla. Un record di base è il seguente: v=DMARC1; p=none; rua=mailto:[email protected]; fo=1.
5. Testare e verificare. Inviare un'e-mail di prova da ogni fonte identificata nella fase uno e controllare l'intestazione Authentication-Results per verificare i risultati relativi a SPF, DKIM e DMARC.

Errore comune

Copiare un record SPF o DMARC di esempio direttamente nel DNS. Gli esempi riportati sopra sono modelli, non record pronti all’uso. Una riga SPF che include servizi che non utilizzi spreca le ricerche a fronte del limite massimo di 10, mentre un record DMARC che punta a una casella di posta di segnalazione di cui nessuno è proprietario fa sì che i dati aggregati non vadano da nessuna parte. Adatta entrambi ai tuoi mittenti e agli indirizzi di segnalazione prima della pubblicazione.

Per i record che superano il limite di ricerca man mano che le piattaforme SaaS si espandono, uno strumento di appiattimento SPF li mantiene automaticamente entro i limiti. Una volta che i record sono attivi, utilizzare un analizzatore di dominio per verificare in pochi secondi la corretta configurazione di SPF, DKIM e DMARC.

Errori comuni di autenticazione e come risolverli

I malfunzionamenti si verificano solitamente quando l'ambiente di invio subisce delle modifiche. I nuovi strumenti SaaS, i mittenti regionali, i servizi di inoltro e le modifiche al DNS incidono tutti su SPF, DKIM, DMARC e sulla sicurezza del trasporto. Di seguito sono riportati gli scenari più comuni e le relative soluzioni.

Migliori pratiche di autenticazione e-mail

La pubblicazione dei record è il primo passo. Per garantire un’autenticazione solida nel tempo, occorre adottare alcune abitudini ricorrenti.

Inizia con il monitoraggio, poi applica le regole

Iniziare con p=none per raccogliere dati senza influire sulla consegna. Analizzare i report per individuare tutti i mittenti legittimi, correggere eventuali errori di configurazione, quindi passare gradualmente a p=quarantine e p=reject man mano che aumenta il livello di affidabilità.

Mantenere aggiornati i registri SPF e assicurarsi che rientrino nei limiti previsti

Aggiorna il tuo record SPF ogni volta che aggiungi o rimuovi un servizio di invio, poiché un record non aggiornato blocca i messaggi legittimi. Tieni d’occhio il limite massimo di 10 query man mano che il tuo stack cresce, poiché superarlo blocca l’intero controllo SPF per ogni messaggio. Le organizzazioni che utilizzano numerose piattaforme SaaS dovrebbero monitorare costantemente la complessità dell’SPF e ricorrere alla gestione automatizzata o all’appiattimento per prevenire errori man mano che il numero di mittenti aumenta.

Ruota regolarmente le chiavi DKIM

La rotazione delle chiavi DKIM riduce il rischio di compromissione delle chiavi. Si consiglia di effettuare la rotazione ogni 6-12 mesi e immediatamente se si sospetta che la chiave privata sia stata compromessa.

Domande frequenti

Ho bisogno di SPF, DKIM e DMARC se utilizzo un provider di servizi di posta elettronica?

Sì. La maggior parte degli ESP condivide l'infrastruttura di invio tra numerosi clienti, quindi la loro configurazione predefinita potrebbe non autenticare completamente il tuo dominio. Sei tu a pubblicare i tuoi record SPF, DKIM e DMARC; l'ESP ti aiuta a configurare la firma DKIM.

Quale protocollo dovrei configurare per primo?

Prima SPF, poi DKIM, poi DMARC con p=none. Il funzionamento di DMARC dipende dai risultati di SPF o DKIM, quindi pubblicarlo per primo senza che gli altri due siano già attivi non offre alcun punto di riferimento a cui allinearsi.

Qual è la differenza tra autenticazione e crittografia?

L'autenticazione verifica chi ha inviato un messaggio e se questo è stato alterato. La crittografia protegge il contenuto durante il trasferimento. MTA-STS e TLS-RPT gestiscono l'aspetto della crittografia; SPF, DKIM e DMARC gestiscono l'identità.

Perché le mie e-mail inoltrate non superano l'autenticazione?

L'inoltro tramite mailing list o sistemi di ticketing può compromettere la firma SPF o DKIM originale. ARC preserva i risultati originali ad ogni passaggio, in modo che un server ricevente che supporti ARC possa comunque considerare attendibile il messaggio.

Quanto tempo occorre affinché l'autenticazione diventi effettiva?

Le modifiche al DNS si propagano in un arco di tempo che va da pochi minuti a qualche ora, a seconda del TTL. Per accumulare dati significativi dai report DMARC relativi a tutte le vostre fonti di invio occorrono da pochi giorni a un paio di settimane.

Posso passare direttamente a p=reject?

È fortemente sconsigliato. Senza un periodo di monitoraggio impostato su p=none, non è possibile individuare quali mittenti legittimi presentino problemi, e passare direttamente al rifiuto potrebbe bloccare le tue stesse fatture e la posta transazionale.

• Informazioni su
• Ultimi messaggi

Maitham Al Lawati

Esperto di sicurezza informatica, amministratore delegato di PowerDMARC

Maitham è un imprenditore tecnologico, esperto di sicurezza informatica, CEO e fondatore di PowerDMARC con oltre 15 anni di esperienza nel settore. Maitham ha conseguito un MBA presso l'Università di Manchester e varie certificazioni professionali, tra cui CISSP, CISM, CRISC e ISC2 CCSP.

Ultimi messaggi di Maitham Al Lawati (vedi tutti)

• Metodi di autenticazione delle e-mail: come SPF, DKIM e DMARC proteggono il tuo dominio - 9 agosto 2026
• Che cos’è una politica DMARC? Nessuna, Quarantena e Rifiuto - 27 luglio 2026
• Conformità Dmarc: cos’è, perché è importante e come verificarla - 21 luglio 2026